Advanced Custom Fields (ACF): Was es kann, was PRO bringt und was aus dem Streit wurde

Advanced Custom Fields (ACF) ist ein WordPress-Plugin von WP Engine, mit dem Sie Beiträgen, Seiten und eigenen Inhaltstypen zusätzliche Eingabefelder geben, etwa für einen Preis, einen Ansprechpartner oder technische Daten. Die kostenlose Version reicht für viele Websites, ACF PRO ergänzt wiederholbare Felder, flexible Layouts und eigene Blöcke. Seit Oktober 2024 gibt es daneben den Fork Secure Custom Fields (SCF), der die meisten dieser Funktionen ohne Lizenz mitbringt. Welches der beiden Sie nehmen sollten, steht weiter unten in der Entscheidungshilfe.

Stand: 6. November 2026, Versionen und Funktionen geprüft bei WordPress.org und advancedcustomfields.com.

Was ist ACF und wofür braucht man es?

WordPress kennt von Haus aus Titel, Inhalt und Beitragsbild. Dazu kommen die eingebauten individuellen Felder: im Block-Editor standardmäßig ausgeblendet und nicht mehr als Paare aus Name und Wert. Für Redakteure taugt das kaum, es gibt weder Bildfelder noch Auswahllisten noch Pflichtfelder.

ACF macht daraus ein richtiges Formular. Laut Verzeichniseintrag gibt es über 30 Feldtypen, und die Felder lassen sich Beiträgen, Seiten, Nutzern, Kategorien, Medien und Kommentaren zuordnen. Eigene Inhaltstypen und Taxonomien legen Sie in derselben Oberfläche an, ohne Code und ohne weiteres Plugin. Typische Einsätze:

• ein Team-Eintrag mit Foto, Position und Telefonnummer
• eine Stellenanzeige mit Ort, Startdatum und Ansprechpartner
• ein Referenzprojekt mit Kunde, Branche und Bildern
• ein Datenblatt, dessen Werte auf jeder Seite an derselben Stelle stehen

Im Template holt eine Zeile PHP den Wert ab:

<?php echo esc_html( get_field( 'telefon' ) ); ?>

esc_html() gehört dazu, weil ACF Werte aus get_field() laut Dokumentation nicht selbst absichert.

Wann Sie ACF nicht brauchen

Meine Faustregel: Kommt dieselbe Art Inhalt mehrmals vor und soll überall gleich aussehen, lohnt sich ein Feld. Für eine einzelne, frei gestaltete Seite reicht der Block-Editor, für einen einzigen Wert oft ein eingebautes individuelles Feld.

Jedes Plugin, an dem Templates hängen, ist außerdem eine Abhängigkeit. Deaktivieren Sie ACF, bleiben die Daten zwar erhalten, aber Templates mit get_field() funktionieren laut Hersteller nicht mehr, weil es die Funktion dann nicht mehr gibt.

ACF kostenlos oder ACF PRO

Die kostenlose Version reicht, solange jedes Feld einmal vorkommt. Braucht ein Eintrag beliebig viele Zeilen, oder sollen Redakteure Seiten aus festen Bausteinen zusammenstellen, brauchen Sie ACF PRO. Das kommt dazu:

Funktion	Wofür
Repeater	Felder wiederholen, etwa mehrere Ansprechpartner
Flexible Content	Seiten aus festen Layouts zusammenstellen
ACF Blocks	eigene Blöcke in PHP entwickeln
Options Pages	zentrale Werte, etwa für den Fußbereich
Galerie	Bildersammlungen verwalten
Clone	Felder und Gruppen wiederverwenden

ACF PRO ist ein eigenes Plugin, die kostenlose Version muss nicht zusätzlich installiert sein, und beim Umstieg gehen laut Hersteller keine Daten verloren. Die Lizenz gilt je Jahr: 49 US-Dollar für eine Website, 149 für zehn, 249 für beliebig viele, jeweils ohne Steuern (Preisseite am 6. November 2026). Entwicklungs- und Staging-Seiten zählen nicht mit.

Läuft die Lizenz aus, bleiben Felder und Inhalte nutzbar, neue PRO-Felder lassen sich laut Hersteller aber nicht mehr anlegen, und mit der Lizenz enden die Updates. Das würde ich nicht unterschätzen: Allein ACF 6.8.10 und 6.8.11 enthalten zusammen 19 Sicherheitskorrekturen.

