WordPress Theme Detector: Theme herausfinden · Plugins erkennen → Hosting abfragen
Mit diesem WordPress Theme Detector kannst du das Theme einer Website herausfinden und Plugins erkennen – du musst nur die Adresse eingeben. Abfragen lassen sich Name und Version des Themes, installierte Plugins, der Hosting-Anbieter und der IP-Bereich. Außerdem erklärt der Artikel, wann Pfadschutz oder ein CDN die Ergebnisse einschränken, und vergleicht externe Abfrage-Websites.
Füge die Adresse ein, um zu prüfen, ob eine Website mit WordPress erstellt wurde. https:// ist optional.
Auch wenn Informationen mit Hide My WP o. Ä. verborgen sind: Läuft die Website auf LiteSpeed, steht praktisch fest, dass sie WordPress nutzt.
Ⅰ. So nutzt du den Detector für WordPress-Plugins und Themes
Nach der Abfrage erscheint das Ergebnis in der Reihenfolge Erkennungs-Badge, Theme, Plugins und Hosting. Bei so vielen Einträgen ist anfangs nicht klar, wohin man schauen soll. Vor allem werden Plugins an zwei Stellen angezeigt, und weil die beiden Bereiche sie auf unterschiedliche Weise finden,
ist es kein Fehler, wenn einer davon leer bleibt. Im Folgenden die Bedeutung der einzelnen Einträge der Reihe nach.
1️⃣ Die drei Erkennungs-Badges
Nach der Abfrage erscheint über der Adresse ein Badge. Je nach Farbe und Text hat es eine andere Bedeutung.
- Grün: [WordPress] bedeutet, dass die Website sicher mit WordPress erstellt wurde. Mindestens eine Spur wie der wp-content-Pfad, das generator-Meta-Tag oder der Link zur REST API ist vorhanden.
- Orange: [WordPress (Pfade verborgen)] bedeutet: Es ist WordPress, aber die Pfade zu Theme und Plugins sind verborgen. Das passiert, wenn ein Sicherheits-Plugin die Ordnernamen ändert. Das Tool hat nichts übersehen – die Website hat es verborgen.
- Rot: [Kein WordPress] bedeutet, dass keine WordPress-Spuren gefunden wurden. Die Website ist anders aufgebaut, oder ein vorgeschaltetes CDN verdeckt die Ursprungsdaten.
- Unter dem Badge: Unter [Grundlage der Erkennung] steht, anhand welcher Spuren erkannt wurde. Gibt es nur eine Spur, ist die Aussage entsprechend unsicher.
2️⃣ Unterschied zwischen „Plugins (aus Pfaden)“ und „Weitere Funde“
Im Ergebnis erscheinen Plugins an zwei Stellen, weil sie auf unterschiedliche Weise gefunden werden.
„Plugins (aus Pfaden)“ liest die Namen direkt aus den Dateipfaden. Das ist genau, setzt aber voraus, dass Pfade wie /wp-content/plugins/Name/ im Quelltext stehen. Fasst ein Cache-Plugin mehrere Dateien zu einer zusammen, verschwinden die Pfade, und es wird nichts angezeigt.
„Weitere Funde (Theme · Plugins)“ stützt sich auf andere Spuren: Wörter in zusammengeführten Dateinamen, eindeutige Klassen auf der Seite oder Antwort-Header des Servers. Das funktioniert auch, wenn Pfade geändert wurden oder fehlen. Bekannte Einträge erscheinen mit ihrem offiziellen Namen, unbekannte mit dem Namen (Slug), den die Website registriert hat. Auch der Theme-Name steht hier.
Ist der obere Bereich leer und nur der untere gefüllt, wurden die Assets optimiert. Steht oben etwas, das unten fehlt, handelt es sich um ein Plugin ohne weitere Spuren. Erst beide Bereiche zusammen ergeben ein Bild nahe am tatsächlichen Aufbau.
3️⃣ Hosting- und Netzwerkdaten
Im Bereich Hosting stehen Server- und Netzwerkdaten.
