WordPress-Plugins für ChatGPT: sechs Wege, eine Seite fernzusteuern

Beitrag von

11. September 2026

·

Wer im Plugin-Verzeichnis von ChatGPT nach «WordPress» sucht, bekommt seit ein paar Wochen sechs Treffer. Dahinter stehen Automattic, der Hoster Hostinger, das Awesome Motive Haus SeedProd, der Sicherheitsanbieter miniOrange und ein einzelner Entwickler mit gleich zwei Produkten.

Alle sechs versprechen dasselbe Grundmuster: WordPress bedienen, ohne WordPress zu öffnen. Sie unterscheiden sich aber erheblich darin, wie sie sich mit der Seite verbinden, wie viel Kontrolle sie abgeben und wie ernst sie das Thema Sicherheit nehmen. Und weil das Verzeichnis seit Juli 2026 auch Codex bedient, betrifft das nicht nur die Redaktion, sondern auch die Entwicklung. Dieser Artikel ordnet die sechs Einträge ein, erklärt die Technik dahinter und benennt, worauf vor dem Verbinden zu achten ist.

Inhalt

Plugins heissen wieder Plugins

Der Name führt in die Irre, weil er schon einmal vergeben war. OpenAI startete im März 2023 eine Plugin-Beta für ChatGPT, stellte sie im Februar 2024 zur Abkündigung und schaltete sie am 9. April 2024 endgültig ab. Als Begründung nannte das Unternehmen unter anderem, dass die Plugins bei über tausend Einträgen kaum noch auffindbar waren. GPTs sollten der bessere Weg sein.

Der zweite Anlauf begann im Oktober 2025 unter anderem Namen. OpenAI stellte «Apps in ChatGPT» samt Apps SDK vor, im Dezember 2025 öffnete die Einreichung für Drittentwickler und das App-Verzeichnis ging live. Am 9. Juli 2026 wurde daraus das Plugin-Verzeichnis, diesmal gemeinsam für ChatGPT und Codex. Bestehende Verbindungen liefen weiter.

Ein Plugin ist heute das Bündel. Es kann eine App enthalten, also die eigentliche Verbindung zu externen Daten und Aktionen, dazu Skills und App-Templates. Ein Skill ist ein wiederverwendbares Instruktionsset für einen Arbeitsablauf, das ChatGPT lädt, wenn die Aufgabe dazu passt. Im Verzeichnis trennt ein eigener Tab die beiden Kategorien. Technisch bauen die Apps auf dem Model Context Protocol auf, dem offenen Standard, den Anthropic 2024 veröffentlicht hat. Das ist der Grund, warum dieselben WordPress-Anbindungen meist auch in Claude, Cursor oder VS Code funktionieren.

Dasselbe Verzeichnis für ChatGPT und Codex

Seit der Umstellung im Juli 2026 bedient das Verzeichnis nicht nur ChatGPT, sondern auch Codex, die Entwicklungsumgebung von OpenAI. Das ist mehr als eine Randnotiz, weil es die Zielgruppe verändert. In ChatGPT sitzt jemand, der einen Beitrag schreiben will. In Codex sitzt jemand, der ein Theme baut.

Nicht jedes Plugin läuft überall. Das Hilfe-Center von OpenAI hält ausdrücklich fest, dass manche Plugins in ChatGPT und Codex funktionieren, andere auf eine Oberfläche beschränkt sind. Ein Plugin mit der Kennzeichnung «Desktop only» läuft im Browser gar nicht. Diese Kennzeichnung trifft Plugins, die eigene MCP-Server über eine Datei wie mcp.json mitbringen. Das gilt auch dann, wenn der Server selbst über HTTPS erreichbar wäre.

Für die sechs WordPress-Einträge lässt sich das nachsehen. Die Schnittstelle, über die das Verzeichnis seine eigenen Daten bezieht, gibt zu jedem Eintrag ein Feld aus, das festhält, ob eine lokale Ausführungsumgebung nötig ist. Bei allen sechs steht dort «nein», keiner bringt ein herunterzuladendes Paket mit. Alle sechs sind damit Verbindungen über HTTPS und keine oberflächengebundenen Sonderfälle. Technisch spricht nichts dagegen, sie in Codex zu verwenden.

