Gefällt Ihnen eine Website und Sie möchten herausfinden, womit sie erstellt wurde? Oder suchen Sie ein Theme für Ihr eigenes Projekt und wollen wissen, was die Konkurrenz einsetzt? Vielleicht sind Sie auch einfach neugierig, ob WordPress vor Ihnen steht oder nicht?

Früher war das trivial: ein „Powered by WordPress"-Hinweis in der Fußzeile, das standardmäßige /wp-admin, charakteristische Ordner im Quellcode. Heute verschleiern viele Betreiber ihre Plattform bewusst, und WordPress optisch von einer Eigenentwicklung oder einem Website-Baukasten zu unterscheiden, ist wirklich schwierig geworden.

Nachfolgend neun funktionierende Methoden zur Überprüfung: von der schnellsten (10 Sekunden) bis zu den technischen. Keine davon garantiert einzeln eine Antwort, aber drei oder vier zusammen tun es fast immer.

💡 Kurzüberblick:

• Methode 1: Auf „Powered by WordPress" in der Fußzeile achten, die schnellste, funktioniert aber nicht immer
• Methode 2: /wp-admin an die Domain anhängen und prüfen, wohin die Weiterleitung führt
• Methoden 3-6: Seitenquellcode, Ordner, Meta-Tags und Systemdateien betrachten, die das CMS verraten
• Methoden 7-9: Online-Detektoren (BuiltWith, IsItWP) und Browser-Erweiterungen (Wappalyzer), Automatisierung in Sekunden

Warum Sie wissen möchten, womit eine Seite erstellt wurde

Kurze Antwort: um Entscheidungen schneller zu treffen. Läuft eine Seite auf WordPress, hat sie inhärent ein standardisiertes Admin-Panel, eine verständliche Datenbankstruktur, vorhersagbare Dateipfade und ein riesiges Plugin-Ökosystem. Das bedeutet, Sie können:

• Im WordPress.org-Verzeichnis nach ähnlichen Themes und Plugins suchen, ausgehend von dem, was Sie auf einer Seite gesehen haben, die Ihnen gefällt.
• Schwachstellen bewerten: Wenn Sie die WordPress-Version und die installierten Plugins kennen, verstehen Sie, welche Sicherheitslücken theoretisch offen sind.
• Den Layout-Ansatz übernehmen: Sehen, welches Theme verwendet wird, und dessen Demo zur Inspiration finden.
• Einen Wettbewerber analysieren: Wenn alle in Ihrer Nische auf WordPress setzen und ein Akteur eine Individuallösung nutzt, sagt das viel aus.

In der Praxis sind die häufigsten Szenarien „Welches Theme ist das?" und „Wie wurde diese Funktion umgesetzt?". Beides lösen bereits die ersten Methoden unten.

Methode 1: „Powered by WordPress"-Fußzeile

Der offensichtlichste und schnellste Weg. Scrollen Sie ganz ans Ende der Seite und achten Sie auf Text wie „Powered by WordPress", „Proudly powered by WordPress" oder schlicht „WordPress".

Diese Methode funktioniert immer seltener. Standardmäßig setzt WordPress diesen Text zwar in die Fußzeile jedes Standard-Themes, aber die meisten Betreiber entfernen ihn in drei einfachen Schritten. Premium-Themes zeigen diesen Text oft gar nicht an, und bei Individualentwicklungen noch seltener. Das Fehlen dieses Textes in der Fußzeile sagt Ihnen also nichts. Sein Vorhandensein hingegen schon.

Methode 2: /wp-admin in der Adresszeile

Hängen Sie /wp-admin an die Domain der Seite in der Adresszeile Ihres Browsers an. Zum Beispiel: https://example.com/wp-admin.

Wenn Sie auf die WordPress-Login-Seite weitergeleitet werden, das charakteristische Formular mit dem WordPress-Logo und den Feldern „Benutzername" und „Passwort", dann sehen Sie WordPress. Daran besteht kein Zweifel.

Allerdings ist auch diese Methode nicht universell. Viele Betreiber ändern die standardmäßige Login-URL durch Sicherheits-Plugins (mehr dazu im Abschnitt über das Verstecken von WordPress weiter unten). In solchen Fällen liefert /wp-admin einen 404-Fehler oder leitet auf die Startseite weiter, und das beweist nicht, dass die Seite nicht auf WordPress läuft. Mit anderen Worten: Wenn es funktioniert, umso besser; wenn nicht, machen Sie weiter.

Methode 3: Suche nach wp-content und wordpress im Quellcode

Klicken Sie mit der rechten Maustaste irgendwo auf die Seite und wählen Sie „Seitenquelltext anzeigen" oder drücken Sie Ctrl+U.

