WordPress betreibt 2026 rund 42,6 % aller Websites und hält 60 % des CMS-Marktes. Zum ersten Mal seit 20 Jahren zeigt sich ein leichter Rückgang. Gleichzeitig beschleunigt sich der Wandel im Enterprise-Segment: Headless wird zum Standard, KI wandert in den Core, und eine Governance-Krise hat das Ökosystem nachhaltig verändert.
Dieser Report ordnet die wichtigsten Entwicklungen für Schweizer Unternehmen ein. Die Datenbasis: SOEWP-Studien von BigBite, W3Techs, Patchstack, die Linux Foundation und weitere Quellen.
Marktposition: WordPress in Zahlen
WordPress ist rund 9× grösser als der nächste Wettbewerber Shopify. Der Vorsprung hat sich leicht verkleinert, aber die strukturelle Dominanz bleibt: Kein anderer Anbieter erreicht auch nur 7 % des CMS-Marktes. In den Top 10’000 der meistbesuchten Websites liegt der WordPress-CMS-Anteil bei 52,8 %.
Der leichte Rückgang von 43,6 % (2025) auf 42,6 % (März 2026) ist der erste messbare Rückgang in 20 Jahren. Er geht primär auf Shopifys E-Commerce-Wachstum zurück und hat keine strukturelle Auswirkung auf WordPress als Enterprise-CMS.
Enterprise-Trends: Was die SOEWP-Studien zeigen
Die State of Enterprise WordPress (SOEWP) Studie von BigBite befragte 2023 und 2024 jeweils über 100 Grossunternehmen weltweit. Die Verschiebungen zwischen den Erhebungen zeigen klare Richtungen.
Langfristige Bindung: 75 % der Enterprise-Nutzer arbeiten seit mehr als fünf Jahren mit WordPress. Das zeigt Reife, nicht Trägheit. Migrationskosten und Opportunity-Kosten eines CMS-Wechsels sind erheblich.
Open-Source-Engagement: Der Sprung von 38 % auf 61 % bei den Open-Source-Beiträgen korreliert mit dem Bewusstsein, dass Plattformabhängigkeit ohne eigenen Beitrag ein Risiko darstellt. Die Governance-Krise (weiter unten) hat dieses Bewusstsein verstärkt.
Extensibilität als Entscheidungskriterium Nr. 1: 96 % der Befragten nennen die Erweiterbarkeit als wichtigsten Faktor. Das erklärt, warum WordPress gegenüber geschlossenen SaaS-Plattformen gewählt wird.
Architektur: Von Monolith zu Hybrid Headless
Die Architektur-Debatte hat sich 2025/2026 aufgelöst. Die Frage lautet nicht mehr «Traditional oder Headless?», sondern «Welche Teile brauchen eine entkoppelte Architektur?»
Enterprise-Unternehmen nutzen WordPress zunehmend als zentralen Content Hub. Marketing-Seiten laufen auf klassischen Block Themes mit Full Site Editing, während interaktive Anwendungen über GraphQL oder REST API mit React oder Next.js gebaut werden. Mobile Apps und Multi-Channel-Szenarien nutzen dieselbe API-Infrastruktur.
Enterprise-Unternehmen nutzen WordPress zunehmend als zentralen Content Hub. Marketing-Seiten laufen auf klassischen Block Themes mit Full Site Editing, während interaktive Anwendungen über GraphQL oder REST API mit React oder Next.js gebaut werden. Mobile Apps und Multi-Channel-Szenarien nutzen dieselbe API-Infrastruktur.
WordPress 7.0: Mai 2026
WordPress 7.0 bringt drei wesentliche Neuerungen: Das PHP AI Client SDK wandert in den Core (dazu mehr im nächsten Abschnitt). Echtzeit-Kollaboration ermöglicht Google-Docs-ähnliches Zusammenarbeiten im Editor. Und ein überarbeitetes Admin-UI verbessert die Redaktionserfahrung. Wer die Migration von Legacy Page Buildern hinauszögert, baut technische Schulden auf.
KI-Integration: Vom Plugin zum Core-Feature
KI ist 2026 kein Experimentierfeld mehr, sondern fester Bestandteil professioneller WordPress-Setups.
AI Building Blocks im Core
WordPress hat im November 2025 ein PHP AI Client SDK veröffentlicht. Drei offizielle Provider-Plugins (OpenAI, Anthropic/Claude, Google Gemini) ermöglichen die standardisierte Anbindung von KI-Diensten. Mit WordPress 7.0 wandert das SDK in den Core. Jedes Plugin kann damit auf eine einheitliche KI-Infrastruktur zugreifen, ohne eigene Integrationen bauen zu müssen.
Der Bring-your-own-API-Key-Ansatz dominiert das Plugin-Ökosystem. Viele Plugins sind kostenlos, die Kosten verschieben sich auf nutzungsbasierte API-Gebühren. Bei hohem Volumen braucht es ein Monitoring der API-Ausgaben.
Der llms.txt-Generator von Rank Math optimiert die Auffindbarkeit durch KI-Suchmaschinen (Perplexity, ChatGPT Browse, Claude). Da diese Systeme Content zunehmend nach strukturierter Datenqualität bewerten, wird die KI-Lesbarkeit einer Website zum SEO-Faktor.
Sicherheit: Wachsende Angriffsfläche, neue Regulierung
Die Zahlen brauchen Kontext: Die Zunahme entdeckter Schwachstellen spiegelt auch verbessertes Monitoring. Patchstack wurde 2025 der grösste Vulnerability Discloser weltweit, noch vor Microsoft. 92 % aller erfolgreichen Angriffe nutzen Plugins und Themes, nicht den WordPress Core. Die Qualität der eingesetzten Erweiterungen und die Update-Disziplin bestimmen das Sicherheitsniveau.
