WordPress als Intranet

Ja, WordPress eignet sich als Intranet für kleine und mittlere Teams: für interne Neuigkeiten, Anleitungen, ein Handbuch, Ansprechpartner und Formulare. Heute läuft so ein Intranet meist als gehostete WordPress-Installation hinter einer Login-Sperre, mit Rollen, geschützten Dateien und einer zweiten Anmeldestufe oder der Anmeldung über Microsoft 365. Ein Server, der nur im Büronetz erreichbar ist, ist die Ausnahme. Er lohnt sich, wenn Daten das Firmennetz nicht verlassen dürfen.

Ich habe diesen Beitrag im Oktober 2026 überarbeitet. Die erste Fassung von 2023 zeigte als Hauptweg eine XAMPP-Installation auf einem Arbeitsplatzrechner, die im Netzwerk freigegeben wird, mit dem Datenbank-Zugang „root“ ohne Passwort. Für einen Test auf dem eigenen Rechner ist das in Ordnung, für ein Firmen-Intranet nicht. Die XAMPP-Anleitung steht weiter unten, ausdrücklich als Testumgebung.

Intranet oder Extranet

Ein Intranet ist nur für die eigenen Leute da: Wer im Unternehmen arbeitet, meldet sich an und findet dort interne Nachrichten, Dokumente und Abläufe. Ein Extranet öffnet einen Teil davon für ausgewählte Externe, etwa Kunden, Lieferanten oder Partner, die jeweils nur ihren Bereich sehen. In WordPress ist beides technisch dasselbe: eine Website hinter einer Anmeldung, bei der Rollen festlegen, wer was sieht.

Wofür sich WordPress als Intranet eignet und wofür nicht

WordPress spielt seine Stärken aus, wenn das Intranet vor allem Inhalte verteilt. Die Redaktion kennt den Editor oft schon von der eigenen Website, Beiträge und Seiten reichen für Neuigkeiten und ein Handbuch, und die Rollen Administrator, Redakteur, Autor und Abonnent sind eingebaut. Sie bestimmen selbst, wo die Daten liegen, und zahlen keine Gebühr pro Kopf.

Weniger gut passt WordPress, wenn das Intranet in erster Linie Dateien verwalten soll, mit Versionen, Freigaben und Rechten pro Ordner. Dafür ist WordPress nicht gebaut. Selbst die Entwickler des Plugins All-In-One Intranet schreiben, dass WordPress für öffentliche Websites gemacht ist und die Zugriffssperre erst nachgerüstet werden muss. Wenn Ihr Team schon mit Microsoft 365 arbeitet und vor allem Dokumente teilt, ist SharePoint meist der kürzere Weg. WordPress kann dann die Oberfläche für Neuigkeiten und Wissen sein, die Dokumente bleiben in SharePoint.

Zwei Wege: gehostet mit Login-Sperre oder nur im Büronetz

	Gehostet mit Login-Sperre	Server nur im Büronetz
Zugriff	Nach der Anmeldung von überall, auch im Homeoffice	Nur im Büro oder über ein VPN
Sicherheit	Die Anmeldeseite ist aus dem Internet erreichbar, deshalb sind zweite Anmeldestufe und Updates Pflicht	Von außen nicht erreichbar, dafür werden Updates leicht vergessen
Updates und Backups	Wie bei jeder Website, Backups oft über den Hoster	Der Server braucht für Updates trotzdem Internetzugang, Backups organisieren Sie selbst
Ausfallrisiko	Rechenzentrum des Hosters	Ein Gerät im Büro: Strom, Hardware, Vertretung im Urlaub
Laufende Kosten	Hosting-Vertrag und Pflege	Hardware, Strom und Zeit für die Administration

Ich empfehle in den meisten Fällen den gehosteten Weg. Ein Server im Büro schützt nur so lange, wie ihn jemand pflegt, und genau diese Pflege bleibt im Alltag liegen. Einen lokalen Server würde ich nur aufsetzen, wenn eine Vorgabe verlangt, dass die Daten das Firmennetz nicht verlassen, und dann als richtigen Server mit eigenem Datenbank-Nutzer, HTTPS und Backups, nicht als XAMPP auf einem Arbeitsplatzrechner.

