Die Ladezeit einer WordPress-Installation entsteht an mehreren Stellen gleichzeitig. Ein Teil davon liegt in der eigenen Installation, ein weiterer Teil wird beim Seitenaufruf von fremden Servern nachgeladen. Analysewerkzeuge, Einwilligungsdialoge, Kartendienste, Videoeinbettungen, Schriftdateien und Werbeskripte bringen jeweils eigene Verbindungen mit. Damit fallen in der IT zwei Prüfungen zusammen, die in vielen Unternehmen getrennt bearbeitet werden. Der Datenschutz frägt, welche Daten beim Aufruf an Dritte abfließen. Die Webredaktion frägt, warum sich der sichtbare Seitenaufbau verzögert. Beide Fragen treffen auf dieselbe Liste von Anfragen, die ein einzelner Seitenaufruf auslöst.
Fremdskripte starten häufig vor der Einwilligung
Wie viele Einbindungen dabei zusammenkommen, hat eine Untersuchung der Universität Bamberg bereits 2022 an 81 deutschsprachigen Websites gemessen. Ihre Ergebnisse gehören zum Kern der Debatte um unkontrollierte Tracker auf Unternehmenswebsites. 79 Prozent der geprüften Seiten luden Tracker, bevor der Cookie-Banner für den Nutzer überhaupt sichtbar wurde, und nur 17 Prozent arbeiteten datensparsam. Nach einem Klick auf „alles akzeptieren“ nahmen die Seiten im Schnitt Kontakt zu 18 Unternehmen auf, bei einem Viertel von ihnen waren mehr als 26 Tracker beteiligt. Selbst nach einer Ablehnung blieben im Mittel zwei Drittanbieter aktiv, in einem Fall 20.
Für die Ladezeit zählt neben der Zahl der Dienste vor allem ihr Startzeitpunkt. Skripte, die noch vor dem Einwilligungsdialog anlaufen, belegen Rechenzeit und Bandbreite in genau der Phase, in der der Browser den sichtbaren Bereich aufbauen soll. Hinzu kommt die Zahl der beteiligten Hosts, denn Namensauflösung, Verbindungsaufbau und TLS-Handschlag fallen je Host erneut an, unabhängig davon, wie klein die nachgeladene Datei ist. Aus Sicht des Datenschutzes ist dieselbe Anfrage eine Übermittlung an einen Dritten, für die eine Rechtsgrundlage vorliegen muss.
Ein Inventar der Einbindungen beantwortet beide Fragen
Beide Abteilungen arbeiten mit derselben Datenquelle. Der Netzwerkmitschnitt der Entwicklerwerkzeuge im Browser hält für jeden Aufruf fest, welche Hosts kontaktiert werden, in welcher Reihenfolge und mit welcher Verzögerung. Daraus entsteht eine Liste, die für jede Einbindung vier Angaben führt:
- den Zielhost und den Anbieter dahinter,
- den Zweck der Einbindung und die fachlich verantwortliche Stelle,
- ob die Anfrage vor oder erst nach der Einwilligung ausgelöst wird,
- ob sich der Dienst lokal ausliefern, ersetzen oder streichen lässt.
Was selbst ausgeliefert wird, bleibt kontrollierbar
Viele dieser Einbindungen lassen sich auflösen. Webfonts etwa werden auf dem eigenen Server abgelegt, womit die Anfrage an den fremden Host entfällt und die Einwilligung für diesen Posten gegenstandslos wird. Bei Kartenausschnitten und Videoeinbettungen erfüllt oft ein statisches Bild den redaktionellen Zweck, der eingebettete Dienst startet dann erst auf Nutzerwunsch. Bei Bildern hängt die Datenmenge am gewählten Format. AVIF komprimiert deutlich stärker als PNG oder JPEG und beherrscht zugleich höhere Farbtiefen, animierte Einzelbilder und Transparenz. Eingebunden wird es über das Picture-Element mit einem Rückfallformat für Browser ohne Unterstützung. WebP und AVIF sind JPEG vorzuziehen, wo bessere Wiedergabe und stärkere Komprimierung gefragt sind, während PNG für verlustfreie Standbilder die erste Wahl bleibt.
Die eigene Installation muss das Nachrücken tragen
Wandern Schriften, Bilder und Einbettungen zurück in das eigene Projekt, verschiebt sich die Last auf die Laufzeitumgebung. Welche Aufgaben dabei beim Betreiber liegen, regelt das gewählte Paket.
Ein Angebot für WordPress-Hosting umfasst üblicherweise die Laufzeitumgebung mit PHP, Datenbank und Zertifikat, häufig dazu einen getrennten Bereich zum Testen von Aktualisierungen. Der Anbieter Hosttech führt WordPress als eigene Produktlinie neben dem allgemeinen Webhosting, was für WordPress-Websites mehr Performance liefert laut Hosttech. Auch andere Anbieter wie Ionos oder Strato bieten spezielle WordPress-Hosting Tarife.
