Ich habe Cloudflares EmDash CMS getestet, damit du es nicht musst

Letzte Woche hat Cloudflare ein neues CMS namens EmDash veröffentlicht. Sie nannten es "den spirituellen Nachfolger von WordPress."

Matt Mullenweg, Mitbegründer von WordPress, antwortete darauf, indem er Cloudflare aufforderte, "WordPress aus dem Mund zu nehmen." Er hat diese Zeile später aus seinem Blogpost entfernt. Aber da hatte das Internet sie längst gescreenshottet.

Ich habe die Ankündigung gelesen, eine lokale Instanz aufgesetzt, herumgeklickt, ein paar Sachen kaputt gemacht und mir meine Gedanken gemacht. Als jemand, der sechs Jahre lang WordPress-Seiten gebaut hat, bevor er dem Ganzen komplett den Rücken gekehrt hat, habe ich hier etwas Kontext.

Ich brauche 10 Plugins, damit WordPress überhaupt funktioniert

Lass mich dir ein Bild malen. Jedes einzelne WordPress-Projekt, das ich je übernommen habe, fing gleich an. Bevor ich auch nur daran denken konnte, was der Kunde eigentlich braucht, musste ich erstmal die Basics installieren:

1. Security-Plugin (Wordfence oder Sucuri)
2. Caching (WP Rocket oder LiteSpeed Cache)
3. SEO (SlimSEO oder Rank Math)
4. Backup (UpdraftPlus)
5. Formulare (Gravity Forms oder FLuentFOrms)
6. Anti-Spam (Akismet)
7. Bildoptimierung (Imagify oder ShortPixel)
8. Code Snippets (WPCodebox, weil WordPress es dir nicht sauber erlaubt, eigenen Code einzufügen)
9. Page Builder (Bricks, weil der Standard-Editor die Leute immer noch frustriert)
10. Update-Management (MainWP, weil das monatliche Updaten von 10+ Plugins ein eigener Job ist)

Das sind zehn Abhängigkeiten, bevor deine Seite irgendetwas tut, worum der Kunde eigentlich gebeten hat. Ich habe buchstäblich einen Guide zu WordPress Security Plugins geschrieben, weil jede einzelne Seite eins braucht. Das sollte dir etwas über den Zustand der Dinge sagen.

Und jetzt der Hammer: Patchstack meldete 106 neue Plugin-Schwachstellen in einer einzigen Woche im Jahr 2025. Mehr als die Hälfte der Entwickler, die Sicherheitsberichte erhielten, haben nicht einmal vor der Veröffentlichung gepatcht. Jedes Plugin, das du hinzufügst, ist eine weitere Tür, die du offen lässt.

Kommt dir bekannt vor?

Dann hat WordPress beschlossen zu implodieren

Das Plugin-Problem war frustrierend, aber handhabbar. Was danach kam, war es nicht.

Im September 2024 veröffentlichte Matt Mullenweg einen Blogpost, in dem er WP Engine als "Krebs für WordPress" bezeichnete. Was folgte, war eine der hässlichsten Episoden in der Open-Source-Geschichte. 159 Automattic-Mitarbeiter kündigten, darunter der Head of WordPress.com und der Principal AI Architect. Das sind 8,4% der Firma, die zur Tür rausgegangen sind.

Dann kam die ACF-Übernahme. WordPress.org übernahm die Kontrolle über Advanced Custom Fields, ein Plugin das auf Millionen von Seiten installiert war, benannte es um und aktualisierte es automatisch ohne Zustimmung. Das ACF-Team nannte es einen "Supply-Chain-Angriff." Ein Gericht gewährte WP Engine später eine einstweilige Verfügung. Der Rechtsstreit läuft immer noch.

Ich war tief genug in der WordPress-Welt, um mein eigenes Plugin zu bauen. So investiert war ich. Das alles mit anzusehen fühlte sich an, wie einem Freund dabei zuzuschauen, wie er furchtbare Entscheidungen trifft, ohne etwas dagegen tun zu können.

Die Zahlen erzählen die Geschichte. Aktive WordPress-Domains fielen von 5,8 Millionen auf 4,67 Millionen. Das ist ein Rückgang von 19%, die erste anhaltende Kontraktion seit 20 Jahren. Der Marktanteil sank von 43,6% auf 42,6%. Gleichzeitig steht das Classic Editor Plugin bei 9 Millionen Downloads. Neun Millionen Menschen, die mit ihren Installationen gegen Gutenberg stimmen.

Statt das Haus zu reparieren, baut WordPress einen Swimmingpool an. WordPress 7.0 dreht sich komplett um AI: Abilities API, MCP Adapter, WP AI Client im Core. Das Fundament bröckelt, und die Führung sucht Poolfliesen aus.

