WordPress für Regierung und öffentlichen Sektor

#Warum der öffentliche Sektor 2026 auf WordPress setzt

Die Ära, in der Regierungen teure, proprietäre Closed-Source-Software kaufen, geht zu Ende. Von der NASA bis zum Weißen Haus wechseln Websites des öffentlichen Sektors zu WordPress.

Warum? Im Jahr 2026 sind die treibenden Kräfte Digitale Souveränität, Barrierefreiheit und die “Public Money, Public Code”-Bewegung.

Dieser Leitfaden erklärt, warum WordPress eine starke Wahl für modernes GovTech ist.

#1. Was bedeutet “Public Money, Public Code”

Wenn eine Stadt ein digitales Parkreservierungssystem mit Steuergeldern baut, warum sollte dieser Code dann einem privaten Unternehmen gehören?

Die Initiative “Public Money, Public Code” argumentiert, dass Software, die von der Öffentlichkeit bezahlt wurde, der Öffentlichkeit zur Verfügung stehen sollte.

• Proprietäres CMS: Sie mieten die Software. Wenn Sie aufhören zu zahlen, verschwindet Ihre Website. Sie können Ihre Verbesserungen nicht mit benachbarten Städten teilen.
• WordPress (Open Source): Sie besitzen den Code. Wenn die Stadt Berlin ein tolles Plugin für “Schlagloch-Meldungen” baut, kann die Stadt München es kostenlos nutzen. Das ist effiziente Verwaltung.

#Wer hinter der Kampagne Public Money, Public Code steht

Die Kampagne wird von der Free Software Foundation Europe (FSFE) getragen. Ihr offener Brief fordert Gesetze, nach denen öffentlich finanzierte Software für die Verwaltung unter einer Freie-Software- und Open-Source-Lizenz veröffentlicht wird. Laut der Kampagnenseite der FSFE haben mehr als 200 zivilgesellschaftliche Organisationen und über 31.000 Einzelpersonen unterschrieben.

Das Prinzip steht inzwischen in Gesetzen und in Koalitionsprogrammen von Städten:

• USA: Der SHARE IT Act, am 23. Dezember 2024 als Public Law 118-187 unterzeichnet, verpflichtet Bundesbehörden, Metadaten zu ihrem individuell entwickelten Code zu veröffentlichen und diesen Code mit anderen Behörden zu teilen. Ausgenommen sind Systeme der nationalen Sicherheit, eingestufter Code und Code mit Datenschutzrisiken (FedScoop).
• Europäische Union: Die Verordnung für ein interoperables Europa, Verordnung (EU) 2024/903, ist am 11. April 2024 in Kraft getreten. Öffentliche Stellen müssen die Interoperabilität prüfen, bevor sie verbindliche Entscheidungen über grenzüberschreitende digitale öffentliche Dienste treffen, und diese Prüfpflicht gilt seit Januar 2025 (Webinar der Europäischen Kommission zur Verordnung).
• München: Nach der Umstellung der Arbeitsplätze auf das Linux-basierte LiMux beschloss der Stadtrat im November 2017 die Rückkehr zu Windows. Der Koalitionsvertrag vom Mai 2020 übernahm dann das Prinzip “Public Money, Public Code”: Der Quellcode städtischer Software soll veröffentlicht werden, sofern er keine vertraulichen oder personenbezogenen Daten enthält (LiMux in der Wikipedia).

#Was die GPL für ein Plugin einer Stadt bedeutet

WordPress steht unter der GPLv2 oder später, und das Projekt vertritt die Position, dass Plugins und Themes abgeleitete Werke sind, die die GPL übernehmen (Lizenzseite von WordPress). Gibt eine Stadt ihr Plugin an eine Nachbargemeinde weiter, darf die empfangende Stadt es ausführen, untersuchen, ändern und weitergeben.

