Was WP Statistics auf deiner Website macht
WP Statistics misst die Besucherzahlen deiner Website ohne externen Dienst: keine Registrierung, kein Google-Konto, jeder Besuch landet in Tabellen deiner eigenen Datenbank. Auf jeder öffentlichen Seite lädt das Plugin ein kleines Tracking-Skript, das den Besuch an eine Route der WordPress-REST-API schickt. Da die Anfrage vom Browser kommt, funktioniert die Zählung auch hinter einem Seiten-Cache oder einem CDN.
Die Berichte findest du im Menü Statistik im Dashboard: Besucher und Seitenaufrufe, wer gerade online ist, meistgelesene Beiträge und Kategorien, Autoren, Traffic-Quellen nach Kanal (Suche, soziale Netzwerke und seit Oktober 2026 ein eigener Kanal für KI-Assistenten wie ChatGPT oder Perplexity), Länder und Städte, Browser und Geräte sowie die Absprungrate. Dazu kommen E-Mail-Berichte und ein Export als XML, CSV oder TSV. Beim Datenschutz setzt das Plugin keine Cookies und kürzt IP-Adressen standardmäßig, bevor es sie hasht.
Der Hersteller VeronaLabs verkauft kostenpflichtige Add-ons (Data Plus, Marketing, Real-Time Stats und weitere), einzeln oder gebündelt als WP Statistics Premium. Sie bringen Echtzeit-Statistiken, Tracking für Custom Post Types, ausgehende Klicks und Downloads, UTM-Kampagnen, Ziele und eine Anbindung an die Google Search Console.
Für welche Websites WP Statistics passt
WP Statistics erfüllt einen klaren Zweck: wissen, wer was liest, ohne die Daten an Dritte zu geben.
- Blogs und Firmenwebsites: Meistgelesenes, Traffic-Quellen und Herkunftsländer reichen dir, und alles lässt sich direkt in WordPress ablesen.
- Websites ohne Google Analytics: Die Daten bleiben auf deinem Server, und das Plugin lässt sich so einstellen, dass es möglichst wenige personenbezogene Daten erfasst.
- Redaktionen mit mehreren Autoren: Berichte nach Autor und Kategorie sind kostenlos.
- Agenturen und Freelancer: Die kostenlose Version läuft auf beliebig vielen Websites, ohne Besucherlimit.
Weniger geeignet ist es für einen Shop, der bezahlte Werbekampagnen steuert: Conversions, Events und detaillierte UTM-Kampagnen kosten extra. Auf einer Website mit sehr viel Traffic im Shared Hosting solltest du bedenken, dass jeder Besuch in deine Datenbank schreibt. Matomo und Burst Statistics sind die beiden anderen selbst gehosteten Statistik-Plugins, die du vergleichen solltest.
Stärken und Grenzen von WP Statistics
Stärken
- Deine Daten bleiben bei dir. Kein externes Konto: Die Statistiken liegen in deiner WordPress-Datenbank, und nur du hast Zugriff darauf.
- Datenschutzfreundliche Voreinstellungen. Keine Cookies, gekürzte und gehashte IP-Adressen, eine Do-Not-Track-Option, ein Datenschutz-Audit sowie Werkzeuge zum Exportieren und Löschen von Daten.
- Eine großzügige Gratisversion. Unbegrenzte Websites und Besuche, Berichte nach Inhalt, Kategorie und Autor, Traffic-Kanäle, Geolokalisierung, Geräte und E-Mail-Berichte.
- Arbeitet mit Consent-Bannern zusammen. Direkte Integration mit CookieYes, Real Cookie Banner und Borlabs Cookie, über die WP Consent API auch mit Complianz oder Cookiebot.
Grenzen
- Wiederkehrende XSS-Lücken. Mehrere ohne Konto ausnutzbare Schwachstellen kamen über die Besuchsdaten, zuletzt noch 2026.