Der Weg dorthin ist ein anderer als in ChatGPT. Statt einer Erwähnung mit dem Klammeraffen im Gespräch läuft es in einer Codex-Aufgabe über «Sources» und dort «Use plugins». In den Einstellungen von Codex findet sich die Verwaltung nicht, dort stehen nur GitHub, GitLab, Slack und Linear. Änderungen am Verzeichnis brauchen laut OpenAI in Codex bis zu sechs Stunden, bis sie sichtbar werden.

Eine Einschränkung bleibt offen. Ob jeder der sechs Einträge in der Auswahlliste einer Codex-Aufgabe tatsächlich erscheint, liess sich ohne verbundenes GitHub- oder GitLab-Repository nicht prüfen, weil Codex ohne Repository keine Aufgabenansicht öffnet. Die Metadaten sprechen dafür, ein Nachweis am laufenden System ist es nicht.

Praktisch interessant ist die Doppelnutzung vor allem bei WordPress.com. Dessen Eintrag nennt als einziger Codex ausdrücklich und erlaubt dort die Verbindung zu WordPress Studio, also zu einer lokalen Installation für Theme- und Plugin-Entwicklung. Die übrigen fünf sind erkennbar auf die Redaktion zugeschnitten. WPWriter trägt die Ausrichtung im Untertitel. Die Beispielanfragen im Verzeichnis drehen sich um Beiträge, Meta-Beschreibungen und Beitragsbilder. Das sind Aufgaben, für die niemand eine Entwicklungsumgebung öffnet.

Wer die Werkzeuge in Codex einsetzen will, sollte ausserdem das zweite Tab im Verzeichnis im Blick behalten. Skills sind laut OpenAI grundsätzlich den Plänen Business, Enterprise, Healthcare und Edu vorbehalten. Auf einem persönlichen Konto fehlt damit ein Teil dessen, was die Übersichtsseite anzeigt.

Die Schicht darunter: Abilities API und MCP

Damit ein Sprachmodell eine WordPress-Seite bedienen kann, braucht es zwei Dinge.

Eine Liste dessen, was die Seite überhaupt kann, in einem Format, das eine Maschine lesen kann.
Einen Transportweg, über den diese Fähigkeiten aufgerufen werden.

Das erste liefert die WordPress Abilities API, seit WordPress 6.9 im Dezember 2025 Teil des Core. Plugins und Themes registrieren ihre Funktionen dort mit Ein- und Ausgabeschema sowie einer Berechtigungsprüfung. Das zweite liefert MCP. Der WordPress MCP Adapter, im Februar 2026 vorgestellt, macht registrierte Abilities als MCP-Tools verfügbar. Wie diese beiden Teile zusammenspielen, haben wir in unserem Beitrag zur Agentenschnittstelle für das Web ausführlicher aufgearbeitet.

Alle sechs Einträge im Verzeichnis sitzen auf dieser Schicht auf. Was sie unterscheidet, ist nicht das Protokoll, sondern wer den MCP-Server betreibt, wie die Anmeldung abläuft und wie viele Tools freigeschaltet werden.

WordPress.com von Automattic

Der Eintrag von Automattic ist der einzige, der von der Firma hinter WordPress.com selbst kommt. Er ist auch der einzige, der nicht für selbst gehostete Installationen gedacht ist. Er erschien am 24. August 2026 und trägt im Verzeichnis die Version 3.0.0. Vorbereitet wurde er im März 2026, als Automattic seinen MCP-Server um Schreibrechte erweiterte und damit Claude, ChatGPT, OpenClaw und Cursor Zugriff gab.

Das Plugin deckt nach Angaben von Automattic über 70 Abilities ab. Neben dem Verwalten bestehender Seiten kann es eine Seite auch von Grund auf aufbauen. Wer beschreibt, was für ein Unternehmen dahintersteht und welche Seiten nötig sind, bekommt Struktur, Texte und ein Design vorgeschlagen. Für bestehende Seiten reicht das von Beiträgen planen über Kommentare moderieren bis zu Statistiken auswerten. Mitgeliefert wird ein Skill namens «Edit WordPress Block Content», der dem Modell den Umgang mit Gutenberg-Blöcken beibringt. Wer in Codex lokal arbeitet, kann die Verbindung laut Verzeichniseintrag auch auf WordPress Studio richten.