Die Laufzeitumgebung hat zudem einen festen Lebenszyklus. Der Support für PHP 8.1 lief Ende 2025 aus, für PHP 8.2 endet er Ende 2026. WordPress empfiehlt für den Betrieb PHP 8.3 oder neuer. Eine Installation auf einer abgelaufenen Version erhält keine Sicherheitskorrekturen mehr. Das BSI zählt Transportverschlüsselung sowie ein geregeltes Patch- und Schwachstellenmanagement zu den zentralen Maßnahmen für Webanwendungen, die OWASP Top 10 dienen dabei als Referenz für bekannte Schwachstellenklassen.
Die Schwellenwerte der Core-Web-Vitals stammen von Google
Für die Bewertung der Ladeerfahrung haben sich drei Messwerte durchgesetzt. Largest-Contentful-Paint gilt als gut, wenn das größte sichtbare Element innerhalb von 2,5 Sekunden steht. Cumulative-Layout-Shift gilt bis zu einem Wert von 0,1 als gut. Interaction to Next-Paint gilt unter 200 Millisekunden als gut, zwischen 201 und 500 Millisekunden als verbesserungswürdig und darüber als schlecht. Diese Grenzwerte stammen von Google. Eine deutschsprachige Behörden- oder Normquelle dafür gibt es nicht, weshalb sie als Vorgabe eines Marktteilnehmers zu lesen sind.
Ladezeit ist einer von mehreren Hebeln für Sichtbarkeit
Die Ladezeit wirkt auf die Nutzererfahrung, über Reichweite entscheidet zusätzlich die Wahl der Kanäle. Für die Sichtbarkeit im E-Commerce stehen organische Suche, Google-Ads und Amazon-Werbung nebeneinander, jeweils mit eigenen Kosten- und Zeitprofilen. Eine technisch schnelle Seite verstärkt die Nachfrage, die über diese Kanäle entsteht.
Die Leitung ist bei der Mehrheit nicht der Engpass
Die Annahme, langsame Seiten lägen an der Anbindung der Besucher, trägt in Deutschland nur begrenzt. Die Breitbandmessung der Bundesnetzagentur stützt sich im Berichtszeitraum vom 1. Oktober 2024 bis zum 30. September 2025 auf 184.452 valide Festnetzmessungen und liegt als zehnter Jahresbericht dieser Reihe vor. Mindestens die Hälfte der vertraglich zugesagten Höchstgeschwindigkeit beim Download bekamen 85,9 Prozent der messenden Nutzer, ein Jahr zuvor 86,5 Prozent. Die zugesagte Höchstrate selbst wurde bei 45,9 Prozent voll erreicht oder übertroffen, gegenüber 45,2 Prozent im Vorjahr.
Die Behörde ordnet diese Werte selbst ein. Der Bericht beruht allein auf den Messungen der App-Nutzer. Eine repräsentative Stichprobe ist das nach ihrer Darstellung nicht, Aussagen zur Versorgungssituation lässt der Bericht deshalb ausdrücklich nicht zu. Der Jahresbericht Telekommunikation derselben Behörde zeigt zugleich, wie unterschiedlich die Anschlüsse ausgestattet sind. Auf Glasfaser entfielen 16,5 Prozent der Breitbandanschlüsse, auf DSL 58,5 Prozent. Der Seitenaufbau muss also auf einer durchschnittlichen DSL-Leitung funktionieren, während die Ursache langer Wartezeiten meist auf der Seite selbst liegt.
Die Bestandsaufnahme gehört vor die Optimierung
Sechs Punkte strukturieren die Arbeit an einer bestehenden WordPress-Installation:
- jede Einbindung von einer Fremddomain mit Zweck, Rechtsgrundlage und Startzeitpunkt erfassen,
- den Einwilligungsdialog so konfigurieren, dass vor der Zustimmung keine Tracker starten,
- Schriften selbst ausliefern, Karten und Videos erst nach einem Klick nachladen,
- Bilder in WebP oder AVIF ausliefern und AVIF über das Picture-Element mit Rückfallformat einbinden,
- die PHP-Version im Support-Zeitraum halten und Aktualisierungen zuerst in einer Testumgebung prüfen,
- jede Messung mit dem Einwilligungsstand protokollieren, in dem sie entstanden ist.
Der Bestand an Fremdinhalten entscheidet über beide Prüfungen
Die Ladezeit einer WordPress-Seite erklärt sich größtenteils aus dem, was die Seite selbst anfordert. Genau diese Anfragen stehen auch im Mittelpunkt der datenschutzrechtlichen Bewertung, weshalb sich ein einmal geführtes Inventar doppelt auszahlt. Messwerte helfen bei der Einordnung, solange ihre Herkunft und ihr Erhebungszeitraum mitgelesen werden.