Laden Sie ACF PRO nur beim Hersteller. In den Suchergebnissen stehen auch Kopien auf fremden GitHub-Konten. Darüber bekommen Sie keinen Lizenzschlüssel und damit keine regulären Updates, und Sie wissen nicht, was in den Dateien steckt.

ACF oder Secure Custom Fields: die Entscheidungshilfe

Im offiziellen Verzeichnis stehen heute zwei getrennte Plugins:

• Advanced Custom Fields (ACF®): Als Autor ist WP Engine eingetragen, aktuell ist Version 6.8.11 vom 2. November 2026, laut Verzeichnis auf über 2 Millionen Websites aktiv. Die PRO-Funktionen kosten eine Lizenz.
• Secure Custom Fields (SCF): Als Autor ist WordPress.org eingetragen, aktuell ist Version 6.9.8 vom 3. November 2026, auf über 100.000 Websites aktiv. Repeater, Flexible Content, Galerie und Clone stehen laut Dokumentation bei den Feldtypen, eine Bezahlversion gibt es nicht.

Ihre Lage	Meine Empfehlung
ACF PRO mit gültiger Lizenz	Bleiben Sie dabei, ein Wechsel bringt Ihnen nichts.
Kostenloses ACF, nichts fehlt	Bleiben Sie dabei und halten Sie es aktuell.
Neues Projekt, Repeater nötig, keine Lizenz	Nehmen Sie SCF in die engere Wahl und prüfen Sie vorher, ob Theme und Erweiterungen damit laufen.
Theme oder Page-Builder setzt ACF voraus	Fragen Sie zuerst den Hersteller. SCF schaltet ACF bei der Installation ab.
SCF läuft, ohne dass es jemand entschieden hat	Kein Notfall, solange Updates ankommen. Entscheiden Sie sich trotzdem bewusst.

Für Ihre Website heißt das:

1. Prüfen Sie, welches Plugin installiert ist. In der Plugin-Liste im WordPress-Backend steht beim Namen auch der Autor. „Advanced Custom Fields“ von WP Engine ist das Original, „Secure Custom Fields“ von WordPress.org der Fork. Websites, die im Oktober 2024 automatisch aktualisiert haben, laufen unter Umständen noch auf SCF, ohne dass es jemand bemerkt hat.
2. Betreiben Sie nur eines der beiden. Laut Beschreibung im Verzeichnis deaktiviert SCF bei der Installation ACF und ACF PRO, um Code-Konflikte zu vermeiden.
3. Halten Sie das gewählte Plugin aktuell und testen Sie vorher. ACF 6.8.11 enthält laut Changelog zwölf Sicherheitskorrekturen, SCF 6.9.8 zieht nach. Zwei davon können eine Website sichtbar verändern: Der Shortcode [acf] und Block Bindings geben bei Nutzer-Feldern nur noch die ID aus, und per JavaScript hinzugefügte Felder werden nicht mehr gespeichert, solange ein Filter sie nicht erlaubt. In welcher Reihenfolge Sie aktualisieren, steht im Ratgeber WordPress-Updates richtig einspielen.
4. Testen Sie den Wechsel vorher. Wer von SCF zurück zu ACF wechseln will oder umgekehrt, sollte das zuerst auf einer Staging-Kopie ausprobieren und danach die Felder auf den wichtigsten Seiten kontrollieren.

Wer solche Entwicklungen nicht selbst verfolgen möchte: Genau das ist Teil meiner WordPress Betreuung. Ich prüfe Plugin-Updates vor dem Einspielen auf einer Staging-Umgebung, statt sie automatisch durchlaufen zu lassen. ACF gehört auch zu den Werkzeugen, mit denen ich Websites baue, auf Wunsch im Auftrag und im Namen von Agenturen: WordPress-Entwicklung für Agenturen.

Was im Oktober 2024 passiert ist

Am 12. Oktober 2024 meldete das ACF-Team, dass WordPress.org den Eintrag des Plugins übernommen hatte (Stellungnahme auf advancedcustomfields.com). Unter der Adresse von ACF wurde eine veränderte Version namens „Secure Custom Fields“ ausgeliefert. Matt Mullenweg hatte das veranlasst, ohne Zustimmung des ACF-Teams, das das Plugin seit 2011 entwickelt.

