Die Einweg-Webseite: Warum 100% KI-generierte WordPress-Themes eine tickende Zeitbombe sind

Einleitung

Promptest du noch oder entwickelst du schon? Die neue Generation an KI-Coding-Assistenten macht es verlockend einfach: Du beschreibst in zwei Sätzen, was du willst, und fünf Minuten später steht ein komplettes WordPress-Theme im Browser. Es sieht schick aus, es fühlt sich magisch an - und technisch ist es oft ein Himmelfahrtskommando. Das Problem sind nicht die Funktionen von heute. Das Problem sind die Updates von morgen.

Was gerade als Vibe Coding durch die Entwickler-Szene geistert - also Software rein über natürliche Sprache zusammenprompten, ohne selbst eine Zeile zu verstehen - erzeugt in Rekordzeit Ergebnisse, die im ersten Moment beeindrucken. Doch wer für Kunden ein reines KI-Theme baut, liefert ein Produkt mit eingebautem Verfallsdatum. Eine Einweg-Webseite. Und die Rechnung dafür kommt garantiert - nur eben erst dann, wenn der Hoster die alte PHP-Version abschaltet.

Als Geschäftsführer oder Agentur willst du eine Seite, die auch in zwei Jahren noch läuft, ohne dass alles in sich zusammenfällt. In diesem Artikel zeige ich dir mit harten Zahlen, warum reine KI-Themes gefährlich sind - und wie der Ansatz aussieht, mit dem Profis die Geschwindigkeit der KI nutzen, ohne ihre Haftung aufs Spiel zu setzen. Kleiner Spoiler: Diesen Artikel habe ich selbst faktengecheckt. Und dabei ein paar der herumgereichten Statistiken korrigiert.

Das Phänomen: Schnell gebaut heißt nicht solide gebaut

Die harten Zahlen: Was die Studien wirklich sagen

Fangen wir bei der Sicherheit an. Der Veracode 2025 GenAI Code Security Report hat Code von über 100 Sprachmodellen quer durch Java, Python, C# und JavaScript geprüft. Das Ergebnis ist ernüchternd: In 45% der Aufgaben wählte das Modell die unsichere Variante und schleuste eine Schwachstelle ein. Wichtig für die korrekte Einordnung - das heißt nicht "jedes zweite Snippet hat ein Loch", sondern: bei fast der Hälfte der Aufgaben entschied sich die KI gegen die sichere Lösung. Bei den WordPress-typischen Angriffsklassen wird es noch unangenehmer: 86% der Samples versagten beim Schutz gegen Cross-Site-Scripting - also genau die Lücke, über die ein ungefiltertes Kontaktformular zum Einfallstor wird.

Sicherheit ist kein Zufallsprodukt

Modelle lernen aus Milliarden Zeilen offenem Code - und ein großer Teil davon ist selbst nicht sicher. Ohne explizite Sicherheitsvorgaben im Prompt überlässt du die Entscheidung dem Modell. Und das entscheidet sich in fast der Hälfte der Fälle falsch.

Wartbarkeit im Sinkflug

Die GitClear-Studie hat 211 Millionen geänderte Codezeilen zwischen 2020 und 2024 untersucht. Der Anteil an refaktoriertem, wiederverwendetem Code ist von rund 25% (2021) auf unter 10% (2024) eingebrochen. 2024 war das erste Jahr überhaupt, in dem mehr kopiert als konsolidiert wurde - und die Zahl duplizierter Code-Blöcke hat sich in diesem Jahr verachtfacht.

Die KI dupliziert, sie denkt nicht voraus

Genau das ist der Kern: KI schreibt selten den vorausschauenden, modularen Code, der eine Seite langlebig macht. Sie kopiert Logiken. Und jeder duplizierte Block ist eine Stelle mehr, die du bei einem zukünftigen Fix von Hand nachziehen musst.

Kurz gesagt: Der Output ist schnell, aber die Schulden wachsen mit. Und bei einer Kundenseite erbst am Ende du - oder dein Kunde - die Aufräumarbeit.

Das Update-Vakuum: Der Snapshot, der niemanden hat

Ein reines KI-Theme ist ein Foto von einem einzigen Moment. Es bekommt keine automatischen Updates, weil es keine Quelle gibt, gegen die WordPress abgleichen könnte. Sobald dein Hoster eine alte PHP-Version abschaltet und veraltete Funktionen nicht mehr unterstützt werden, fliegen dem Kunden entweder Deprecated-Warnungen oder gleich Fatal Errors um die Ohren. Und dann ist da niemand mit einem "Update"-Button, der das behebt.

Um es fair zu sagen: Ein KI-Theme explodiert nicht automatisch beim Sprung auf PHP 8.4. Ob es bricht, hängt davon ab, wie sauber der Code ist. Das eigentliche Problem ist ein anderes und es ist strukturell: Es gibt keinen Wartungspfad. Niemand ist zuständig. Und "niemand ist zuständig" ist bei einer geschäftskritischen Website die gefährlichste aller Ausgangslagen.

Das Kundenrisiko: Von der Black Box zur Haftungsfalle

Kunden sind es gewohnt, im Dashboard auf "Aktualisieren" zu klicken. Fällt das weg, entsteht ein Produkt, das sich für sie wie eine Black Box anfühlt - und für dich als Dienstleister wie ein offenes Haftungsrisiko.