So sichern Sie ein WordPress-Intranet ab

Die ganze Website hinter die Anmeldung

Das Plugin All-In-One Intranet macht mit einem Haken die gesamte Website privat: Wer nicht angemeldet ist, landet auf der Anmeldeseite. Laut Plugin-Beschreibung sperrt es dabei auch die REST-Schnittstelle für nicht angemeldete Besucher, schaltet XML-RPC ab, hält Suchmaschinen über die robots.txt fern und meldet Nutzer nach einer einstellbaren Zeit ohne Aktivität ab. Stand 21. Oktober 2026 ist es in Version 1.10.0 bei über 3.000 Websites im Einsatz.

Schalten Sie außerdem unter Einstellungen, Allgemein die Option „Jeder kann sich registrieren“ aus. Das Plugin warnt, wenn die offene Registrierung aktiv ist, abschalten müssen Sie sie selbst.

Dateien: die Lücke, die fast jeder übersieht

Eine Login-Sperre schützt Seiten und Beiträge, aber nicht die Dateien in der Mediathek. Ein hochgeladenes PDF bleibt über seine direkte Adresse abrufbar, auch ohne Anmeldung. Das steht so in den FAQ von All-In-One Intranet: WordPress liefert Mediendateien direkt über den Webserver aus, an PHP und an den Plugins vorbei.

Für Verträge, Gehaltstabellen oder Personalunterlagen brauchen Sie deshalb eine eigene Lösung: eine Serverregel, die Aufrufe auf den Upload-Ordner erst nach einer Anmeldeprüfung durchlässt, oder ein Plugin für Download-Schutz. Prüfen Sie bei Plugins genau, wer danach noch zugreifen darf. Bei Prevent Direct Access etwa kommen an geschützte Dateien direkt nur Administratoren und die Person, die die Datei hochgeladen hat. Für Dokumente, die das ganze Team lesen soll, ist das zu eng. Testen Sie den Schutz am Ende selbst: Dateiadresse kopieren und in einem privaten Browserfenster ohne Anmeldung öffnen.

Anmeldung mit zweitem Faktor oder über Microsoft

Bei einem gehosteten Intranet ist die Anmeldeseite aus dem Internet erreichbar, und ein Passwort allein reicht dort nicht. Das Plugin Two Factor ergänzt WordPress um eine zweite Anmeldestufe und läuft auf über 100.000 Websites. All-In-One Intranet arbeitet laut seiner Beschreibung ohne Zusatzeinstellung damit zusammen.

Arbeitet Ihr Team mit Microsoft 365, ist die Anmeldung über Microsoft bequemer. Das Plugin WPO365 verbindet WordPress mit Microsoft Entra ID (früher Azure AD): Wer sich zum ersten Mal mit dem Microsoft-Konto anmeldet, wird automatisch als WordPress-Nutzer angelegt, und ein eigener Intranet-Modus legt alle Seiten hinter die Anmeldung. Die Anmeldung über Microsoft ist in der kostenlosen Fassung enthalten, weitere Funktionen gibt es als kostenpflichtige Erweiterungen. Der Vorteil im Alltag: Zugänge verwalten Sie an einer Stelle, in Microsoft.

Rollen, Updates und Backups

Geben Sie jedem nur die Rechte, die er braucht. In einem Intranet sind die meisten Nutzer Leser, also Abonnenten, einige pflegen Inhalte als Redakteure, und Administratoren gibt es zwei, nicht zehn. Für eigene Rollen, etwa „Personalabteilung“, gibt es das kostenlose Plugin Members.

Am häufigsten bleiben in Intranets Updates und Backups liegen. Eine Website, die nur das eigene Team sieht, fällt niemandem auf, bis etwas passiert. Sie braucht dieselben Updates wie jede öffentliche Website, vorher auf einer Testkopie geprüft, und tägliche Backups auf einem anderen Server. Wie schnell das gehen muss, zeigte im Oktober 2026 die PHP-Lücke PHP2Shell, bei der PHP auf dem Server noch am selben Tag aktualisiert werden musste. Was zur Wartung gehört und was sie am Markt kostet, steht im Ratgeber WordPress-Wartung: Kosten, Leistungen und wer sie übernimmt. Wenn Sie die Pflege abgeben möchten: Genau das ist der Kern meiner WordPress-Betreuung.