Eine Pflicht zur Veröffentlichung enthält die Lizenz nicht. Code, der innerhalb einer Verwaltung bleibt, wird nie weitergegeben, also greifen die Pflichten der GPL zur Herausgabe des Quellcodes nicht. Die Pflicht zur Veröffentlichung entsteht aus Vergaberegeln und Vorgaben wie dem SHARE IT Act oder dem Münchner Koalitionsvertrag. Eine Ausschreibung für ein WordPress-Projekt sollte deshalb festlegen, wem der individuelle Code gehört, unter welcher Lizenz er erscheint und in welchem öffentlichen Repository er liegt.

#2. Ist WordPress sicher genug für Behördenwebsites

“Aber WordPress wird gehackt!” Nur billiges, schlecht verwaltetes WordPress wird gehackt.

Enterprise Government WordPress ist ein ganz anderes Tier.

1. FedRAMP-Autorisierung: Hosting-Führer wie WordPress VIP haben die FedRAMP “Authority to Operate” erhalten. Das bedeutet, dass sie die strengen Sicherheitskontrollen erfüllen, die von der US-Bundesregierung gefordert werden.
2. Unveränderliche Dateisysteme: Der Server ist “read-only”. Selbst wenn ein Hacker eine Schwachstelle finden würde, könnte er keine bösartige Datei auf den Server schreiben.
3. SSO (Single Sign-On): Regierungsmitarbeiter melden sich mit ihren sicheren Active Directory / Azure AD-Anmeldeinformationen an, einschließlich 2FA und Hardware-Schlüsseln (YubiKey).

#Was eine FedRAMP-Autorisierung beim WordPress-Hosting abdeckt

FedRAMP ist das Programm der US-Bundesregierung, das Cloud-Dienste für die Nutzung durch Bundesbehörden autorisiert. WordPress VIP, betrieben von Automattic, erhielt 2021 eine erste FedRAMP-Betriebserlaubnis und meldete im April 2025 die Autorisierung auf Stufe FedRAMP Moderate (WordPress VIP). Auf der Drupal-Seite erhielt Acquia 2016 eine Betriebserlaubnis vom US-Finanzministerium, und im Oktober 2024 erreichte Acquia Cloud Next den Status Authorized (Acquia).

Maßgeblich ist der FedRAMP Marketplace. Status und Schutzstufe sollten vor einer Vergabeentscheidung dort geprüft werden, weil Herstellerseiten hinterherhinken können. Die Autorisierung gilt für die Hosting-Plattform. Plugins, Theme, eigener Code und die Konfiguration, die eine Behörde darauf betreibt, bleiben in der Verantwortung der Behörde.

#Wie man das Dateisystem von WordPress schreibgeschützt macht

WordPress bringt dafür zwei Konstanten mit. DISALLOW_FILE_EDIT schaltet den Datei-Editor für Plugins und Themes in wp-admin ab. DISALLOW_FILE_MODS sperrt außerdem die Installation und Aktualisierung von Plugins und Themes im Admin-Bereich und deaktiviert den Datei-Editor gleich mit (WordPress-Dokumentation zu wp-config). Mit gesetztem DISALLOW_FILE_MODS gelangt Code nur noch über den Deployment-Prozess in die Produktion:

• Das Produktiv-Dateisystem wird schreibgeschützt eingehängt, mit einem separaten beschreibbaren Bereich für Medien-Uploads.
• Updates für Core, Plugins und Themes laufen über eine kontrollierte CI/CD-Pipeline.
• Jedes Release wird aus einem geprüften Commit gebaut, sodass sich der laufende Code bis zu einer freigegebenen Änderung zurückverfolgen lässt.
• Audit-Logs erfassen jeden Versuch, Dateien auf dem Server zu ändern.

#Was Single Sign-On einem Behörden-CMS bringt

Mit SSO wird der Identitätsanbieter zur einzigen Stelle, an der Zugänge für Mitarbeitende vergeben und entzogen werden:

• Der Zugang wird zentral an dem Tag entzogen, an dem jemand die Organisation verlässt.
• Passwort- und Mehrfaktor-Regeln werden einmal im Identitätsanbieter festgelegt und gelten für alle Systeme.
• Jede Anmeldung wird für Prüfzwecke protokolliert.
• Das CMS hängt an den Identitätssystemen, die die Verwaltung ohnehin betreibt.