Der Zugang kostet nichts extra, ist aber an das Hosting gebunden. MCP ist in allen bezahlten Plänen von WordPress.com enthalten, Gratis-Seiten bekommen ihn in den ersten 30 Tagen. Aktiviert werden muss er im Konto von Hand.

Bemerkenswert ist die Voreinstellung. Die Funktion ist optional und standardmässig aus. Neue Beiträge und Seiten landen zuerst als Entwurf. Vor dem Publizieren, Bearbeiten, Veröffentlichen oder Löschen beschreibt ChatGPT, was es tun will, und wartet dann auf Bestätigung. Das ist die vorsichtigste Variante im ganzen Feld.

MCP Server For WordPress von miniOrange

Der Eintrag von miniOrange ist im Verzeichnis der wortkargste. Er verspricht, die Seite zu verbinden, damit ChatGPT die Abilities nutzen kann, die die WordPress Abilities API bereitstellt. Version 2.0.1, einsortiert unter Business & Operations.

Das dazugehörige WordPress-Plugin heisst «Secure MCP Server for Claude, ChatGPT, Gemini and other AI providers» und steht im offiziellen Verzeichnis. Es kam am 4. Juni 2026 dazu, steht bei Version 1.4.11 und zählt rund 2’000 aktive Installationen. Es verlangt mindestens WordPress 6.9, also genau die Version, die die Abilities API in den Core gebracht hat. Zusätzlich setzt es HTTPS voraus.

miniOrange kommt aus dem Identitäts- und Zugriffsmanagement. Das prägt den Funktionsumfang. Der Anbieter nennt über 300 MCP-Tools, selbst gehostetes OAuth 2.1, rollenbasierte Rechte, einen Schalter pro Tool und ein Audit-Log. Wer granular festlegen will, was ein Modell darf, findet hier die feinste Körnung. Der Preis für diese Kontrolle ist Einrichtungsaufwand.

Hostinger Connector

Der Hostinger Connector fällt aus der Reihe, weil er nicht auf der WordPress-Ebene ansetzt, sondern eine Schicht tiefer. Er verwaltet das Hosting-Konto. WordPress zu installieren ist dort eine Funktion unter vielen, neben Domains kaufen, DNS-Einträge ändern, einen VPS administrieren, eine Node.js-Anwendung ausrollen oder einen Shop aufsetzen.

Der Eintrag listet sieben Skills auf: domains, ecommerce, email-marketing, hostinger, subscriptions-and-payments, vps und websites. Als Berechtigungen sind Lesen und Schreiben ausgewiesen. Angemeldet wird über den Browser mit dem bestehenden Konto, ein API-Schlüssel entfällt. Alles, was destruktiv oder kostenpflichtig ist, fragt vorher nach.

Die Versionsnummer 0.1.0 ist der niedrigste Wert im Feld und als Hinweis zu lesen. Wer hier Zugriff gibt, gibt ihn auf ein Konto, an dem Domains und Abonnemente hängen, nicht nur auf eine Blogseite.

WPVibe von SeedProd

Hinter WPVibe steht SeedProd, das zur Awesome-Motive-Gruppe von Syed Balkhi gehört, zu der auch WPBeginner, WPForms, OptinMonster, MonsterInsights und All in One SEO zählen. Das dazugehörige Repository-Plugin «WPVibe, WordPress MCP Server» ist mit rund 20’000 aktiven Installationen das mit Abstand verbreitetste in diesem Vergleich. Es kam am 20. April 2026 dazu, steht bei Version 1.16.5 und wird bis WordPress 7.1 getestet. Die Bewertung liegt bei 98 von 100 Punkten, allerdings auf Basis von nur 35 Stimmen.

Der Funktionsumfang zielt auf selbst gehostete Seiten. Inhalte verwalten, Plugins und Themes inspizieren, Medien hochladen, Admin-Befehle ausführen, Abilities von anderen Plugins nutzen und Theme-Entwürfe bauen. Mitgeliefert werden Anleitungen für Gutenberg, Elementor, SeedProd, klassische Themes und SEO-Audits. Der Ablauf ist als Entwurf, Vorschau, Veröffentlichung angelegt, die Tools prüfen Berechtigungen und die Autorisierung läuft über einen Klick.