DSGVO, Hosting in Deutschland und Betriebsrat

In einem Intranet stehen personenbezogene Daten: Namen, Abteilungen, Telefonnummern, oft Fotos. Das hier ist keine Rechtsberatung, aber diese drei Punkte gehören vor den Start:

1. Hosting in Deutschland oder der EU, mit einem Vertrag zur Auftragsverarbeitung. Wer personenbezogene Daten in Ihrem Auftrag verarbeitet, tut das nach Art. 28 DSGVO auf Grundlage eines solchen Vertrags.
2. Nur die Profildaten, die das Intranet wirklich braucht. Plugins, die Daten an Dienste außerhalb der EU schicken, etwa für Schriften, Statistik oder Chat, prüfen Sie vor der Installation.
3. Den Betriebsrat früh einbinden, wenn es einen gibt. Nach § 87 Abs. 1 Nr. 6 BetrVG bestimmt er mit bei technischen Einrichtungen, die dazu bestimmt sind, Verhalten oder Leistung der Beschäftigten zu überwachen. Ein Intranet, das protokolliert, wer wann was gelesen hat, kann darunter fallen.

Welches Theme und welche Plugins Sie brauchen

Für ein schlichtes Intranet mit Neuigkeiten und Handbuch reicht ein normales, gut gepflegtes Theme plus die Plugins von oben. Ein eigenes Intranet-Theme lohnt sich, wenn Sie Profile, Gruppen und Aktivitäten wie in einem sozialen Netzwerk wollen.

Woffice ist so ein Komplettpaket: ein Intranet-Theme mit Dashboard, Wissensverwaltung und Rollenverwaltung, Projekt- und CRM-Funktionen kommen über eigene Erweiterungen dazu. Die Preise haben sich seit der ersten Fassung dieses Beitrags geändert. Version 6 verkauft der Hersteller im Jahresabo, ab 99 US-Dollar im Jahr für eine Website mit einem Jahr Updates und Support (laut Preisseite, Stand 21. Oktober 2026). Version 5 gibt es weiter über ThemeForest, die Erweiterungen kosten dort einzeln. Prüfen Sie vor dem Kauf, ob Sie die vielen Funktionen wirklich brauchen, denn jede davon ist Code, der gepflegt werden will.

Der kostenlose Weg ist BuddyPress: Es ergänzt WordPress um Profile, private Nachrichten und Gruppen und läuft auf über 90.000 Websites. Zusammen mit All-In-One Intranet, Two Factor und Members haben Sie damit die Grundausstattung, ohne Lizenzkosten.

Was kostet ein WordPress-Intranet?

Die Software kostet nichts: WordPress und die genannten Plugins sind in der Grundfassung kostenlos. Bezahlt werden andere Posten:

• Hosting in Deutschland oder der EU, mit Backups und Vertrag zur Auftragsverarbeitung.
• Optionale Lizenzen, etwa ein Intranet-Theme wie Woffice (ab 99 US-Dollar im Jahr) oder Zusatzfunktionen von WPO365.
• Die Einrichtung: Zugriffssperre, Rollen, Dateischutz, Anmeldung über Microsoft und ein Aufbau, den Ihr Team versteht.
• Die Inhalte. Handbuch, Abläufe und Ansprechpartner schreibt meist das eigene Team, und das dauert länger als die Technik.
• Die Pflege: Updates, Backups und Überwachung, jeden Monat.

Eigene Preise nenne ich hier bewusst nicht. Ein Intranet für 15 Leute mit einer Login-Sperre ist ein anderes Projekt als eines mit Microsoft-Anmeldung, Dateischutz und eigenen Rollen. Was ein WordPress-Freelancer pro Stunde kostet und wie Sie Angebote vergleichen, steht im Ratgeber Was kostet eine WordPress-Website?.