#Zero-Trust-Architektur für eine Behördenwebsite mit WordPress

Die NIST Special Publication 800-207, im August 2020 fertiggestellt, beschreibt Zero Trust als Bündel von Konzepten, die den Schutz von festen Netzwerkgrenzen weg und hin zu Nutzern, Geräten und den genutzten Ressourcen verlagern (NIST SP 800-207). Auf einen WordPress-Stack übertragen heißt das:

• Jede Anfrage an den Admin-Bereich und die API wird einzeln authentifiziert und autorisiert.
• Der Aufenthalt im Büronetz begründet kein Vertrauen.
• Webserver, Datenbank und Admin-Zugang liegen in getrennten Netzsegmenten.
• Auffälliges Verhalten, etwa Anmeldungen zu ungewöhnlichen Zeiten oder Massenänderungen an Inhalten, wird laufend überwacht.

#3. Barrierefreiheit nach WCAG 2.2 für Behördenwebsites

Regierungen haben ein gesetzliches Mandat (die Web-Accessibility-Richtlinie in der EU, Section 508 in den USA), für alle Bürger zugänglich zu sein.

Proprietäre “Page Builder” generieren oft unordentlichen, unzugänglichen Code (Div-Suppe). Headless WordPress oder Custom Gutenberg Blocks ermöglichen es Entwicklern, semantisches, makelloses HTML auszugeben, das auf WCAG 2.2 AA ausgerichtet ist.

• Fallstudie: Die NASA hat nasa.gov 2023 auf WordPress neu gestartet. Der 21st Century IDEA Act, zitiert im IDEA-Act-Bericht 2021 der NASA, verlangt, dass jede neue oder überarbeitete Website des Bundes so weit wie praktisch möglich nach Section 508 barrierefrei ist.

#Welches Barrierefreiheitsgesetz für Behördenwebsites gilt

Der European Accessibility Act wird am häufigsten zitiert, doch die Richtlinie (EU) 2019/882 erfasst Produkte und Dienstleistungen privater Wirtschaftsakteure. Websites und Apps öffentlicher Stellen fallen unter die Web-Accessibility-Richtlinie, Richtlinie (EU) 2016/2102, in Deutschland umgesetzt unter anderem durch die BITV 2.0. In den USA verläuft die Grenze zwischen Bundesbehörden und Bundesstaaten samt Kommunen.

Das US-Justizministerium hat die Title-II-Regel am 24. April 2024 veröffentlicht und die Fristen mit einer vorläufigen Regel vom 20. April 2026 verschoben (ADA.gov). Die EU-Richtlinie verlangt außerdem, dass jede öffentliche Stelle eine Erklärung zur Barrierefreiheit veröffentlicht und einen Feedback-Mechanismus für Nutzer anbietet, die auf eine Barriere stoßen. Die Mitgliedstaaten überwachen die Einhaltung und berichten der Kommission darüber.

#Wozu sich der WordPress-Core bei der Barrierefreiheit verpflichtet

Die WordPress-Coding-Standards legen fest, dass neuer oder geänderter Code, der in WordPress erscheint, WCAG 2.2 auf Stufe AA erfüllen soll (WordPress-Coding-Standards zur Barrierefreiheit). Diese Zusage gilt für WordPress selbst. Themes und Plugins von Drittanbietern fallen nicht darunter, also braucht jedes, das eine Verwaltung installiert, ein eigenes Audit.

Page Builder, die Markup automatisch erzeugen, scheitern meist an denselben Stellen:

• Überschriften außerhalb der hierarchischen Reihenfolge.
• Bilder ohne aussagekräftigen Alternativtext.
• Formularfelder ohne korrekt zugeordnete Labels.
• Zu geringer Farbkontrast.
• Defekte Tastaturnavigation.