- Marketing kostet extra. Echtzeit, Custom Post Types, ausgehende Klicks, Downloads, UTM-Kampagnen, Ziele und Search Console brauchen Premium oder ein Add-on.
- Eine wachsende Datenbank. Jeder Besuch wird in deine Tabellen geschrieben: Bei einer großen Website zählen die Aufbewahrungsdauer der Details und dein Hosting.
- Einstellungen größtenteils auf Englisch. Menü und einige Tabs sind übersetzt, die meisten Optionen erscheinen aber auch in einem deutschen WordPress auf Englisch.
Die Einstellungen, die wir für WP Statistics empfehlen
Die Einstellungen findest du unter Statistik > Einstellungen, verteilt auf mehrere Tabs. Einige Standardwerte passen bereits.
| Einstellung | Empfohlener Wert | Warum |
|---|---|---|
| „Anonymize IP Addresses“ Statistik > Einstellungen > „Privacy & Data Protection“ | Aktiviert (Standard) | Das letzte Segment der IP-Adresse wird vor dem Speichern maskiert. |
| „Hash IP Addresses“ Gleicher Bildschirm | Aktiviert (Standard) | Die Adresse wird zu einem nicht umkehrbaren Hash mit täglich wechselndem Salt: Du zählst eindeutige Besucher, ohne ihre IP zu speichern. |
| „Consent Plugin Integration“ Gleicher Bildschirm | Dein Consent-Plugin, oder Keine, wenn du keins nutzt | Das Tracking folgt dann der Entscheidung des Besuchers; teste, indem du das Banner ablehnst und danach akzeptierst. |
| „Track Logged-In User Activity“ Statistik > Einstellungen > Allgemein | Deaktiviert (Standard) | Aktiviert verknüpft es Besuche mit den Konten deiner Mitglieder, was deine Datenschutzbewertung verändert. |
| „Tracking Method“ Gleicher Bildschirm | „Client Side Tracking (Recommended)“ | Das serverseitige Tracking ist in der Oberfläche als veraltet („Deprecated“) markiert. |
| Administrator und „Excluded IP Address List“ Statistik > Einstellungen > „Filtering & Exceptions“ | Administrator ausgeschlossen (Standard), feste IP deines Büros ergänzt | Deine eigenen Besuche verfälschen die Zahlen nicht. |
| „Automatically Aggregate Old Data“ Statistik > Einstellungen > Erweiterte Optionen | 180 Tage (Standard) oder weniger | Danach werden die Besuchsdetails zusammengefasst: Die Datenbank bleibt schlank, und du speicherst weniger Daten. |
| „Minimum Role to View Statistics“ Statistik > Einstellungen > Rollen und Berechtigungen | Administrator, oder Redakteur, wenn dein Team es braucht | Die SQL-Injection CVE-2022-4230, behoben in 13.2.9, wurde für Konten mit wenigen Rechten erreichbar, wenn diese Einstellung ihnen die Berichte öffnete. |
| „Share Anonymous Data“ Statistik > Einstellungen > Erweiterte Optionen | Deaktiviert (Standard) | Diese Nutzungsdaten helfen dem Hersteller, nicht deiner Website. |
- Besuche deine Website in einem privaten Fenster und prüfe, ob der Besuch unter Statistik erscheint.
- Kommt nichts an, öffne den „Tracker Debugger“ (Schaltfläche „Open Debugger“ im Tab Allgemein): Er testet die Tracking-Adresse und meldet, wenn ein Consent-Banner die Besuche blockiert.
- Aktiviere unter Plugins die automatischen Updates für das Plugin.