Der wunde Punkt ist die Betriebssicherheit. Wer als Entwickler Code ausliefert, steht für dessen Funktion zum Zeitpunkt der Übergabe gerade. Bricht die Seite nach einem PHP-Sicherheitsupdate zusammen, ist der Ärger vorprogrammiert. Und wenn durch eine unentdeckte KI-Lücke ein echter Schaden entsteht - etwa Datenabfluss über ein ungefiltertes Formular - dann ist das kein Schönheitsfehler mehr, sondern ein Fall fürs Kleingedruckte. KI prüft weder DSGVO-Konformität noch validiert sie Eingaben zuverlässig. Das bleibt an dir hängen.

Die saubere Lösung: KI als Co-Pilot, nicht als Architekt

Dieser Ansatz löst das Update-Dilemma komplett, weil er zwei Dinge strikt trennt: das Fundament, das jemand anderes pflegt, und deine Erweiterungen, für die nur du zuständig bist. Drei Regeln haben sich dabei in der Praxis durchgesetzt:

Der Unterschied im Code: Verrotten vs. Skalieren

Beide folgenden Snippets bauen dieselbe Autoren-Box unter einen Beitrag. Optisch ist das Ergebnis im Browser identisch. Der Unterschied liegt nicht in dem, was der Nutzer sieht - sondern in der statischen gegen die dynamische Zukunft der Seite. Beispiel 1 verrottet. Beispiel 2 skaliert.

// KI-Output, blind übernommen - klassische XSS-Lücke
function autoren_box( $content ) {
    $name = $_GET['autor'];  // ungefiltert - direkt aus der URL
    $box  = '<div class="autor-box">Autor: ' . $name . '</div>';
    return $content . $box;  // feuert überall, auch im Archiv
}
add_filter( 'the_content', 'autoren_box' );

/**
 * @generiert_mit KI-Assistent - 2026-07-17
 * @zweck        Autoren-Box unter Single-Posts
 * @ablageort    Child-Theme / functions.php
 */
function da_autoren_box( $content ) {
    // Nur im Beitrag, nur im Main-Loop - kein Content-Spam
    if ( ! is_singular( 'post' ) || ! in_the_loop() || ! is_main_query() ) {
        return $content;
    }
    $autor = get_the_author_meta( 'display_name' );
    $bio   = get_the_author_meta( 'description' );

    $box  = '<aside class="autor-box">';
    $box .= '<strong>' . esc_html( $autor ) . '</strong>';
    $box .= '<p>' . wp_kses_post( $bio ) . '</p>';
    $box .= '</aside>';

    return $content . $box;
}
add_filter( 'the_content', 'da_autoren_box' );

100% update-sicher

Weil diese Funktion im Child-Theme oder Plugin liegt, kann das Fundament jeden Monat aktualisiert werden. Die Autoren-Box bleibt unberührt.

Sauber sanitized

Durch esc_html() und wp_kses_post() wird jede Ausgabe sterilisiert. Die XSS-Lücke aus Beispiel 1 ist geschlossen - genau die Klasse Fehler, die laut Veracode 86% der KI-Samples nicht abfangen.

Kein Content-Spam

Dank is_singular() und in_the_loop() weiß der Code exakt, wann er feuern darf - und taucht nicht versehentlich auf Archivseiten oder in Suchergebnissen auf.

Wartbar durch Tagging

Der standardisierte Header macht das Snippet bei einem späteren PHP-Audit in Sekunden auffindbar. Suchen, prüfen, weiter.

Reines KI-Theme vs. Hybrid: Die Gegenüberstellung

Kein Einzelfall: Was die Community gerade diskutiert

Das Thema kocht nicht nur in Nischen-Foren hoch. Sogar im offiziellen WordPress-Core-Umfeld wird gerade heftig darüber gestritten, wie tief KI ins System darf - Stichwort "AI as a WordPress Fundamental". Die Reaktionen der Entwickler sind gespalten, und ein Begriff taucht dabei immer wieder auf: AI Slop - minderwertiger KI-Code-Müll, der das Ökosystem überschwemmt. Die größte Sorge ist erstaunlich konkret und deckt sich exakt mit dem, was dieser Artikel behandelt: Wer repariert eigentlich all die Seiten, die Laien per Prompt zusammengeklickt haben, wenn in zwei Jahren die nächste große Core-Änderung ansteht?

Der Konsens unter Profis ist eindeutig: Ganze Themes per Prompt bauen gilt als technisches Himmelfahrtskommando. Der Weg nach vorn ist die Kombination aus stabilem, gewartetem Fundament und KI-Einsatz nur für isolierte, geprüfte Erweiterungen. Genau der Hybrid-Ansatz, um den es hier geht.

Häufig gestellte Fragen

Fazit: KI nimmt dir die Schreibarbeit ab, nicht das Denken

KI-Coding-Tools sind ein brutal schneller Assistent - aber ein miserabler Architekt. Wer die komplette Struktur einer WordPress-Seite an einen Prompt abgibt, baut auf Sand: Der erste PHP-Sprung, das erste Core-Update, die erste ungeprüfte XSS-Lücke, und die Einweg-Webseite hat ihr Verfallsdatum erreicht. Und dann steht - je nach Vertrag - der Kunde oder du selbst in der Verantwortung.

Nutz die Geschwindigkeit der KI für maßgeschneiderte Snippets - aber setz sie auf ein unkaputtbares Fundament. Dann bleibt die Seite für den Kunden wartbar und für dich als Entwickler sicher. Wie du dein WordPress darüber hinaus konsequent verschlankst, zeigt der WordPress-Diät-Guide. Und warum das Fundament auch beim Ressourcenverbrauch entscheidet, liest du in der 512-MB-Falle.