Wichtig: Bei Websites mit CDN gehören die angezeigte IP und der Anbieter zum CDN. Wo der eigentliche Server steht, lässt sich nicht bestimmen; in diesem Fall erscheint unter dem Ergebnis ein Hinweis. Den Ursprung zu verbergen ist der Zweck eines CDN – andere Abfrage-Tools zeigen dasselbe.
Auch beim selben Unternehmen kann die Angabe abweichen. Cloudways zum Beispiel betreibt keine eigenen Server, sondern mietet die Infrastruktur anderer Anbieter; deshalb steht unter Anbieter das Infrastrukturunternehmen, und unter Vermutetes Hosting erscheinen manchmal beide.
Ⅱ. Wenn Theme und Plugins nicht erkannt werden
Manchmal bleiben Theme und Plugins nach der Abfrage leer. Meist liegt das nicht am Tool, sondern daran, dass die abgefragte Website Informationen verbirgt oder anders aufgebaut ist. Es gibt drei Hauptursachen.
1️⃣ Plugins zum Pfadschutz
WordPress lädt Theme- und Plugin-Dateien aus /wp-content/themes/Name/ und /wp-content/plugins/Name/. Abfrage-Tools lesen die Namen aus diesen Pfaden. Umgekehrt genügt es, die Ordnernamen zu ändern, um die Abfrage zu blockieren.
Diese Aufgabe übernehmen Sicherheits-Plugins wie Hide My WP. Sie ersetzen Ordnernamen durch zufällige Zeichen, verlegen die Login-Adresse und benennen sogar die readme-Datei um. Bei einer Abfrage solcher Websites zeigt das Badge orange „WordPress (Pfade verborgen)“, und Theme und Plugins bleiben leer.
Dass es sich um WordPress handelt, lässt sich kaum verbergen, denn Spuren wie der REST-API-Link oder das Emoji-Skript haben mit den Pfaden nichts zu tun. Deshalb wird WordPress erkannt, die Details bleiben aber verborgen.
Ganz dicht ist das trotzdem nicht. Ordnernamen ändern sich, Dateinamen bleiben oft gleich, sodass einiges über Wörter in zusammengeführten Dateinamen unter „Weitere Funde“ auftaucht.
2️⃣ Websites hinter einem CDN
Ein CDN ist ein Zwischenserver zwischen Besuchern und Ursprungsserver. Cloudflare, das bekannteste Beispiel, schaltet sich genau so dazwischen: Greift ein Abfrage-Tool zu, verbindet es sich nicht mit dem Ursprung, sondern mit dem CDN-Server; IP und Anbieter gehören dann zum CDN.
In diesem Fall erscheint unter dem Ergebnis ein Hinweis. Bei welchem Unternehmen der Ursprungsserver steht, lässt sich nicht bestimmen. Den Ursprung zu verbergen ist einer der Zwecke eines CDN – andere Abfrage-Tools liefern dasselbe Ergebnis.
Je nach CDN-Einstellung wird sogar die WordPress-Erkennung blockiert. Sperren Sicherheitsregeln automatische Zugriffe, erhält das Tool die Seite gar nicht und zeigt „Kein WordPress“ – obwohl es eigentlich WordPress ist.
3️⃣ Pfade verschwinden durch Asset-Optimierung
Cache-Plugins fassen aus Geschwindigkeitsgründen mehrere CSS- und JS-Dateien zu einer zusammen. WP Rocket/ Autoptimize, zum Beispiel, machen das mit ihrer Funktion zum Zusammenführen von Dateien. Dann bleibt statt der einzelnen Plugin-Ordner nur eine zusammengeführte Datei übrig, und aus den Pfaden lassen sich keine Namen mehr auslesen.
Das ist keine Absicht zum Verbergen, sondern eine Folge der Optimierung. Darum ist „Plugins (aus Pfaden)“ oft leer, während unter „Weitere Funde“ mehrere Einträge stehen – in zusammengeführten Dateinamen und eindeutigen Klassen auf der Seite bleiben Spuren.
Zusammengefasst ergeben die drei Fälle Folgendes: Bei Pfadschutz wird nur WordPress erkannt und alle Details bleiben verborgen; beim CDN sind auch die Hosting-Daten verdeckt; bei Asset-Optimierung verschwinden nur die Pfade, Spuren bleiben. Welcher Fall vorliegt, erkennst du, wenn du das Badge und die beiden Plugin-Bereiche vergleichst.