Dass ausgerechnet der Anbieter mit der grössten Reichweite im Plugin-Verzeichnis erst Version 1.0.0 führt, zeigt, wie jung die ChatGPT-Seite dieses Ökosystems ist. Das WordPress-Plugin selbst ist bereits deutlich weiter.

WPWriter und WP Agent

Sowohl WPWriter als auch WP Agent sind im Verzeichnis auf Yaniv Finkelshtein eingetragen, beide unter der Kategorie Productivity. Die Produkte überschneiden sich stark, unterscheiden sich aber im Abrechnungsmodell.

WPWriter steht bei Version 3.0.0 und deckt Beiträge, Seiten, Kategorien, Schlagwörter, Menüs, SEO-Metadaten, Beitragsbilder, Medien, Plugins, Themes und Publikationsstatus ab. Dazu kommt Autoblogging: eine Themenliste anlegen, einen Zeitplan setzen und Beiträge automatisch erzeugen und veröffentlichen lassen. Das Repository-Plugin dazu heisst «YLabs Connector for WPWriter», steht bei Version 1.12.3 und zählt rund 2’000 aktive Installationen. Abgerechnet wird nach dem BYOK-Prinzip. Wer eigene Schlüssel von OpenAI, Anthropic oder Google hinterlegt, zahlt direkt bei den Anbietern ohne Aufschlag. Zum Ausprobieren gibt es 15 Beiträge und 20 Bilder gratis.

WP Agent steht bei Version 1.1.0 und geht den umgekehrten Weg. Das Produkt bewirbt sich ausdrücklich als schlüssellos, es wird kein eigener KI-Schlüssel hinterlegt. ChatGPT schreibt die Inhalte, die Bildvorgaben und die SEO-Angaben, WP Agent führt sie auf der Seite aus. Der Funktionsumfang reicht von Beiträgen und Revisionen über die Medienbibliothek mit KI-Bildern und Stockfotos bis zu Kategorien, Kommentaren, Autoren, Einstellungen, eigenem CSS und Plugins. Der Anbieter nennt über 65 Tools. Verbunden wird über einen einmaligen Bestätigungslink im Adminbereich und ein widerrufbares Anwendungspasswort. Ein optionales Zusatz-Plugin ergänzt Unterstützung für Yoast, Rank Math und All in One SEO.

Beide Produkte beschreiben Schutzmechanismen. Bei WP Agent sind destruktive Aktionen bestätigungspflichtig, das Veröffentlichen erfolgt ausdrücklich und jeder Tool-Aufruf wird protokolliert. Das liest sich solide. Ein Blick ins Änderungsprotokoll des WPWriter-Connectors relativiert das Bild allerdings.

Ein Detail im Änderungsprotokoll

In Version 1.12.2 des YLabs Connector for WPWriter steht, das Plugin aktiviere die Anwendungspasswörter von WordPress wieder, wenn ein Sicherheits-Plugin oder der Hoster sie abgeschaltet habe. Eingeschränkt wird das auf Fälle, in denen WordPress selbst sie unterstützt, also bei HTTPS oder lokalen Umgebungen. Als Begründung nennt der Eintrag, dass damit die Verbindung in einem Schritt funktioniert. Jedes Anwendungspasswort bleibe einzeln widerrufbar.

Der Vorgang ist dokumentiert und nicht versteckt. Trotzdem lohnt es sich, ihn zu Ende zu denken. Anwendungspasswörter abzuschalten ist eine bewusste Härtungsmassnahme. Viele Sicherheits-Plugins tun es standardmässig, manche Hoster ebenfalls, weil ein Anwendungspasswort dauerhaften Zugriff auf die REST-API gibt, ohne dass eine Zwei-Faktor-Abfrage dazwischensteht. Ein Plugin, das diese Entscheidung im Installationsvorgang rückgängig macht, setzt Bequemlichkeit über eine vorher getroffene Wahl. Wer den Connector einsetzt, sollte hinterher prüfen, ob die Einstellung noch so steht wie beabsichtigt.

Der Kontrast zum Ansatz von Automattic ist deutlich. Dort ist die Funktion standardmässig aus und jede Änderung braucht eine Bestätigung. Hier wird eine Schutzeinstellung aktiv wieder eingeschaltet, damit die Einrichtung glatter läuft.