Die Folge: Websites, die ACF in der kostenlosen Version über WordPress.org aktualisierten, bekamen plötzlich Code, den nicht mehr das ACF-Team verantwortete. WP Engine erklärte damals, dass Kunden von ACF PRO sowie von WP Engine und Flywheel nicht betroffen seien. Allen anderen empfahl das ACF-Team, die Version 6.3.8 einmalig von advancedcustomfields.com herunterzuladen, um wieder Updates vom Original zu bekommen. Dieser Umweg war nötig, solange ACF nicht über WordPress.org verteilt werden konnte.

Die Rückgabe des ACF-Eintrags an WP Engine folgte im Dezember 2024 auf eine einstweilige Verfügung eines US-Gerichts, über die unter anderem WP Tavern berichtet hat. SCF ist seit November 2024 ein eigenes Plugin mit eigener Adresse.

Warum der Fall die Community beschäftigt hat

Das WordPress-Ökosystem beruht darauf, dass Entwickler ihre Plugins über das offizielle Verzeichnis verteilen und dort die Kontrolle über ihren Code behalten. Dass ein aktiv gepflegtes Plugin ohne Zustimmung seiner Entwickler übernommen wurde, war neu. Viele bezeichneten das als „feindliche Übernahme“, manche sogar als eine Art Supply-Chain-Angriff, weil Nutzer per Update ein anderes Plugin bekamen, als sie installiert hatten.

Für Entwickler, die Websites mit ACF gebaut haben, war das ein praktisches Problem: ACF steckt in vielen Themes und individuellen Lösungen. Wer nicht wusste, welche Version auf welcher Kundenseite läuft, musste nachprüfen.

Was davon bleibt

Der Rechtsstreit läuft weiter. Am 24. September 2026 hat das US-Gericht die Kartellvorwürfe von WP Engine zugelassen, die Verhandlung vor einer Jury ist für den 19. Oktober 2027 angesetzt (The Repository). Für Ihre Website ändert das im Moment nichts, beide Plugins bekommen Updates.

Der Fall hat gezeigt, dass man bei wichtigen Plugins wissen sollte, woher die Updates kommen. Automatische Updates sind bequem, aber bei Plugins, auf denen eine ganze Website aufbaut, lohnt ein kurzer Blick, bevor sie eingespielt werden. Das gehört zu einer ordentlichen WordPress-Wartung und gilt auch unabhängig von ACF.

Häufige Fragen

Wer pflegt Advanced Custom Fields heute?

WP Engine. Im Plugin-Verzeichnis steht WP Engine als Autor, die Updates kommen seit Dezember 2024 wieder direkt über WordPress.org. Secure Custom Fields ist ein eigenes Plugin, dort ist WordPress.org als Autor eingetragen.

Ist ACF kostenlos?

Die Grundversion ja, sie steht kostenlos im Plugin-Verzeichnis. ACF PRO kostet laut Preisseite ab 49 US-Dollar im Jahr für eine Website (Stand 6. November 2026, ohne Steuern). Secure Custom Fields ist ebenfalls kostenlos.

Was ist ACF PRO?

Die Bezahlversion von ACF. Sie ergänzt Repeater, Flexible Content, ACF Blocks, Options Pages, Galerie und Clone. ACF PRO ist ein eigenständiges Plugin, die kostenlose Version muss nicht zusätzlich installiert sein.

Was passiert, wenn ich ACF deaktiviere?

Die Daten bleiben laut Hersteller erhalten, und nach einer neuen Installation geht es dort weiter. Ruft Ihr Theme aber get_field() oder the_field() auf, gibt es diese Funktionen nicht mehr. Die Website funktioniert dann nicht mehr richtig, oft erscheint die Meldung zum kritischen Fehler.

Läuft ACF mit dem Block-Editor?

Ja. Die Felder stehen im Editor neben oder unter dem Inhalt. Eigene Blöcke mit ACF Blocks brauchen ACF PRO.

Kann ich ACF und Secure Custom Fields gleichzeitig nutzen?

Nein. Laut Beschreibung im Verzeichnis deaktiviert Secure Custom Fields bei der Installation ACF und ACF PRO, um Code-Konflikte zu vermeiden.