EmDash: Was Cloudflare tatsächlich gebaut hat

Als Cloudflare also am 1. April EmDash ankündigte (ja, alle dachten es wäre ein Scherz), wurde ich hellhörig.

Das ist es im Kern: ein Full-Stack Serverless CMS, gebaut auf Astro 6.0, komplett in TypeScript geschrieben, läuft auf Cloudflare Workers mit einer D1-Datenbank. MIT-lizenziert und vollständig Open Source.

Das Hauptfeature ist Plugin-Sandboxing. Jedes Plugin läuft in seiner eigenen isolierten V8-Sandbox. Plugins müssen vorab deklarieren, welche Fähigkeiten sie brauchen: Content lesen, E-Mails senden, was auch immer. Sie können nicht direkt auf die Datenbank oder das Dateisystem zugreifen. Cloudflares Argument: 96% der WordPress-Sicherheitsprobleme stammen aus Plugins, also haben sie das Problem auf Architekturebene angegriffen.

Es kommt mit einem eingebauten MCP-Server. Wenn du die AI-Tooling-Szene verfolgst, weißt du, warum das wichtig ist. Das bedeutet, AI-Agents können nativ mit deinem CMS interagieren: Content-Typen erstellen, Einträge verwalten, Änderungen deployen. Das ist nicht nachträglich drangeschraubt. Es ist Teil des Fundaments.

Es gibt einen WordPress-Importer, der WXR-Dateien verarbeitet, sodass eine Migration nicht bei Null anfängt.

Und die Preise? Der Free Tier gibt dir 100.000 Requests pro Tag auf Cloudflares kostenlosem Plan. Der Paid Tier kostet 5$/Monat für 10 Millionen Requests. Für eine Brochure-Website ist das im Grunde kostenloses Hosting mit einem echten CMS.

Das ist kein halbfertiges Nebenprojekt. Jemand hat gründlich darüber nachgedacht, warum WordPress kaputt geht, und drumherum designt.

Wie es sich wirklich anfühlt, es aufzusetzen

Ich habe eine lokale Instanz mit Node.js und SQLite aufgesetzt. Kein Cloudflare-Account nötig. Repo klonen, Dependencies installieren, Datenbank seeden, Dev-Server starten. Für jemanden, der sich mit dem Terminal wohlfühlt, hat es etwa zehn Minuten gedauert, bis ein funktionierendes CMS lief.

Themes sind Standard-Astro-Projekte. Wenn du schon mal etwas mit Astro gebaut hast, fühlst du dich sofort zuhause. Es gibt eine seed.json-Datei für Content-Typen, und das Admin-Interface ist sauber. Nicht revolutionär, aber sauber.

Jetzt wird es aber ehrlich.

Es gibt keinen visuellen Page Builder. Keinen. Wenn dein Kunde Blöcke per Drag-and-Drop verschieben will, ist EmDash heute nicht die Antwort. Die Einrichtung erfordert die Kommandozeile. Du musst dich mit GitHub, npm und Config-Dateien wohlfühlen.

Search Engine Journal hat darauf hingewiesen, dass 73% der EmDash-Ankündigung entwicklerzentrierter Content ist. Damit haben sie nicht unrecht. Das wurde von Entwicklern gebaut, für Entwickler.

Für mich fühlte sich das Setup sauber und schnell an. Für irgendeinen meiner nicht-technischen Kunden? Keine Chance. Noch nicht.

Das Cloudflare-Lock-in-Problem, über das keiner genug redet

Hier ist die Sache, die mich zum Nachdenken gebracht hat.

Das Hauptsicherheitsfeature, das Plugin-Sandboxing? Funktioniert nur auf Cloudflares Infrastruktur. Wenn du EmDash selbst hostest, laufen Plugins im Prozess ohne V8-Isolation. Genau das, was EmDashs Sicherheitsgeschichte überzeugend macht, verschwindet in dem Moment, wo du Cloudflare verlässt.

Wie ein Hacker-News-Kommentator es formulierte: "Open Source, aber architektonisch eingesperrt."

Mullenweg hat es auch angesprochen. Er sagte, EmDash sei "geschaffen worden, um mehr Cloudflare-Services zu verkaufen." Das ist vereinfachend, aber ein Körnchen Wahrheit steckt drin. Die Ironie ist köstlich: sein ursprünglicher Blogpost enthielt die Zeile "bitte nehmt WordPress aus eurem Mund," angelehnt an Will Smith bei den Oscars. Er hat sie Stunden später entfernt, aber Cloudflare-CEO Matthew Prince hatte sie bereits gesehen. Prince nannte die Kritik "fair," während er betont das Wort "WordPress" in seiner Antwort verwendete. Feinste unterschwellige Ironie.