Suchen Sie im geöffneten HTML mit Ctrl+F nach einem der folgenden Begriffe:

• wp-content, der Standardordner, in dem WordPress hochgeladene Bilder, Themes und Plugins speichert
• wordpress, häufig in Pfaden zu Skripten und Stylesheets zu finden
• wp-includes, ein weiterer Systemordner des Kerns

Wenn Sie wp-content in Pfaden zu Bildern oder Skripten finden, läuft die Seite sehr wahrscheinlich auf WordPress. Kein anderes verbreitetes CMS erstellt einen Ordner mit diesem Namen. Selbst wenn der Betreiber /wp-content durch ein Versteck-Plugin umbenannt hat (was selten vorkommt), können dank menschlicher Fehler immer noch Verweise auf die ursprünglichen Pfade im Code verbleiben.

Methode 4: Der Online-Dienst BuiltWith

BuiltWith ist ein kostenloses Tool, das die Technologien einer Website allein anhand der Domain analysiert. Geben Sie die Adresse in das Suchfeld ein und klicken Sie auf „Lookup".

BuiltWith zeigt nicht nur an, ob WordPress genutzt wird, sondern auch die Version, aktive Plugins, das Theme, CDN, Analytics und ein paar Dutzend weitere Technologien. Es funktioniert durch die Analyse von HTTP-Headern, Seitenstruktur und Signaturen; die Technologiedatenbank des Projekts ist umfangreich und wird wöchentlich aktualisiert.

Einschränkung: Bei Websites mit aggressivem Caching und Verschleierung von WordPress-Spuren kann die Erkennung unvollständig sein. BuiltWith identifiziert die WordPress-Nutzung jedoch fast immer, da es in jedem Theme zu viele charakteristische Muster im Markup gibt.

Methode 5: die Datei readme.html

Bei der Installation von WordPress landet eine Systemdatei namens readme.html manchmal im Wurzelverzeichnis der Website. Prüfen Sie diese Adresse:

https://example.com/readme.html

Öffnet sich die Seite und zeigt Informationen zur WordPress-Version, ist alles klar. In modernen WordPress-Versionen wird diese Datei bei der Installation weiterhin im Wurzelverzeichnis abgelegt, aber die meisten Hoster und Builds löschen sie sofort. Daher funktioniert diese Methode selten, aber die Prüfung dauert genau einen Klick.

Übrigens sollte diese Datei auf Produktivseiten gelöscht werden: Sie verrät jedem Interessierten die WordPress-Version, einschließlich Bots, die nach Schwachstellen scannen.

Methode 6: der Generator-Meta-Tag mit WordPress-Version

Ein weiterer Marker, den WordPress standardmäßig hinterlässt, ist ein Meta-Tag im <head> jeder Seite:

1
<meta name="generator" content="WordPress 6.4" />

Suchen Sie danach über dieselbe „Seitenquelltext anzeigen"-Funktion (Ctrl+F → generator). Ist der Tag vorhanden, sehen Sie WordPress, und die Version wird direkt dort angegeben.

In der Praxis wird dieser Tag zunehmend entfernt: Erstens bieten viele SEO-Plugins an, ihn mit einem Klick als „unnötige Information" zu löschen; zweitens erledigen Plugins zur Verschleierung von WordPress (Abschnitt unten) dies automatisch. Auf Websites ohne tiefgreifende Anpassung bleibt der Meta-Tag jedoch oft erhalten, und die Prüfung lohnt sich, da sie fünf Sekunden dauert.

Methode 7: der Online-Dienst IsItWP

IsItWP ist ein spezialisierter Detektor ausschließlich für WordPress. Anders als BuiltWith ist er auf eine Aufgabe ausgelegt und kann nicht nur WordPress selbst, sondern auch das konkrete Theme und Plugins identifizieren.

Geben Sie die Domain ein, klicken Sie auf „Analyze Website", und in wenigen Sekunden erhalten Sie:

• Urteil: WordPress oder nicht
• Theme-Name (falls erkannt)
• Liste der erkannten Plugins
• Hosting-Informationen

Der Dienst ist kostenlos und erfordert keine Registrierung. Für alltägliche Aufgaben wie „Welches Theme nutzt der Wettbewerber?" ist er die ideale Option. Tiefgehende Prüfungen mit Plugin-Versionen und Analytics erledigt BuiltWith besser.

Methode 8: Browser-Erweiterungen

Wenn Sie Websites regelmäßig prüfen, installieren Sie eine Browser-Erweiterung, die die Technologien einer Website in Echtzeit anzeigt, während Sie einfach Seiten durchsuchen.