Was beim Verbinden tatsächlich passiert

Eine Verbindung zwischen ChatGPT und einer WordPress-Seite ist kein Import und kein Export. Es entsteht ein dauerhafter Zugang, über den ein Sprachmodell Aktionen auf der Seite auslösen kann. Drei Punkte sind dabei relevant.

Der Zugang überlebt das Gespräch: Ein Anwendungspasswort oder ein OAuth-Token bleibt gültig, bis es widerrufen wird. Wer ein Werkzeug einmal ausprobiert und dann liegen lässt, hat weiterhin einen offenen Kanal zur Seite.
Die Rechte hängen am Konto: Verbindet sich ein Administratorkonto, kann der Kanal alles, was dieses Konto kann. Ein eigener Benutzer mit Redaktionsrolle begrenzt den Schaden, wenn etwas schiefgeht.
Der Hinweistext im Verzeichnis ist ernst gemeint: Bei fünf der sechs Einträge steht, ChatGPT teile bei bestehender Verbindung relevante Chats und Erinnerungen mit der App. Die Nutzung von Apps könne mit erhöhtem Risiko verbunden sein. Was der Anbieter mit diesen Daten macht, richtet sich nach seinen eigenen Bedingungen.

Dazu kommt ein Risiko, das der Architektur selbst innewohnt. Prompt Injection steht in den OWASP Top 10 für LLM-Anwendungen von 2025 auf Platz eins. Ein Modell, das Kommentare moderieren oder Inhalte zusammenfassen soll, liest dabei Text, den Dritte geschrieben haben. Enthält dieser Text Anweisungen, kann das Modell sie als Auftrag auffassen. Bei einem Kanal mit Schreibrechten auf die Seite ist das kein theoretisches Problem.

Der Fall AI Engine

Dass diese Bedenken nicht abstrakt sind, zeigt ein dokumentierter Fall aus dem Herbst 2025. Das Plugin AI Engine, mit über 100’000 aktiven Installationen eines der verbreitetsten KI-Plugins für WordPress, hatte eine Schwachstelle in seinem MCP-Endpunkt. Bei aktivierter Option für einen Zugriff ohne Authentifizierung gab die Seite den Zugriffstoken im Klartext an unangemeldete Anfragen aus. Wer ihn abholte, konnte sich ein Administratorkonto anlegen und die Installation vollständig übernehmen.

Die Lücke trägt die Kennung CVE-2025-11749 und wurde mit 9,8 von 10 Punkten bewertet, also im kritischen Bereich. Gemeldet wurde sie am 4. Oktober 2025 über das Bug-Bounty-Programm von Wordfence, der Patch erschien am 19. Oktober 2025 mit Version 3.1.4.

Der Fall ist kein Argument gegen MCP. Er zeigt, dass eine neue Schnittstelle, die schnell in viele Installationen kommt, eine neue Angriffsfläche eröffnet. Eine Prüfung von MCP-Servern durch Checkmarx kam zum Ergebnis, dass 43% für Command Injection anfällig waren, 33% keine Beschränkung ausgehender Verbindungen hatten und 18% eine Umgehung der Authentifizierung zuliessen. Das sind Werte aus einer Anbieterstudie und entsprechend einzuordnen, die Richtung ist aber plausibel.

Welcher Eintrag für welchen Fall

Die sechs Einträge bedienen unterschiedliche Ausgangslagen.

Seite liegt bei WordPress.com: Der Eintrag von Automattic ist gesetzt. Er ist im Plan enthalten, kommt vom Betreiber selbst und hat die konservativsten Voreinstellungen.
Selbst gehostet, Redaktionsarbeit im Vordergrund: WPVibe hat die grösste Nutzerbasis und deckt die gängigen Editoren ab. WP Agent ist die Alternative, wenn kein eigener KI-Schlüssel hinterlegt werden soll.
Selbst gehostet, Kontrolle im Vordergrund: miniOrange bietet die feinste Rechteverwaltung mit Schaltern pro Tool und Audit-Log. Dafür ist die Einrichtung aufwendiger.
Hosting bei Hostinger: Der Connector setzt eine Ebene tiefer an und ist dann sinnvoll, wenn nicht nur Inhalte, sondern Infrastruktur verwaltet werden soll.
Automatisiertes Publizieren in Serie: WPWriter hat als einziger eine ausgebaute Autoblogging-Funktion mit Themenliste und Zeitplan. Ob das eine gute Idee ist, ist eine andere Frage.