Die Sicherheit von WP Statistics: anonyme Besucher, die in deine Berichte schreiben
Ein Statistik-Plugin nimmt von Natur aus Daten von jedem beliebigen Besucher an: Seitenadresse, Referrer, Browser, UTM-Parameter. Wird einer dieser Werte schlecht gefiltert, kann ein Angreifer ohne Konto ein Skript einschleusen, das später im Browser des Administrators läuft, der die Berichte öffnet. Nach diesem Muster funktionieren die meisten bekannten Lücken von WP Statistics:
- CVE-2022-25148, behoben in 13.1.6: Blind-SQL-Injection ohne Anmeldung über den Parameter
current_page_id(CVSS 9,8). - CVE-2024-2194, behoben in 14.5.1: gespeicherte XSS-Lücke ohne Anmeldung über einen Parameter der aufgerufenen URL (CVSS 7,2).
- CVE-2026-5231, behoben in 14.16.5: gespeichertes XSS ohne Anmeldung über den Parameter
utm_source, ungefiltert in einem Diagramm ausgegeben (CVSS 7,2). - CVE-2026-15780, behoben in 14.16.9: dieselbe Familie, über den Parameter
utm_campaign(CVSS 7,2).
Der Hersteller patcht schnell und wickelt Meldungen über das Disclosure-Programm von Patchstack ab, doch die Patchstack-Datenbank listet noch XSS-Lücken, die im September und Oktober 2026 veröffentlicht wurden. Lass deshalb die automatischen Plugin-Updates eingeschaltet. Halte auch die Aufbewahrungsfristen kurz (siehe DSGVO, Logs und IP-Adressen). WP Statistics fügt außerdem jeder Seite einen HTML-Kommentar „Analytics by WP Statistics“ hinzu; WP Masquerade Pro entfernt ihn (siehe HTML-Kommentare und Generator-Tag). Das erschwert Bots, die nach diesen Lücken suchen, das Aufspüren, ersetzt aber keine Updates.
Was WP Masquerade bei WP Statistics verbirgt
Pro Nur von WP Masquerade Pro abgedeckt
Die Gratisversion kennt die eigenen Spuren von WP Statistics nicht: Ohne Pro werden nur Generator-Tags entfernt, wie bei jedem Plugin.
Gratisversion
Nur von WP Masquerade Pro abgedeckt
Mit Pro
- signierte HTML-Kommentare
- Ordnername
- Tag-IDs
Bleibt sichtbar
- JavaScript-Variablen
WP_Statistics_Tracker_Object - REST-Routen
/wp-json/wp-statistics/v2/
Diese Spuren bleiben, weil das Plugin sie zum Funktionieren braucht (Skripte, Styles, Cookies) oder weil sie vom Server kommen.
Häufige Fragen zu WP Statistics
Brauche ich mit WP Statistics ein Cookie-Banner?
Das Plugin setzt keine Cookies, und der Hersteller bezeichnet es standardmäßig als DSGVO-konform. Die Antwort hängt trotzdem von deinen Einstellungen ab (Tracking angemeldeter Mitglieder, vollständiger User-Agent): Das „Privacy Audit“ zeigt die kritischen Optionen an, die endgültige Entscheidung bleibt eine rechtliche Frage für deine Website.
Kann ich WP Statistics und Google Analytics gleichzeitig nutzen?
Ja, das sagt der Hersteller ausdrücklich. Rechne mit unterschiedlichen Zahlen, weil Bot-Filterung und Einwilligung verschieden gehandhabt werden.
Was kostet WP Statistics Premium?
Die Preisseite nennt 119 $ pro Jahr für eine Website, 249 $ für fünf Websites und 449 $ für unbegrenzt viele (laut Fair-Use-Regel bis zu 100), mit allen kostenpflichtigen Add-ons. Die Add-ons gibt es auch einzeln; der Hersteller weist darauf hin, dass Verlängerungen zum vollen Preis laufen, und bietet eine Rückerstattung innerhalb von 14 Tagen, aber keine Testversion.
Was passiert mit den Daten, wenn ich das Plugin lösche?
Standardmäßig bleiben sie in deiner Datenbank. Willst du sie beim Löschen entfernen, aktiviere „Delete All Data on Plugin Deletion“ im Tab Erweiterte Optionen, nachdem du exportiert hast, was du behalten willst.