Wappalyzer ist die beliebteste Option, verfügbar für Chrome und Firefox. Sie erkennt nicht nur WordPress, sondern auch das Theme, Plugins, Server, CDN, Analysesysteme und ein paar tausend weitere Technologien. Das Icon im Browser-Panel ändert sich beim Besuch einer Website und zeigt sofort an, was erkannt wurde.

Library Sniffer (Chrome) ist eine ältere Alternative, ursprünglich zur Erkennung von JavaScript-Bibliotheken entwickelt. Sie kann auch WordPress erkennen, jedoch mit geringerer Tiefe als Wappalyzer.

WordPress Detector+ (Firefox) ist eine spezialisierte Erweiterung speziell für WordPress: Themes, Plugins, Schriften. Eine gute Option, wenn Sie Firefox nutzen und das umfangreichere Wappalyzer nicht installieren möchten.

Der Hauptvorteil von Erweiterungen ist, dass Sie nirgendwo hingehen oder etwas eintippen müssen. Öffnen Sie einfach eine Website, werfen Sie einen Blick auf das Icon, und Sie wissen bereits, womit sie betrieben wird.

Wie Sie verbergen, dass eine Website auf WordPress läuft

Betrachten wir das Ganze nun von der anderen Seite. Wenn Sie eine WordPress-Website betreiben und diesen Umstand vor Außenstehenden verbergen möchten, zeigen die obigen Methoden genau, was maskiert werden muss.

Die Gründe für das Verbergen von WordPress sind nicht paranoid: Bots und Schwachstellenscanner sind gezielt auf WordPress-Seiten ausgelegt. Sie kennen die Standardpfade: /wp-admin, /wp-content und /wp-includes. Diese Bots prüfen zudem automatisch Theme- und Plugin-Signaturen. Je weniger Hinweise Sie ihnen hinterlassen, desto weniger automatisierte Angriffe treffen Ihre Website.

Das wichtigste Werkzeug dafür ist das kostenlose Plugin WP Hide & Security Enhancer. Es kann:

• Standard-URLs ändern: /wp-admin → beliebiger anderer Pfad, /wp-content → beliebiger Pfad, /wp-includes → ein nicht standardmäßiger Pfad
• Das generator-Meta-Tag und andere WordPress-Signaturen aus dem Code entfernen
• Links zu WordPress.org und die WordPress-Version in Skripten und Styles ausblenden
• Den direkten Zugriff auf Systemdateien sperren: readme.html, wp-config.php und xmlrpc.php
• Klassen und IDs im HTML umbenennen und wp--Präfixe entfernen

Das Plugin bietet mehrere voreingestellte Stufen: von leichter Maskierung (kompatibel mit allen Plugins) bis zu tiefgreifender Maskierung (weniger kompatibel, hinterlässt aber fast keine WordPress-Spuren). Sie können ein fertiges Profil wählen, ohne jeden Parameter manuell konfigurieren zu müssen.

Der Reiter Allgemein konfiguriert grundlegende Dinge:

• Eigenes Template für die 404-Seite anstelle des Standards
• Vertrauenswürdige Benutzerrollen, die sich über die Standard-URL anmelden dürfen
• Neue URL für die Anmeldeseite anstelle von /wp-login

Das Plugin bereinigt die HTML-Ausgabe: Es entfernt WordPress-Versionsinformationen aus Skripten und Styles, löscht wp-includes- und wp-content-Pfade aus dem Seitencode. Für Besucher sieht die Website gleich aus, aber die charakteristischen WordPress-Merkmale verschwinden aus dem Markup.

Eine separate Funktion übernimmt die HTML-Minifizierung und die Ersetzung von Schlüsselwörtern im Code. Sie können automatisch alle Vorkommen von „wordpress" und „wp-" aus dem Markup entfernen lassen.

Der Reiter Permalinks & URLs ist der wichtigste für die Maskierung. Hier legen Sie nicht standardmäßige Pfade für alles fest: Theme-Ordner, Uploads, wp-includes. Sie können sogar Systemdateien wie wp-comments-post.php umbenennen und so Angriffe über das Kommentarformular unter der Standardadresse verhindern.

Auf demselben Reiter werden RSS-Feeds und Autorenseiten ausgeblendet oder deren URLs geändert. Bots suchen häufig nach /author/admin/ und /feed/ als sichere Anzeichen für WordPress; indem Sie diese Endpunkte schließen, entziehen Sie ihnen die einfache Erkennung.

