Kirby Flat CMS gegen WordPress: Warum weniger Technik oft die bessere Website ist

WordPress betreibt fast die Hälfte des Webs – und sammelt dabei Jahr für Jahr tausende neue Sicherheitslücken ein. Kirby, ein Flat-File-CMS ohne Datenbank, geht den entgegengesetzten Weg: weniger Teile, weniger Angriffsfläche, mehr Ruhe. Ein Vergleich ohne Marketing-Geklingel.

Eine Website ist kein Selbstzweck. Sie soll funktionieren – ruhig, technisch und zuverlässig. Genau hier trennen sich zwei Philosophien: WordPress, das Betriebssystem des halben Webs, und Kirby, ein Flat CMS, das ohne Datenbank auskommt. Das Kirby Flat CMS liest Inhalte direkt aus Dateien statt aus einer Datenbank – eine bewusst einfachere Architektur, die weniger kann, aber auch weniger kaputtgehen lässt. Die Frage ist nicht, welches System mehr Funktionen hat. Die Frage ist: Wie viel Technik braucht ein Projekt wirklich?

Das Wichtigste in Kürze

• Kirby ist ein Flat-File-CMS: Inhalte liegen in Dateien statt in einer Datenbank – das reduziert Komplexität und Angriffsfläche.
• Im WordPress-Ökosystem wurden 2024 laut Patchstack 7.966 neue Sicherheitslücken entdeckt, ein Plus von 34 % gegenüber dem Vorjahr – überwiegend in Drittanbieter-Plugins.
• WordPress dominiert weiter mit rund 43,4 % aller Websites (Stand April 2025), der Marktanteil ist jedoch seit fünf Quartalen leicht rückläufig.
• Eine Kirby-Lizenz kostet einmalig, enthält drei Jahre Feature-Upgrades und lässt sich für 59 € (Basic) bzw. 249 € (Enterprise, jeweils zzgl. MwSt.) um weitere drei Jahre verlängern.
• Die Entwicklung mit Kirby ist kostenlos – erst der Produktivbetrieb erfordert eine Lizenz.

Zwei Systeme, zwei Weltanschauungen

WordPress ist das Web-Äquivalent eines Werkzeugkastens mit tausend Fächern. Laut W3Techs lief WordPress im April 2025 auf 43,4 % aller Websites. Der HTTP Archive Web Almanac 2025 beziffert den Anteil an allen beobachteten CMS-Websites sogar auf 64,3 %. Diese Dominanz ist real – und sie bröckelt. The Repository dokumentiert einen Rückgang vom Höchststand von 43,6 % Anfang 2025 auf 41,5 %. Das Search Engine Journal berichtet von fünf aufeinanderfolgenden Quartalen mit leichtem Marktanteilsverlust.

Kirby dagegen ist kein Massenprodukt. Es ist ein Flat CMS: Jede Seite ist ein Ordner, jeder Inhalt eine Textdatei. Keine Datenbank, kein Datenbankserver, keine Datenbank-Sicherheitslücken. Was nicht existiert, kann nicht gehackt werden. In der Slant-Community-Umfrage „Best PHP CMS" rangiert Kirby auf Platz 2 – WordPress auf Platz 9. Popularität und Beliebtheit sind offenbar zwei verschiedene Dinge.

Sicherheit: Das Plugin-Problem von WordPress

WordPress selbst ist kein unsicheres System. Das Problem sitzt eine Etage tiefer: im Plugin-Ökosystem. Der Patchstack-Report „State of WordPress Security" zählt für 2024 insgesamt 7.966 neu entdeckte Sicherheitslücken – ein Anstieg von 34 % gegenüber dem Vorjahr, der überwiegende Teil in Drittanbieter-Plugins. Eine Auswertung für 2025 nennt bereits 11.334 neue Schwachstellen, ein weiteres Plus von 42 %.

Die Verteilung ist eindeutig: 96 % der Schwachstellen stecken in Plugins, nur 4 % in Themes – über 500.000 Websites wurden durch Sicherheitsprobleme kompromittiert. Und es wird nicht besser: Rund 35 % der 2024 offengelegten Schwachstellen blieben laut Wordfence-Report ungepatcht. Eine durchschnittliche WordPress-Site nutzt etwa 25 Plugins, wöchentlich tauchen rund 333 neue Plugin-Schwachstellen auf – eine Rechnung, die für Betreiber ohne Wartungsvertrag nicht aufgeht.

