Es gibt ja so Konstanten im Leben, die sind einfach wie selbstverständlich da und man macht sich keine großen Gedanken über sie – bis sie plötzlich nicht mehr da sind. 😵💫
So ging es mir mit dem Plugin Subscribe to Comments Reloaded, was für mich seit Jahren zum Standard gehörte. Tja – weg isses, aus dem Repository genommen aufgrund einer Sicherheitslücke.
Also habe ich mich nach einer Alternative umgeschaut und verrate dir hier, was ich gefunden habe.
Was machte Subscribe to Comments Reloaded?
Wenn man einen Blogartikel kommentiert, kann auf diesen Kommentar ja wiederum geantwortet werden. Die Antwort kann vom Blogger selber kommen oder auch von anderen Lesern, je nach Thema entspinnen sich da mitunter sehr lebhafte Diskussionen. Das will man natürlich mitbekommen, ohne jeden Tag alle Blogs abklappern zu müssen, auf denen man irgendwann mal kommentiert hat.
Hier kam das kostenlose Plugin Subscribe to Comments Reloaded (StCR) ins Spiel: beim Kommentieren konnte man ein Häkchen setzen bei „Benachrichtigung bei weiteren Kommentaren“ und bekam dann eine Mail. Das ging sogar, ohne dass man selber überhaupt einen Kommentar abgibt.
So sah das hier bei der Bloghexe aus:
Schicke Sache!
Wieso gibt es Subscribe to Comments Reloaded nicht mehr?
Nachdem die letzte Aktualisierung des Plugins bereits drei Jahre zurücklag, wurde im April 2026 eine Sicherheitslücke entdeckt.
Wie genau sieht die aus? – Das Plugin hat einen geheimen Schlüssel (Secret Key), der eigentlich niemand außer der Website selbst kennen sollte. Dieser Schlüssel wird aber versehentlich auf jeder öffentlichen Beitragsseite mit ausgeliefert – man kann ihn also einfach aus dem Quellcode der Seite auslesen, ganz ohne Login. Zusätzlich benutzt das Plugin einen unsicheren Verschlüsselungs- bzw. Hash-Algorithmus, um daraus „Autorisierungs-Schlüssel“ zu erzeugen – also die Codes, mit denen man sich als bestimmter Abonnent ausweist (etwa über den Link „Kommentarabo verwalten“).
Die Kombination aus beidem bedeutet: ein Angreifer kann sich diesen globalen Schlüssel besorgen, daraus selbst gültige Autorisierungs-Codes für beliebige andere Nutzer fälschen und sich so als diese Person ausgeben – ohne sich einloggen zu müssen. Damit könnte er fremde Kommentarabos einsehen oder verändern (z. B. abbestellen, umstellen), so als wäre er der jeweilige Abonnent.
Da das Plugin nicht weiterentwickelt wurde, um diese Lücke zu patchen, hat man Subscribe to Comments Reloaded im offiziellen Plugin-Repository von WordPress am 28.4.2026 deaktiviert. Damit kann man es nicht mehr herunterladen.
Bestehende Installationen funktionieren weiterhin, aus Sicherheitsgründen solltest du das Plugin aber nicht mehr nutzen.
Nun sind geänderte Kommentarabos natürlich nicht unbedingt das Dramatischste, was bei einem Hack passieren kann.
Aber wenn Plugins von ihren Entwicklern nicht mehr aktualisiert werden, stellt das generell immer ein Risiko dar. Es können ja immer weitere, gefährlichere Sicherheitslücken entdeckt werden oder das Plugin funktioniert aus irgendwelchen Gründen plötzlich nicht mehr mit einer neueren Version von WordPress.
Daher: danke für die vielen Jahre, in denen StCR wirklich gute Dienst geleistet hat – jetzt war es aber an der Zeit, mich nach einer anderen Lösung umzuschauen.
Alternativen zu Subscribe to Comments Reloaded
Überraschenderweise gibt es gar nicht sonderlich viele Plugins, die eine ähnliche Funktion anbieten.