Auffällig ist, was fehlt. Kein einziger Eintrag stammt von einem europäischen Anbieter. Für Seiten, die dem revidierten Datenschutzgesetz oder der DSGVO unterliegen, heisst das: Inhalte, Kommentare und in vielen Fällen auch Kundendaten laufen über einen Dienst in den USA und zusätzlich über OpenAI als Vermittler. Wer eine Auftragsbearbeitung dokumentieren muss, hat hier zwei Verträge zu prüfen statt einen. Eine Übersicht über Anbieter mit Schweizer Datenhaltung haben wir im Vergleich Schweizer KI-Anbieter zusammengestellt.

Was die sechs Einträge über das Ökosystem verraten

Die Versionsnummern reichen von 0.1.0 bis 3.0.0. Fünf der sechs Einträge sind wenige Monate alt. Zwei stammen vom selben Entwickler, was bei sechs Treffern ein Drittel des Feldes ausmacht. Das ist kein reifer Markt, sondern eine frühe Phase, in der Anbieter Positionen besetzen.

Interessanter als die Einzelprodukte ist die Verschiebung dahinter. Bisher war das Adminmenü die Schnittstelle zu WordPress. Wer etwas konnte, konnte es, weil ein Plugin ein Menü dafür anbot. Mit Abilities API und MCP wird diese Oberfläche zur Nebensache. Was zählt, ist, ob eine Funktion maschinenlesbar registriert ist. Diese Verschiebung haben wir in WordPress im KI-Zeitalter beschrieben. Sie betrifft nicht nur WordPress. Im Handel läuft dieselbe Entwicklung unter dem Stichwort Agentic Commerce.

Für Agenturen und Entwicklerinnen und Entwickler folgt daraus eine konkrete Aufgabe. Wer eigene Plugins pflegt, entscheidet mit der Registrierung von Abilities darüber, ob die eigenen Funktionen in dieser Welt vorkommen oder nicht. Das ist die gleiche Logik wie bei der Auffindbarkeit in KI-Systemen: Was nicht maschinenlesbar beschrieben ist, existiert für den Agenten nicht.

Einordnung

Vier praktische Folgerungen für alle, die eine WordPress-Seite betreiben oder betreuen.

Nicht mit dem Administratorkonto verbinden: Einen eigenen Benutzer für den Agenten anlegen, mit der kleinsten Rolle, die für die Aufgabe reicht. Für Redaktionsarbeit genügt in der Regel Redakteurin oder Redakteur. Das Anwendungspasswort gehört zu diesem Konto, nicht zum eigenen.
Zuerst auf einer Testinstallation ausprobieren: Die Werkzeuge greifen tief in Inhalte, Einstellungen und teilweise in Plugins ein. Eine lokale Kopie oder eine Staging-Umgebung kostet wenig und zeigt, was ein Werkzeug tatsächlich anfasst, bevor es an der Produktionsseite hängt.
Zugänge inventarisieren und aufräumen: Anwendungspasswörter und OAuth-Verbindungen bleiben bestehen, auch wenn das Werkzeug längst nicht mehr benutzt wird. Nach jedem Test prüfen, was unter Benutzer und Profil noch eingetragen ist. Nicht mehr Benötigtes widerrufen. Nach der Installation eines Connectors zusätzlich kontrollieren, ob Härtungseinstellungen noch so stehen wie vorher.
Die Abilities-Frage stellen, nicht nur die Plugin-Frage: Wer eigene Plugins entwickelt oder betreut, sollte jetzt klären, welche Funktionen als Abilities registriert werden sollen und welche ausdrücklich nicht. Diese Entscheidung bestimmt, was ein Agent auf der Seite tun kann, unabhängig davon, welches der sechs Werkzeuge jemand später anschliesst.

Die Richtung ist absehbar. Dass ein Sprachmodell eine Website bedient, wird zum Normalfall. Offen ist, wie viel Kontrolle die Betreiberinnen und Betreiber dabei behalten. Die Antwort darauf fällt bei diesen sechs Einträgen schon heute unterschiedlich aus.

Quellen

Bildnachweis: Hauptbeitragsbild von Emiliano Vittoriosi.