Ähnliche Einstellungen gibt es für Seiten, Beiträge, Kategorien und Schlagwörter: Sie können sie vor dem öffentlichen Zugriff verbergen oder die URL-Struktur umbenennen. Zusammengenommen entzieht dies praktisch alle automatischen WordPress-Erkennungsmethoden.

Hinweis: Aggressives Verbergen führt mitunter zu Funktionsstörungen. Wenn Sie beispielsweise Kategorien aus URLs entfernen, können Besucher Beiträge nicht mehr nach Thema filtern. Das Umbenennen des wp-content-Ordners kann Plugins beeinträchtigen, die den Pfad fest codiert haben. Testen Sie Änderungen auf einer Kopie Ihrer Website und aktivieren Sie Optionen einzeln, wobei Sie die Funktionalität nach jeder Änderung prüfen.

Alternative: Hide My WP, ein älteres kommerzielles Plugin von CodeCanyon. Zum Zeitpunkt der Erstellung dieses Textes ist dessen Seite nicht verfügbar und das Projekt wird offenbar nicht mehr gepflegt. Falls Sie in alten Artikeln darauf gestoßen sind, nutzen Sie stattdessen WP Hide & Security Enhancer, ein lebendiges und aktiv aktualisiertes Werkzeug mit demselben Funktionsumfang.

Alle beschriebenen Methoden werden in diesem Video visuell demonstriert:

⁉️🤔 Häufig gestellte Fragen

Kann man WordPress zuverlässig vor Erkennung verbergen?

Vollständig, nein. Selbst mit umbenannten Ordnern und versteckten Meta-Tags bleiben indirekte Hinweise bestehen: HTML-Klassenstruktur bestimmter Themes, REST-API-Verhalten (/wp-json/), Signaturen gängiger Plugins in JS-Dateien. Das Ziel ist, die automatische Erkennung für Bots zu unterbinden, nicht, sich vor jemandem zu verstecken, der weiß, wonach er suchen muss.

Was ist die schnellste Prüfmethode?

Eine Kombination: Hängen Sie /wp-admin an die Domain an (2 Sekunden) und öffnen Sie IsItWP.com (10 Sekunden). Wenn beides keine eindeutige Antwort liefert, sehen Sie sich den Quellcode an. In der Praxis reichen diese drei in den allermeisten Fällen aus.

Warum zeigt eine Website nicht „Powered by WordPress" an, obwohl es WordPress ist?

Weil der Betreiber diesen Text entfernt hat. Das geschieht entweder in den Theme-Einstellungen, über die footer.php eines Child-Themes oder mit einem Plugin wie WP Hide. Übliche Praxis bei kommerziellen Seiten, niemand möchte seine Plattform unnötig offenlegen.

Ist es zwingend erforderlich, zu verbergen, dass eine Seite mit WordPress läuft?

Nein, das ist es nicht. Wenn die Seite keine vertraulichen Daten enthält und keine gezielten Angriffe auf sich zieht, schadet ein „Powered by WordPress"-Footer niemandem. Eine Verschleierung ist für Seiten nötig, die bereits Ziel von Bots geworden sind oder in sensiblen Bereichen agieren (Finanzen, Gesundheitswesen, Mitgliederbereiche).

Was ist besser: Wappalyzer oder BuiltWith?

Für schnelle Überprüfungen zwischendurch Wappalyzer (Erweiterung, sofortiges Ergebnis). Für eine detaillierte Analyse der Website-Technologie BuiltWith (Weboberfläche, mehr Daten, Historie der Technologieänderungen). Sie sind keine Konkurrenten, sondern ergänzende Werkzeuge.

Was installieren und wie prüfen: die abschließende Übersicht

Die neun oben genannten Methoden sind keine „Entscheiden Sie sich für eine"-Situation. Sie bilden eine Stufenleiter: Beginnen Sie mit der schnellsten und gehen Sie tiefer, bis Sie eine sichere Antwort erhalten. In den meisten Fällen genügen die ersten drei oder vier Punkte. Der Rest ist für hartnäckige Seiten, deren Betreiber wirklich versucht haben, ihre Spuren zu verwischen.

Wenn Sie regelmäßig Seiten überprüfen, installieren Sie Wappalyzer. Ein Klick bei der Installation spart Ihnen über das Jahr hinweg Dutzende Stunden „Quellcode ansehen".

Wenn Sie Seitenbetreiber sind und die Anzahl automatisierter Angriffe reduzieren möchten, installieren Sie WP Hide & Security Enhancer. Kostenlos, flexibel, wird aktualisiert. Aktivieren Sie nur nicht alle Optionen auf einmal: Testen Sie sie einzeln nacheinander auf einer Kopie.