Was MC4WP auf deiner Website macht
MC4WP: Mailchimp for WordPress verbindet deine Website über einen API-Schlüssel mit einem Mailchimp-Konto und trägt deine Besucher in eine Mailchimp-Zielgruppe ein. Das Anmeldeformular baust du in HTML, mit voller Kontrolle über die Felder, und zeigst es per Block, Widget, Shortcode [mc4wp_form] oder über die PHP-Funktion mc4wp_show_form() an. Kampagnen, E-Mail-Vorlagen und Kontaktverwaltung bleiben in Mailchimp: Das Plugin ist nur die Brücke.
Der zweite, oft lohnendere Einsatz ist eine Anmelde-Checkbox in Formularen, die du schon hast: Kommentar- und Registrierungsformular von WordPress, Contact Form 7, WPForms, Gravity Forms, Ninja Forms, die WooCommerce-Kasse, BuddyPress, MemberPress, Easy Digital Downloads, Give und weitere. Jedes Formular enthält ein unsichtbares Fallenfeld (Honeypot) und eine Prüfung der Absendezeit gegen Bots. Die Skripte werden nur auf Seiten geladen, die tatsächlich ein Formular zeigen.
Entwickelt wird das Plugin von ibericode, dem kleinen Team von Danny van Kooten, der es 2013 gestartet hat. Mailchimp for WordPress Premium, ein separates Plugin von mc4wp.com, bringt unbegrenzt viele Formulare, Absenden ohne Neuladen der Seite, die Synchronisierung von WooCommerce-Bestellungen, User Sync, E-Mail-Benachrichtigungen, einen visuellen Styles Builder und ein lokales Protokoll der Anmeldungen.
Für welche Websites MC4WP gut passt
MC4WP lohnt sich, wenn deine Verteilerliste schon in Mailchimp liegt oder dort liegen soll:
- Blogs und redaktionelle Websites: ein schlichtes Anmeldeformular unter Beiträgen oder in der Seitenleiste, dazu eine Checkbox unter dem Kommentarformular.
- Firmenwebsites mit Kontaktformular: Die Checkbox „Trage mich in den Newsletter ein!“ kommt in Contact Form 7, WPForms oder Gravity Forms, ohne dass du das Formular-Plugin wechselst.
- WooCommerce-Shops: eine kostenlose Anmelde-Checkbox an der Kasse; Käufe und abgebrochene Warenkörbe in Mailchimp auswerten geht nur mit Premium.
Die falsche Wahl ist es, wenn du Mailchimp nicht willst: Der kostenlose Tarif ist auf 250 Kontakte und 500 Versendungen im Monat begrenzt, danach steigen die Kosten mit der Größe der Liste. Eine Lösung, die E-Mails direkt aus WordPress verschickt, etwa MailPoet, oder ein anderer Dienst wie Brevo passt dann womöglich besser.
Stärken und Grenzen von MC4WP
Stärken
- Viele kostenlose Integrationen. Die Anmelde-Checkbox funktioniert mit den WordPress-Formularen, WooCommerce und den großen Formular-Plugins.
- Vorsichtige Standardwerte. Double-Opt-In an, Checkbox nicht angehakt und nie eine stillschweigende Anmeldung, solange du nichts änderst.
- Schlank auf Seiten ohne Formular. Das Skript lädt nur dort, wo ein Formular erscheint, und das Aussehen kann vom Theme übernommen werden.
- HTML unter deiner Kontrolle. Das Formular ist ein normales HTML-Formular, leicht zu gestalten über die Klassen
.mc4wp-formund.mc4wp-alert.
Grenzen
- Nur ein Formular in der Gratisversion. Für mehrere Formulare, etwa eines pro Zielgruppe oder Sprache, brauchst du Premium.
- Absenden lädt die Seite neu. Das flüssigere Absenden ohne Neuladen gibt es nur mit Premium.
- Nur Mailchimp. Ohne Mailchimp-Konto nützt das Plugin nichts, und wer den Newsletter-Dienst wechselt, muss auch das Plugin wechseln.
- Kein eingebautes Pop-up. Für ein Pop-up empfiehlt die MC4WP-Dokumentation das separate Plugin Boxzilla.
Die Einstellungen, die wir für MC4WP empfehlen
Alle diese Einstellungen gibt es in der aktuellen Gratisversion im Menü MC4WP deines Dashboards. Die Bezeichnungen stammen aus der deutschen Übersetzung des Plugins.
