Websites herunterladen, die WP-Statistics nutzen

Über WP-Statistics

Die Wahl des Analytics-Tools verrät Absichten. Eine Website, die Besucherdaten an einen gehosteten Dienst schickt, hat eine Entscheidung über Datenschutz, Beschaffung und den Speicherort ihrer Logs getroffen, und eine Website, die in ihrer eigenen Datenbank zählt, hat eine andere getroffen. WP-Statistics gehört zur zweiten Gruppe. Das Plugin aus der Kategorie Analytics läuft innerhalb von WordPress und speichert, was es erfasst, auf dem eigenen Server der Website.

Das Plugin ist seit 2010 verfügbar, steht unter der Lizenz GPL v2 und ist wie die Plattform, die es erweitert, in PHP geschrieben. Dass die Besucherdaten lokal bleiben, ist der ganze Sinn des Konzepts, und der Reiz lässt sich leicht benennen: kein Drittanbieter-Skript auf der Seite, kein Auftragsverarbeitungsvertrag, den man unterschreiben muss, keine Abhängigkeit davon, dass ein externer Anbieter weiterhin eine kostenlose Stufe anbietet. Für Betreiber in Rechtsordnungen, in denen die Einwilligung für externe Analytics umstritten ist, ist ein selbst gehosteter Zähler der kürzeste Weg zu einer Lösung, die sich gegenüber einer Aufsichtsbehörde verteidigen lässt.

An den Versionsdaten zeigt sich, wie aufschlussreich eine installierte Basis wie diese ist. In freier Wildbahn erfassen wir 44 verschiedene Versionen, und am häufigsten begegnet uns Version 12.6.13. Eine so breite Streuung der Versionen bei einem Plugin, das häufig neue Releases veröffentlicht, sagt etwas Eindeutiges über die Wartung aus: Ein großer Teil dieser Installationen läuft auf Websites, die niemand aktiv administriert. Veraltete Plugin-Builds sind sowohl für Sicherheitsforscher relevant, die Angriffsflächen katalogisieren, als auch für alle, die Hosting, Wartung oder verwaltete Updates verkaufen, denn wo der Zähler veraltet ist, ist es meist auch alles andere.

Stand Oktober 2026 erkennen wir WP-Statistics auf 5.905 Websites. Eine Abfrage pro Domain zeigt, ob eine einzelne Website das Plugin nutzt. Die herunterladbare Liste klärt die Fragen, die es nur in der Gesamtschau gibt: wie viele Websites einen selbst gehosteten Zähler statt eines gehosteten Dienstes betreiben, welche davon sonst nichts aus der Kategorie Analytics einsetzen, wie sich die Versionsverteilung seit dem letzten Export verschoben hat und welcher Content-Management-Stack darunter liegt. Anbieter von Datenschutz-Tools nutzen die Liste, um einen Markt von Betreibern zu vermessen, die bereits gezeigt haben, dass ihnen das Thema wichtig ist. Sicherheitsteams finden damit Hosts mit veralteten Builds. Hosting-Unternehmen erfahren daraus, was ihre eigenen Kunden installieren, ohne jemanden fragen zu müssen.

Die Erkennung setzt voraus, dass das Plugin etwas Sichtbares in der Seite oder in einem Anfragepfad hinterlässt, und ein Plugin, dessen Zweck gerade darin besteht, keine externen Skripte zu laden, ist von Natur aus unauffälliger als eines, das um ein gehostetes Tracking-Tag herum gebaut ist. Manche Installationen entgehen uns, vor allem wenn eine Caching-Schicht vollständig statisches HTML ausliefert oder ein Administrator das Plugin-Verzeichnis umbenannt oder den Zugriff darauf eingeschränkt hat. Versionsangaben stammen nur von Installationen, die sie preisgeben, und die Aufschlüsselung nach Versionen beschreibt deshalb eine Teilmenge der gezählten Websites und nicht alle.