Meine Anforderungen waren:
- datenschutzkonform – die Kommentardaten sollen auf meinem Webspace bleiben und nicht an irgendwelche Dienste in den USA oder sonstwo übertragen werden (dadurch kommen beispielsweise Jetpack oder Disqus für mich nicht in Frage)
- regelmäßig aktualisiert
- kostenlos
Meine Wahl fiel schließlich auf wpDiscuz.
Was ist wpDiscuz und was kann es?
wpDiscuz wird derzeit auf über 70.000 Webseiten eingesetzt, ist also sehr verbreitet und wird aktiv weiterentwickelt, was ein gutes Zeichen ist.
In der Grundversion – die bereits wirklich viele Funktionen mitbringt und mir vollkommen ausreicht – ist wpDiscuz kostenlos. Tatsächlich habe ich sehr viele Features wie beispielsweise die Bewertungsmöglichkeit sogar deaktiviert, weil ich sie einfach nicht benötigte.
Man kann sich via E-Mail entweder über alle weiteren Kommentare zu einem Beitrag benachrichtigen lassen oder nur über Antworten auf den eigenen Kommentar.
Für beides gibt es das von der DSGVO vorgeschriebene DoubleOpt-In, also eine Bestätigungsmail.
Schick finde ich die Möglichkeit, einen Kommentar nach dem Absenden noch einige Zeit lang bearbeiten zu können.
wpDiscuz einrichten
Das Plugin ist halt mächtig und demzufolge komplex. Daher solltest du dir für die Installation ungefähr eine halbe Stunde Zeit nehmen.
Nach dem Installieren und Aktivieren wirst du Schritt für Schritt durch einen Einrichtungsassistenten geführt. Das Ganze ist relativ selbsterklärend: du wählst eines von drei fertigen Layouts für die Kommentaranzeige aus (kannst aber später auch alles anpassen) und entscheidest dich dann, welche Features du nutzen möchtest. Einige werden dir direkt hier im Einrichtungsassistenten gezeigt, andere findest du erst, indem du dich durch alle Einstellungsmöglichkeiten einmal durchklickst. Das solltest du auf jeden Fall tun, denn bei manchen Features lauern datenschutzrechtliche Fallstricke oder sie blähen deine Seite unnötig auf.
Standardmäßig sind die meisten Features aktiviert, beispielsweise:
- Die „Kommentarblase“ ist ein Icon, das frei auf der Seite schwebt und über neue Kommentare informiert, auf Wunsch sogar mit Echtzeit-Aktualisierung. Brauche ich nicht und habe es daher rausgenommen.
- Inline-Kommentarformulare ermöglichen es, dass Leser nicht nur unter dem Artikel kommentieren können, sondern auch an von dir festgelegten Bereich direkt im Beitrag. Das ist also so ähnlich wie die Kommentarfunktion in Word – da mag ich sie, im Blog fände ich es verwirrend.
- Eine Beitragsbewertung brauche ich ebenfalls nicht.
Was ich super hilfreich finde: unter Einstellungen –> Kommentarbearbeitung kannst du festlegen, wie viele Minuten nach dem Absenden man seinen Beitrag noch bearbeiten darf. Finde ich persönlich mega, weil mir selber immer mal Tippfehler unterlaufen oder mir ein Gedankengang erst nach dem Absenden einfällt.
Der Bereich „Stile und Farben“ ist selbsterklärend, hier solltest du einmal die Farben deines Themes einstellen.
Unter wpDiscuz -> Werkzeuge gibt es schließlich die Option, Kommentarabos aus Subscribe to Comments Reloaded zu importieren. Sehr hilfreich!
Anschließend musst du die Kommentardaten einmal synchronisieren und dann kann es losgehen!
Teste am besten einmal in einem privaten Fenster, wo du also nicht eingeloggt bist, die Darstellung des Kommentarformulars. Hier bei der Bloghexe funktionierte alles problemlos, beim Lieblingsalltag hatte ich einige Probleme. Das hängt immer von deinem Theme ab und ob sich da gegebenenfalls etwas in die Quere kommt.
Ich hoffe, dieser Beitrag hat dir weitergeholfen!