Ⅲ. Websites zum Herausfinden des WordPress Themes im Vergleich
Ⅳ. So verhinderst du, dass deine Website abgefragt wird
Bisher ging es darum, fremde Websites abzufragen. Umgekehrt kannst du auf dieselbe Weise prüfen, wie viel deine eigene Website preisgibt. Ist bekannt, welche Themes und Plugins du nutzt, können Angriffe auf bekannte Schwachstellen dieser Versionen folgen – die Details zu verbergen ist daher sinnvoll.
Vorab eine Voraussetzung: Vollständig verbergen ist nicht möglich, denn wer den Quelltext direkt ansieht, lässt sich nicht aufhalten. Ziel ist es, automatische Abfrage-Tools daran zu hindern, Listen auszulesen.
1️⃣ Plugins zum Pfadschutz
Der direkteste Weg. Plugins wie Hide My WP ändern die Pfade /wp-content/themes/ und /wp-content/plugins/ in zufällige Namen. Das Auslesen von Namen aus Pfaden funktioniert dann nicht mehr; eine Abfrage zeigt nur „WordPress (Pfade verborgen)“, Theme und Plugins bleiben leer.
Dazu kommen Funktionen wie das Ändern der Login-Adresse oder das Umbenennen der readme-Datei. Da automatisierte Scans zuerst die Standardpfade durchsuchen, hält schon das Ändern der Pfade viele Versuche ab.
Prüfe nach dem Einrichten unbedingt die Darstellung. Weil Pfade geändert werden, kann bei manchen Plugins CSS oder JS kaputtgehen. Leere den Cache und kontrolliere die Website am PC und auf dem Smartphone.
2️⃣ CDN einsetzen
Steht ein CDN davor, verbinden sich Abfrage-Tools mit dem CDN-Server statt mit dem Ursprungsserver. IP, Anbieter und Netzwerkdaten gehören dann zum CDN, und der tatsächliche Serverstandort bleibt verdeckt.
Mit Sicherheitsregeln lässt sich das ausweiten. Werden als automatisiert erkannte Zugriffe gesperrt, erhalten Abfrage-Tools die Seite gar nicht, und selbst die WordPress-Nutzung bleibt unbestätigt.
Je strenger die Regeln, desto größer allerdings das Risiko, auch Suchmaschinen-Crawler auszusperren. Prüfe nach Änderungen an den Sperrregeln den Indexierungsstatus in der Search Console.
3️⃣ Per Firewall sperren
Dabei sperrst du den Zugriff bestimmter Abfrage-Websites direkt in der Server-Firewall. Stehen deren IP oder User-Agent auf der Sperrliste, schlägt die Abfrage fehl. Das ist aufwendiger als die beiden anderen Wege, und ändert die Website ihre IP, musst du erneut sperren.
Auch das Abfrage-Tool auf dieser Seite hat uknew.co von Abfragen ausgeschlossen. Gibst du oben uknew.co ein, erscheint ein Hinweis auf den Ausschluss. Mit anderen Tools sind diese Informationen trotzdem abrufbar – es ist also keine vollständige Sperre, und realistisch ist das Ziel, automatische Abfragen zu blockieren.
Du musst nicht alle drei Wege umsetzen. Schon der Pfadschutz verbirgt die meisten Details, und nutzt du bereits ein CDN, sind die Hosting-Daten automatisch verdeckt.
Ⅴ. FAQ
ℹ️ Affiliate-Hinweis
Die Inhalte dieser Website enthalten Affiliate-Links. Kauft ein Besucher über einen dieser Links ein Produkt oder eine Dienstleistung, erhält die Website vom Verkäufer eine Provision. Der Betrag, den der Käufer zahlt(bei Aktionsrabatten sinkt er ↓), steigt dadurch nicht. Angegebene Preise, Rabatte und Lagerbestände entsprechen dem Stand bei Erstellung und können abweichen; prüfe sie daher vor dem Kauf beim Verkäufer. Produkte werden nach eigenen Kriterien ausgewählt und bewertet, und Provisionen beeinflussen weder die Reihenfolge noch den Inhalt der Bewertungen.