| Einstellung | Empfohlener Wert | Warum |
|---|---|---|
| API-Schlüssel MC4WP > Mailchimp | Über die Konstante MC4WP_API_KEY in der wp-config.php setzen | Der Schlüssel bleibt aus der Datenbank heraus (leere vorher das Feld), und die Seite ist dann schreibgeschützt. |
| Double-Opt-In verwenden? MC4WP > Formular > Einstellungen | Ja (Standard) | Neue Abonnenten bestätigen ihre Adresse per E-Mail; das Plugin warnt, dass das Abschalten deine DSGVO-Konformität beeinträchtigen kann. |
| Aktualisiere vorhandene Abonnenten? Gleiche Seite | Nein (Standard), außer bei echtem Bedarf | Verhindert, dass ein öffentliches Formular die Daten eines bestehenden Kontakts allein anhand einer E-Mail-Adresse überschreibt. |
| Formular Style MC4WP > Formular > Aussehen | Vom Theme übernehmen (Standard) oder Grundlegend | Die erste Option lädt kein zusätzliches Stylesheet; nimm Grundlegend, wenn das Formular mit deinem Theme kaputt aussieht. |
| erforderlich? (im Original „Implicit?“) MC4WP > Integrationen > deine Integration | Nein (Standard, vom Plugin empfohlen) | Bei Ja wird jeder, der das Formular absendet, angemeldet, ohne darum gebeten zu haben. |
| Die Checkbox vorauswählen? Gleiche Seite | Nein (Standard, vom Plugin empfohlen) | Eine vorab angehakte Checkbox ist nach der DSGVO keine Einwilligung. |
| Double opt-in? Gleiche Seite | Ja (Standard) | Aus demselben Grund wie beim Formular: Jede Adresse, die eine Integration hinzufügt, wird bestätigt. |
| Logging MC4WP > Andere | Nur Fehler und Warnungen (Standard) | Stell nur zur Fehlersuche auf „Alles“ und danach wieder zurück. |
| „Enable Site Tracking“ Gleiche Seite | Aus (Standard), außer du nutzt das Mailchimp-Tracking | Das Tracking-Pixel von Mailchimp lädt dann auf allen Seiten: Binde es in dein Cookie-Consent-Banner ein. |
- Prüfe unter MC4WP > Mailchimp, dass der Status „VERBUNDEN“ zeigt und deine Zielgruppe in der Liste erscheint.
- Melde eine Testadresse an: Die Bestätigungs-E-Mail von Mailchimp muss ankommen, danach muss der Kontakt in der Zielgruppe auftauchen.
- Nutzt deine Website einen Cache, sende das Formular in einem privaten Fenster von einer gecachten Seite ab, um zu prüfen, dass die Anmeldung durchgeht.
- Ist eine Integration aktiv, prüfe, dass die Anmelde-Checkbox im betreffenden Formular nicht angehakt erscheint.
Sicherheit von MC4WP: mittlere Lücken, regelmäßige Updates
Die für MC4WP veröffentlichten Sicherheitslücken haben mittleren Schweregrad. Die jüngsten betreffen die Verarbeitung öffentlicher Formulare und die Meldungen nach dem Absenden:
- CVE-2026-1781, bis Version 4.11.1: Ohne Konto konnte ein Angreifer ein Formular zwingen, Kontakte abzumelden statt anzumelden (CVSS 6,5). Version 4.12.0 hat das Abmelden per Formular entfernt.
- CVE-2026-4561, bis Version 4.12.0: Stored XSS über die Antwortmeldungen des Formulars, mit einem Autor-Konto (CVSS 6,4). Version 4.12.1 begrenzt das in diesen Meldungen erlaubte HTML.
- CVE-2024-8850, Versionen 4.9.9 bis 4.9.16: Reflected XSS über den Parameter
email, wenn ein Feld den Tag{email}nutzte (CVSS 6,1), behoben in 4.9.17.
Version 4.15.0 behebt außerdem einen Fehler, über den ein Besucher eine Adresse in jede beliebige Zielgruppe des verbundenen Mailchimp-Kontos eintragen konnte. Aktiviere also automatische Updates für MC4WP (siehe unseren Leitfaden zu automatischen Plugin-Updates). Das Plugin versieht außerdem jedes Formular mit einem HTML-Kommentar samt Versionsnummer (siehe HTML-Kommentare und Generator-Tag): WP Masquerade entfernt ihn. So finden Bots, die gezielt nach diesen Lücken suchen, das Plugin schwerer, das Update ersetzt das aber nicht.
Was WP Masquerade bei MC4WP: Mailchimp for WordPress verbirgt
Gratisversion Von der Gratisversion von WP Masquerade abgedeckt
MC4WP: Mailchimp for WordPress gehört zu den 50 meistgenutzten Plugins, die die Gratisversion kennt. Pro geht weiter und benennt seine Dateien um.
Gratisversion
- signierte HTML-Kommentare
Mit Pro
- Ordnername
- Tag-IDs
Bleibt sichtbar
- JavaScript-Variablen
mc4wp - CSS-Klassen
mc4wp-form
Diese Spuren bleiben, weil das Plugin sie zum Funktionieren braucht (Skripte, Styles, Cookies) oder weil sie vom Server kommen.
Häufige Fragen zu MC4WP
Ist MC4WP kostenlos?
Ja, das Plugin auf wordpress.org ist kostenlos und deckt ein Formular plus die Checkboxen der Integrationen ab. Premium kostet 59 $ pro Jahr für eine Website, 99 $ für fünf und 249 $ für 25 Websites, jeweils zzgl. Steuern, mit 30 Tagen Geld-zurück-Garantie.
Wo finde ich meinen Mailchimp-API-Schlüssel?
In deinem Mailchimp-Konto bei den API-Schlüsseln deines Profils: Lege einen eigenen Schlüssel für diese Website an und trage ihn unter MC4WP > Mailchimp oder in der Konstante MC4WP_API_KEY ein. Klappt die Verbindung nicht, muss dein Hoster ausgehende Anfragen an api.mailchimp.com mit der PHP-Erweiterung cURL erlauben.
Das Formular meldet Erfolg, aber in Mailchimp taucht kein Kontakt auf. Warum?
Mit Double-Opt-In wird der Kontakt erst nach dem Klick auf den Link in der Bestätigungs-E-Mail eingetragen, und Mailchimp verschickt sie manchmal mit etwas Verzögerung. Schau auch im Spam-Ordner der Testadresse nach.
Kann man sich noch über ein MC4WP-Formular abmelden?
Nein, seit Version 4.12.0 nicht mehr. Der Entwickler empfiehlt stattdessen das von Mailchimp gehostete Formular, das die Adresse vor dem Abmelden prüft.