Kostenloses Plugin

Welche Plugins telefonieren nach Hause?

Plugins sprechen ständig mit fremden Servern: Lizenzprüfungen, Update-Abfragen, Nutzungsstatistiken, KI-Dienste. Das meiste ist harmlos, manches nicht, und fast nichts davon siehst du. Der Connection Monitor macht es sichtbar. Wir nutzen ihn selbst bei jedem Test im Labor.

Version 1.1.0 · ZIP, 29 KB · GPL · WordPress 6.5+ · PHP 8.1+ · Deutsch, Englisch, Spanisch

Was er dir zeigt

Ausgehend

Jede Anfrage, die ein Plugin vom Server nach außen schickt: an welchen Server, wie lange es gedauert hat und welches Plugin dahintersteckt.

Was gesendet und empfangen wird

Welche Arten von Daten hinausgehen, zum Beispiel Website-Adresse, Admin-E-Mail, Versionen oder Plugin-Liste, und was der Server zurückschickt. Schlüssel und Passwörter werden nie gespeichert.

Eingehend

Wer von außen auf die Schnittstellen deiner Seite zugreift (REST-API, XML-RPC, Ajax, Cron), mit oder ohne Anmeldung, und welchem Plugin die Schnittstelle gehört.

Seiten-Scan

Was der Browser deiner Besucher von fremden Servern nachlädt: Skripte, Schriften, iframes, Bilder.

Ein echtes Beispiel aus unserem Labor

Wir haben WP Rocket 3.24 im Labor installiert und aktiviert, mit laufender Messung. Ergebnis am 7. November 2026:

31 ausgehende Verbindungen zu drei Servern von WP Rocket (api.wp-rocket.me, saas.wp-rocket.me, b.rucss.wp-rocket.me)
Gesendet wurden unter anderem die Adressen der Seiten, die E-Mail-Adresse des Lizenzkontos und der Lizenzschlüssel. Die Seiten wurden laut Anfrage für „performance_hints“ an den Dienst übergeben.
Ein Teil dieser Anfragen lief, bevor die Lizenzprüfung erfolgreich war.

Das ist kein Vorwurf an WP Rocket: Diese Funktionen brauchen den Austausch. Aber du solltest wissen, dass er passiert, zum Beispiel für deine Datenschutzerklärung. Den ausführlichen Test gibt es bald als eigenen Artikel.

Was er nicht tut

Er baut selbst keine einzige Verbindung nach außen auf. Kein eigener Update-Server, keine Statistik, kein Konto.
Er speichert keine Lizenzschlüssel, Tokens oder Passwörter. E-Mail- und IP-Adressen werden maskiert.
Normale Seitenaufrufe deiner Besucher werden nicht erfasst. Bei Zugriffen auf Schnittstellen wird die IP-Adresse gekürzt.
Alles bleibt in deiner Datenbank und wird nach 30 Tagen gelöscht (einstellbar). Beim Löschen des Plugins verschwindet alles.

So legst du los

ZIP herunterladen.
In WordPress unter Plugins → Installieren → Plugin hochladen die ZIP auswählen und aktivieren.
Unter Werkzeuge → Verbindungen siehst du, was passiert. Für einen Test vorher unter Messungen eine Messung starten.

Für Technikinteressierte

Ausgehend: Filter pre_http_request (Start, ändert nichts an der Anfrage) und Aktion http_api_debug (Ergebnis). Gespeichert werden Server, Pfad ohne Parameter, Methode, Status, Dauer, Größe, blockierend ja/nein.
Zuordnung: über debug_backtrace. „Quelle“ ist die Datei, die die HTTP-Funktion aufruft. Liegt sie in WordPress selbst (zum Beispiel Update-Prüfungen), steht das auslösende Plugin als triggered_by dabei.
Eingehend: rest_post_dispatch, xmlrpc_call, admin_init für Ajax ohne Anmeldung, init für wp-cron.php von fremden IPs. Die zuständige Plugin-Datei wird per Reflection aus dem Callback ermittelt. Aufrufe deiner eigenen Browser-Sitzung und der Seite an sich selbst sind standardmäßig ausgeblendet.
Datenarten: Mustererkennung im gesendeten Inhalt (Website-Adresse, Admin-E-Mail, Versionen, Plugin-Liste, Theme, Sprache, Serverdaten, Lizenzschlüssel). Feldnamen wie key, token, license, password werden immer geschwärzt.
Grund: Einschätzung anhand von Adresse und Inhalt, in der Oberfläche als „vermutlich“ gekennzeichnet.
Speicher: eine Tabelle {prefix}bnc_log, ein Schreibvorgang pro Anfrage am Ende (shutdown), tägliche Bereinigung per WP-Cron.
Grenzen: Anfragen an WordPress vorbei (eigenes cURL, Sockets, file_get_contents mit URL) sieht kein PHP-Plugin zuverlässig. Der Seiten-Scan liest nur das HTML, nicht was ein Cookie-Banner oder JavaScript später lädt.
Prüfsumme (SHA-256) der ZIP: 16644ff78d7448e773032197ea12e514f6c9fa939e6465469dfe78bdbc8e4e44