Eigene Blöcke beheben das an der Quelle. Der Entwickler kontrolliert die HTML-Struktur jeder Komponente, kann barrierefreie Muster als Standard erzwingen (ein Pflichtfeld für den Alternativtext, eine feste Überschriftenebene) und automatisierte Barrierefreiheitstests in der Build-Pipeline laufen lassen, bevor etwas bei der Redaktion ankommt.

#4. Wie Behördenwebsites Traffic-Spitzen in Krisen überstehen

Wenn eine Pandemie ausbricht oder eine Naturkatastrophe zuschlägt, sehen Regierungswebsites plötzliche Traffic-Spitzen. Ein Server, der jede Seite bei Anfrage erzeugt, kann dann ausfallen.

Statisches WordPress: Für kritische Informationsseiten verwenden wir oft “Static Site Generation” (Simply Static / Headless).

• Die Seite wird in eine reine HTML-Datei konvertiert und an tausende globale CDN-Knoten verteilt.
• Es gibt keine Datenbank, die überlastet werden kann, und das CDN liefert weiter Kopien aus dem Cache, wenn der Ursprungsserver ausfällt.

#Welche Schichten eine Behördenwebsite unter Last online halten

1. Globales CDN: Inhalte kommen von Edge-Standorten in der Nähe der Leser.
2. Automatisches Failover: Fällt ein Knoten aus, geht der Verkehr an den nächsten.
3. Ganzseiten-Cache: Statische Seiten werden aus dem Speicher ausgeliefert, ohne PHP auszuführen oder die Datenbank abzufragen.
4. Autoscaling: Die Ursprungsinfrastruktur erhält zusätzliche Kapazität, wenn der Verkehr steigt.

#Wie ein CMS Website, Apps und Warnmeldungen speist

Krisenkommunikation reicht über die Website hinaus. Über die REST-API von WordPress lässt sich derselbe Inhalt auf der Website, in mobilen Apps und auf öffentlichen Informationsbildschirmen veröffentlichen und an Warnsysteme für Notfälle weitergeben. Die Redaktion pflegt eine Quelle, und jeder Kanal zeigt denselben Text.

#5. Lizenzmodell von WordPress vs Sitecore und AEM für Behörden

Proprietäre Enterprise-CMS werden gegen eine wiederkehrende Gebühr lizenziert, die der Hersteller individuell anbietet. Das sind Steuergelder, die für Softwaremiete ausgegeben werden.

Mit WordPress:

• Lizenz: 0 €.
• Budgetverschiebung: Das Lizenzbudget kann in die Feature-Entwicklung verschoben werden. Anstatt für das Recht zu zahlen, die Software zu nutzen, zahlt die Regierung dafür, die Software für die Bürger zu verbessern.

#Was eine Verwaltung von einer anderen übernehmen kann

Entwickelt eine Stadt eine Funktion in WordPress und veröffentlicht sie unter der GPL, können andere Verwaltungen sie übernehmen:

• Online-Terminbuchung.
• Transparenz- und Open-Data-Portale.
• Werkzeuge für Bürgerbeteiligung und Konsultationen.
• Formulare für die elektronische Vorgangsbearbeitung.

#Drupal vs WordPress vs Sitecore vs Adobe Experience Manager für Behördenwebsites

Die Wahl eines CMS für Behörden läuft oft auf vier Kandidaten hinaus. So schneiden sie bei den Kriterien ab, die für Projekte im öffentlichen Sektor am meisten zählen.

Die folgende Matrix ist ein qualitativer Vergleich mit der öffentlichen Produktdokumentation von Drupal, Sitecore und Adobe Experience Manager.

WordPress gewinnt bei Kosten, Redaktionserlebnis und Verfügbarkeit von Fachkräften. Drupal gewinnt bei der strukturierten Inhaltsmodellierung für komplexe Verwaltungsdaten (Zensusportale, Regulierungsdatenbanken). Sitecore und AEM sind nur gerechtfertigt, wenn die Organisation bereits Enterprise-Verträge und eigene Teams beim Anbieter hat.