Kirby kennt dieses Problem strukturell nicht. Kein Plugin-Marktplatz mit zehntausenden Erweiterungen fragwürdiger Herkunft, keine Datenbank als Einfallstor. Funktionen, die ein Projekt braucht, werden gezielt eingebaut – eigens entwickelt statt zusammengeklickt.

Kosten: Lizenz statt Wartungsspirale

WordPress ist kostenlos. Auf dem Papier. In der Praxis zahlt man mit Wartung: Plugin-Updates, Kompatibilitätsprüfungen, Sicherheitsmonitoring. Kirby dreht die Rechnung um – transparente Lizenz, geringe laufende Last.

Die Kirby-Lizenzmodelle im Überblick:

Die Enterprise-Lizenz ist die Standardlizenz für Unternehmen jeder Größe und kennt keine Umsatzgrenze; Basic ist an eine solche gekoppelt. Bemerkenswert fair: Die Entwicklung mit Kirby ist laut EULA kostenlos – bezahlt wird erst, wenn die Website produktiv läuft. Und Kirby 5 war ein kostenloses Upgrade für alle Inhaber einer gültigen Basic- oder Enterprise-Lizenz. Die Verlängerungspreise stehen transparent auf der Herstellerseite.

Technik: Schlank, aktuell, planbar

Kirby 5 setzt auf PHP 8.2, 8.3 oder 8.4 – modernes PHP, keine Altlasten. Seit Version 4 folgt Kirby der semantischen Versionierung, Updates sind damit planbar statt überraschend. Selbst Nutzer von Kirby 3 können mit gültiger Lizenz direkt auf Version 5 upgraden. Die Entwicklung läuft aktiv weiter: Die Referenzdokumentation weist Version 5.4.0 aus, auf GitHub existiert bereits Release 5.5.0.

Auch beim Fußabdruck zeigt sich der Unterschied: Eine WordPress-Installation bringt rund 55 MB auf die Waage – Flat-File-Systeme sind meist deutlich schlanker. Weniger Code, weniger Angriffsfläche, weniger Ballast.

Wo das Kirby Flat CMS an Grenzen stößt

Fairness gehört dazu: Kirby ist nicht für jedes Projekt die richtige Wahl. StackShare weist zu Recht darauf hin, dass ein Flat-File-CMS bei sehr häufigen dynamischen Inhaltsänderungen an Grenzen stößt. Ein Shop mit tausenden Produkten, ein Portal mit minütlichen Updates, eine Community-Plattform – das sind Datenbank-Aufgaben. Wer einen Onlineshop plant, fährt mit einer datenbankgestützten Lösung besser; wie so etwas sauber aufgesetzt wird, zeigt die Seite zum Onlineshop erstellen in Jena, Gera und Thüringen.

Für die typische Unternehmenswebsite eines KMU, eines Selbstständigen oder eines Vereins gilt das Gegenteil: überschaubare Seitenzahl, Inhalte, die sich wochen- statt sekundenweise ändern, hohe Anforderungen an Verlässlichkeit. Genau dieses Profil ist Kirby-Territorium – wie es in der Praxis aussieht, zeigen etwa die Website für den Tauchsport Landesverband Schleswig-Holstein, die Webentwicklung für die Freie Rednerin Antje Peter in Berlin oder das barrierefreie Webdesign für die Wohnungsgenossenschaft Eisenberg.

Nicht Masse, sondern Maß

Die Entscheidung zwischen Kirby und WordPress ist am Ende keine technische, sondern eine konzeptionelle. Wer 25 Plugins verwaltet, verwaltet 25 potenzielle Probleme. Wer ein Flat CMS einsetzt, verwaltet Inhalte. Das gilt für die Technik wie für die Gestaltung: So wie ein typografisches Logo mit nichts als Buchstaben auskommt und gerade dadurch trägt, kommt eine gut geplante Website mit erstaunlich wenig Systemkomplexität aus. Reduktion ist kein Verzicht. Sie ist eine Entscheidung – und wie bei der Schriftwahl im Corporate Design zahlt sich die richtige früh getroffene Entscheidung über Jahre aus.

Wer für ein Projekt in Eisenberg, Jena, Gera oder darüber hinaus abwägen möchte, ob ein Flat CMS wie Kirby oder ein klassisches System wie WordPress die passende Basis ist, kann das Vorhaben unverbindlich besprechen. Antworten auf typische Fragen zu Ablauf, Technik und Kosten liefert die FAQ-Seite von Michael Stumm; realisierte Projekte zeigt die Übersicht der Arbeiten.

Häufige Fragen