Traditionelle WAFs blockieren nur 12–26 % der WordPress-spezifischen Angriffe. Patchstack testete 2025 gängige Sicherheitslösungen gegen bekannte Exploits. Standard-Abwehr reicht nicht. Spezialisiertes Virtual Patching und proaktives Schwachstellen-Monitoring sind nötig.
Cyber Resilience Act (CRA)
Die EU Cyber Resilience Act (in Kraft seit Dezember 2024) bringt ab September 2026 konkrete Pflichten für Plugin- und Theme-Entwickler: Schwachstellen müssen innert definierter Fristen gemeldet und behoben werden. Für Schweizer Unternehmen mit EU-Kunden wird CRA-Compliance Teil der Plugin-Auswahl.
KI als Angriffsvektor
KI-generierter Code in Plugins enthält nachweislich mehr Schwachstellen, da Entwickler dem Output zu stark vertrauen. Gleichzeitig nutzen Angreifer KI für schnellere Exploit-Entwicklung und polymorphe Malware. Die ersten 24 Stunden nach Veröffentlichung einer Schwachstelle sind die kritischste Phase.
Governance-Krise und ihre Folgen
Die grösste Erschütterung des WordPress-Ökosystems seit dessen Bestehen begann im September 2024.
Was passiert ist
September 2024:
Matt Mullenweg (WordPress-Mitgründer und Automattic-CEO) bezeichnet WP Engine auf der WordCamp US als «Krebs für WordPress». WordPress.org blockiert den Zugang für WP Engine-Kunden. Das ACF-Plugin wird ohne Zustimmung des Entwicklers übernommen. Über 200’000 Websites sind direkt betroffen
Oktober 2024:
WP Engine reicht Klage ein. 159 Automattic-Mitarbeitende nehmen ein Abfindungspaket und verlassen das Unternehmen. 20 Core Contributors fordern in einem offenen Brief Governance-Reformen.
Dezember 2024:
Ein US-Bundesgericht verfügt eine einstweilige Verfügung: Automattic muss den Zugang zu WordPress.org innerhalb von 72 Stunden wiederherstellen.
Juni 2025:
Bei der WordCamp Europe in Basel wird FAIR (Federated and Independent Repositories) lanciert. Unterstützt von der Linux Foundation und über 300 Contributors.
September 2025:
FAIR 1.0 wird veröffentlicht: dezentrales Paketmanagement mit kryptographischer Signierung. Das Gericht lässt die Mehrheit der WP-Engine-Klagen zu.
Februar 2026:
FAIR verlagert seinen Fokus auf TYPO3, da Hosting-Unternehmen nicht die nötigen Investitionen tätigen.
Februar 2027:
Jury Trial geplant (WP Engine vs. Automattic/Mullenweg).
Das strukturelle Problem
WordPress operiert unter einem BDFL-Modell (Benevolent Dictator for Life). Eine einzelne Person kontrolliert WordPress.org, die Trademarks und die Update-Infrastruktur für Millionen von Websites. Die WordPress Foundation übt keine wirksame Aufsicht aus.
Für Schweizer Unternehmen heisst das: Das Supply-Chain-Risiko liegt weniger in der Technologie als in der Governance. Wer WordPress im Enterprise-Umfeld einsetzt, sollte die Abhängigkeit von WordPress.org bewerten und Strategien für eine weitere Eskalation bereithalten.
Accessibility und Performance
WCAG 2.2 ist zum Enterprise-Standard geworden. Accessibility-Klagen nehmen weltweit zu. WordPress 7.0 verbessert die Barrierefreiheit des Admin-Interfaces. Für Schweizer Unternehmen mit öffentlichem Auftrag ist WCAG-Konformität bereits Pflicht. Für alle anderen wird sie zum Differenzierungsmerkmal.
Core Web Vitals sind 2026 nicht mehr nur ein SEO-Signal, sondern eine architektonische Anforderung. Die durchschnittliche Ladezeit einer WordPress-Website liegt bei 2,5 Sekunden auf Desktop und 13,25 Sekunden auf Mobile. Das Mobile-Ergebnis ist für Enterprise-Ansprüche inakzeptabel. Managed WordPress Hosting, Block Themes ohne Page-Builder-Overhead und dediziertes Performance-Engineering sind Basisanforderungen.
Handlungsempfehlungen für Schweizer Unternehmen
WordPress bleibt 2026 die wichtigste CMS-Plattform für Unternehmen jeder Grösse. Die Technologie ist leistungsfähig, das Ökosystem ist breit, die Community ist aktiv. Gleichzeitig befindet sich das Ökosystem in einem Umbruch, der strategische Aufmerksamkeit verlangt.
WordPress im Enterprise-Einsatz?
Sie setzen WordPress ein und fragen sich, ob Ihre Plattform für die nächsten Jahre richtig aufgestellt ist? Architektur, Sicherheit, KI-Strategie und Governance betreffen jedes Unternehmen, das WordPress als zentrale Plattform nutzt. Wir beraten Sie gerne zu den Themen aus diesem Report.
Kontaktieren Sie Oliver von Arx für eine
Beratung:
Tel. 044 280 55 72
E-Mail: oliver.vonarx@ova-partner.ch
Quellen
W3Techs (April 2026) · Patchstack State of WordPress Security 2026 · BigBite / SOEWP Reports 2023 & 2024 (soewp.com) · Hostinger WordPress Statistics 2026 · WPBeginner Market Share Report 2026 · WebDevStudios Enterprise WordPress Blueprint · FAIR / Linux Foundation (fair.pm) · The Repository (Governance-Berichterstattung) · WordPress.org AI Building Blocks Initiative