Für die meisten Behördenwebsites, also Informationsportale, Dienstverzeichnisse, Nachrichtenseiten und interne Intranets, deckt WordPress den Großteil der benötigten Funktionen ohne Lizenzgebühren ab. Der Rest (komplexe Workflow-Engines, Datenföderation über mehrere Zuständigkeiten) lässt sich mit Headless WordPress und spezialisierten Microservices lösen.

#6. Behördenwebsites mit WordPress

• Das Weiße Haus (whitehouse.gov): Die Website lief ab 2009 auf Drupal und startete am 15. Dezember 2017 auf WordPress neu (eWeek). Im Januar 2021 ging sie erneut auf WordPress und dem Blockeditor online, unter Beteiligung der Agentur 10up (Matt Mullenweg, 10up).
• NASA (nasa.gov): Der IDEA-Act-Bericht 2021 der NASA hält die Wahl von WordPress als künftiges CMS der Behörde fest. Laut demselben Bericht wurden 2021 158 öffentliche Domains abgeschaltet, und das Science Mission Directorate konsolidierte mehr als 30 Top-Websites, die im Haushaltsjahr 2021 rund die Hälfte des NASA-Traffics ausmachten. Die neue Hauptseite ging im August 2023 in eine öffentliche Beta, gebaut und gehostet mit WordPress VIP und dessen Partner Lone Rock Point (WordPress VIP).
• thisisFINLAND (finland.fi): Steht im WordPress.org-Showcase, produziert vom finnischen Außenministerium und herausgegeben vom Finland Promotion Board.
• Gov.uk: Nutzt offene Standards und modulare Komponenten. Die Seite läuft nicht auf WordPress: Der Government Digital Service entwickelt eigene Redaktionsanwendungen und veröffentlicht deren Quellcode auf GitHub. Damit ist GOV.UK ein Referenzfall für Public Money, Public Code und keiner für ein bestimmtes CMS.

#7. Wie man WordPress in der öffentlichen Verwaltung einführt

#Empfohlene Architektur für 2026

1. Die Anfrage der Bürgerin oder des Bürgers trifft zuerst auf ein CDN mit Web Application Firewall.
2. Ein Load Balancer verteilt den Verkehr auf die Anwendungsserver.
3. WordPress läuft headless als redaktionelles Backend.
4. Inhalte werden über die REST-API oder GraphQL bereitgestellt.
5. Ein Frontend mit Astro oder Next.js rendert die Seiten.
6. Ein globaler Edge-Cache liefert die gerenderten Seiten an die Bürger aus.

#Sicherheits-Checkliste für Behörden

• FedRAMP-Autorisierung oder lokales Äquivalent des Hosting-Anbieters geprüft
• SSO mit MFA für alle Nutzer eingerichtet
• Unveränderliches Dateisystem in der Produktion
• Sicherheitsüberwachung rund um die Uhr aktiv
• Notfallplan für Sicherheitsvorfälle dokumentiert und getestet
• Regelmäßige Sicherheitsaudits durch unabhängige Dritte
• Verschlüsselung sensibler Daten bei Übertragung und Speicherung
• Vollständiges Audit-Log für die Compliance

#8. Fazit

Der Einsatz von WordPress in der Regierung ist nicht nur eine technische Entscheidung; es ist eine ethische. Er unterstützt die Werte von Offenheit, Transparenz und Barrierefreiheit, nach denen demokratische Regierungen streben.

Bei WPPoland helfen wir öffentlichen Einrichtungen, von veralteten proprietären Systemen auf sichere, moderne Open-Source-Stacks zu migrieren.

Mehr über unsere WordPress-Sicherheitsaudits.

Auf der Delivery-Seite halten wir dieses Thema unter verwandte Leistung.