Die Hacker-News-Crowd war vorhersehbar skeptisch. Viele dachten zunächst, es sei ein Aprilscherz, da es am 1. April gelauncht wurde. Der Lead Engineer musste im Thread bestätigen: "Das Projekt ist echt." Allgemeine Stimmung? Interessante Architektur, aber das haben wir schon öfter gehört.

Joost de Valk, der Typ der Yoast SEO entwickelt hat, bot eine andere Perspektive. Er nannte EmDash "das Interessanteste, was Content Management seit Jahren passiert ist" und hat bereits seinen Blog-Content dorthin migriert. Aber selbst er äußerte Bedenken über das leere Plugin-Ökosystem und fehlende Governance-Klarheit.

Ein Grund, warum ich zum Self-Hosting gewechselt bin, war genau diese Art von Abhängigkeit zu vermeiden. Ich mag, was Cloudflare gebaut hat. Ich mag weniger, dass das beste Feature nur auf ihrer Plattform funktioniert.

Für wen EmDash gerade wirklich gedacht ist

Lass mich direkt sein.

EmDash ist nicht für nicht-technische Nutzer. Es ist nicht für jeden, der heute ein Plugin-Ökosystem braucht. Es ist nicht für Agenturen, die Kundenübergaben machen, bei denen der Kunde seine Seite selbst verwalten muss. Und es ist nicht für jeden, dem es unwohl ist, für die Sicherheitsfeatures an Cloudflare gebunden zu sein.

EmDash ist für Entwickler, die einfache Brochure-Seiten bauen und eine moderne Developer Experience wollen. TypeScript- und Astro-Enthusiasten. Menschen, denen Sicherheitsarchitektur wichtig ist. Entwickler, die für sich selbst oder technikaffine Kunden bauen. Und alle, die neugierig sind, wohin sich CMS-Technologie entwickelt.

Für einfache Brochure-Websites ist der Free Tier wirklich überzeugend. Null Euro für 100.000 Requests am Tag mit einem echten, modernen CMS darunter. Dagegen lässt sich schwer argumentieren.

Aber es ist Version 0.1.0. Du wettest auf eine Zukunft, nicht auf eine Gegenwart. Das Plugin-Ökosystem ist praktisch leer. Die Community existiert kaum. Wie ich in Der Schneider, der seine eigene Hose nicht nähen kann geschrieben habe, basteln wir ständig an unseren eigenen Werkzeugen. EmDash ist ein Werkzeug, mit dem es sich lohnt zu basteln, aber keins, auf das ich heute ein Kundenprojekt setzen würde.

Mein aktueller Stack ist Next.js, Directus und Coolify. Ich wechsle nicht. Aber ich beobachte.

WordPress ist nicht tot. Aber es hört nicht zu.

WordPress betreibt immer noch 42,6% des Webs. Für viele Menschen ist es immer noch die richtige Wahl. Ich bin nicht hier, um jemandem zu sagen, dass er es aufgeben soll.

Aber die Tatsache, dass Cloudflare, eines der größten Infrastrukturunternehmen im Internet, sich WordPress angeschaut und gesagt hat "wir können etwas Besseres bauen," sollte ein Weckruf sein. Nicht weil EmDash WordPress morgen ersetzen wird. Das wird es nicht. Aber weil es bedeutet, dass der Markt offen ist. Das Vertrauen erodiert.

Mullenwegs Reaktion war vielsagend. Er lobte die Technik als "sehr solide" und nannte das Skills-Feature "brillant." Aber er konnte nicht widerstehen, defensiv zu werden. Seine Behauptung, dass AI die WordPress-Plugin-Sicherheit "in 18 Monaten" lösen wird, ist klassische WordPress-Führung: die Zukunft versprechen, statt die Gegenwart zu reparieren.

EmDash ist vielleicht nicht das Ding, das WordPress ersetzt. Aber irgendetwas wird es. Und die WordPress-Führung scheint mehr daran interessiert zu sein, Klagen zu führen, Plugins zu übernehmen und AI-Features nachzujagen, als den Entwicklern und Nutzern zuzuhören, die tatsächlich auf ihrer Plattform bauen.

WordPress braucht nicht mehr Features. Es braucht eine neue Führung, die zuhört. Bis das passiert, werden Alternativen wie EmDash weiter auftauchen. Und irgendwann wird eine davon hängenbleiben.

Wenn du versuchst herauszufinden, welche Plattform wirklich zu deinem Business passt, genau das mache ich beruflich. Lass uns reden.