Zum Ausprobieren: WordPress lokal mit XAMPP

Wenn Sie erst sehen wollen, wie sich WordPress als Intranet anfühlt, installieren Sie es auf Ihrem eigenen Rechner. Mit XAMPP geht das ohne Server. Vorab eine Warnung, die von den XAMPP-Entwicklern selbst kommt: Laut ihren FAQ ist XAMPP nur für Entwicklungsumgebungen gedacht und nicht für den Betrieb. In der Grundeinstellung hat der Datenbank-Administrator „root“ kein Passwort, und die Datenbank ist über das Netzwerk erreichbar. Machen Sie diese Testinstallation deshalb nie für andere Rechner im Netz zugänglich.

1. XAMPP auf der Website von Apache Friends für Ihr Betriebssystem herunterladen und installieren.

2. Das XAMPP Control Panel öffnen und Apache und MySQL starten.

3. Im Browser http://localhost/phpmyadmin/ aufrufen und eine neue, leere Datenbank anlegen, zum Beispiel „wordpress“.

4. WordPress von WordPress.org herunterladen, entpacken und den Ordner „wordpress“ in den Ordner „htdocs“ der XAMPP-Installation kopieren. Den Ordner öffnen Sie im Control Panel über „Open Application Folder“.

5. Im Browser http://localhost/wordpress/ aufrufen. Der Installationsassistent startet.

6. Die Datenbank eintragen: Datenbankname „wordpress“, Benutzername „root“, Passwort leer, Datenbank-Host „localhost“, Tabellen-Präfix „wp_“. So liefert XAMPP die Datenbank aus, und nur für diesen Test auf Ihrem eigenen Rechner ist das vertretbar.

7. Seitentitel, Benutzernamen und ein starkes Passwort festlegen, auf „WordPress installieren“ klicken und sich danach unter http://localhost/wordpress/wp-admin/ anmelden.

Danach können Sie All-In-One Intranet, ein Theme und Ihre ersten Inhalte ausprobieren. Soll das Intranet in Betrieb gehen, ziehen Sie es auf einen gehosteten Server um, statt die Testinstallation im Netzwerk freizugeben.

Häufige Fragen

Ist WordPress sicher genug für ein Intranet?

Ja, wenn die ganze Website hinter einer Anmeldung liegt, die Anmeldung einen zweiten Faktor oder die Microsoft-Anmeldung nutzt, vertrauliche Dateien eigens geschützt sind und Updates regelmäßig eingespielt werden. Das größte Risiko ist ein Intranet, das niemand mehr aktualisiert, weil es von außen niemandem auffällt.

Kann man ein Intranet kostenlos mit WordPress bauen?

Die Software ja: WordPress, All-In-One Intranet, Two Factor, Members und BuddyPress kosten nichts. Hosting, Einrichtung und Pflege kosten Geld oder eigene Arbeitszeit. Zum Ausprobieren reicht eine kostenlose Installation mit XAMPP auf dem eigenen Rechner, für den Betrieb ist sie nicht gedacht.

Ist WordPress DSGVO-konform?

WordPress ist Software. Ob Ihr Intranet die DSGVO einhält, hängt vom Betrieb ab: Hosting in Deutschland oder der EU mit einem Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO, nur die nötigen Profildaten und keine Plugins, die ungeprüft Daten an Dienste außerhalb der EU schicken. Das ist keine Rechtsberatung.

Brauche ich ein spezielles Intranet-Theme?

Nein. Für Neuigkeiten, ein Handbuch und Ansprechpartner reicht ein normales, gut gepflegtes Theme mit den passenden Plugins. Ein Intranet-Theme wie Woffice lohnt sich, wenn Sie Profile, Gruppen und Projektfunktionen in einem Paket haben wollen, und es kostet dann ein Jahresabo.

In meiner Arbeit als WordPress-Entwickler habe ich schon mehrere Intranets gebaut. Wenn Sie eines planen, klären wir zuerst, welche Inhalte hinein sollen und wer was sehen darf. Daraus ergibt sich, ob WordPress der richtige Weg ist oder ob SharePoint besser passt. Schreiben Sie mir über das Kontaktformular.