Tracking wird häufig als Marketing-Thema behandelt. Container einbauen, Events definieren, Kampagnen messen – fertig. In einem WooCommerce-Shop ist Tracking aber auch Teil der technischen Angriffsfläche.
Das zeigt eine aktuelle Meldung zu GTM4WP, einem weit verbreiteten Google-Tag-Manager-Plugin für WordPress. Tenable führt CVE-2026-16597 als Stored-XSS-Schwachstelle in Versionen bis einschließlich 1.22.3. Relevant ist sie unter einer konkreten Bedingung: Die GTM4WP-Integration für WooCommerce-Bestelldaten muss aktiviert sein. Laut Beschreibung kann dann ein nicht angemeldeter Angreifer über ein Gast-Checkout manipulierten JavaScript-Inhalt in ein WooCommerce-Rechnungsfeld einbringen, der später auf einer betroffenen Seite ausgeführt wird.
Die korrigierte Version 1.22.4 ist laut Hersteller verfügbar.
Was das für Marketing und Shop-Betrieb bedeutet
Die Meldung bedeutet nicht, dass jeder Shop mit Google Tag Manager kompromittiert ist. Sie zeigt aber etwas Grundsätzlicheres: Tracking-Code verarbeitet und transportiert Daten durch Systeme, die öffentlich erreichbar sind. Deshalb braucht er dieselbe Disziplin wie Zahlungs-, Formular- oder Login-Komponenten.
Wenn ein Plugin Bestelldaten in die Seite oder den Data Layer schreibt, geht es nicht mehr nur um Messung. Dann geht es auch darum, wie Eingaben bereinigt, ausgegeben und nach einem Update getestet werden.
Nicht nur die Plugin-Version prüfen
Bei einer gezielten Sicherheitsmeldung ist die Version der Startpunkt. Danach folgen die Fragen, die wirklich entscheiden, wie dringend ein Eingriff ist:
- Ist GTM4WP überhaupt installiert und aktiv?
- Läuft noch eine Version bis einschließlich 1.22.3?
- Ist die WooCommerce-Bestelldaten-Integration aktiviert?
- Sind Gastbestellungen möglich?
- Welche Templates oder Admin-Ansichten geben Bestell- bzw. Trackingdaten aus?
- Gibt es nach dem Update einen kurzen Test für Checkout und Messung?
Diese Fragen klingen technisch, sind aber betriebsrelevant. Ohne sie bleibt ein „alles aktuell“ oft nur eine Vermutung.
Update und Tracking-Test gehören zusammen
Ein Sicherheitsupdate sollte nicht dazu führen, dass Marketing im Dunkeln fliegt. Deshalb gehört nach der Aktualisierung ein kurzer, definierter Test dazu:
1. Eine Testbestellung ausführen – wenn möglich als Gast.
2. Prüfen, ob die Bestellbestätigung und kritische Shop-Seiten sauber laden.
3. Kontrollieren, ob die erwarteten Data-Layer-Events weiterhin vorhanden sind.
4. In GTM/Analytics ausschließlich die vorgesehenen Testsignale prüfen, ohne unnötig personenbezogene Bestelldaten in Analysewerkzeuge zu geben.
5. Ergebnis und Version dokumentieren.
Der Test muss nicht lang sein. Aber er sollte reproduzierbar sein und eine verantwortliche Person haben. So entsteht aus einem spontanen Plugin-Update ein wartbarer Prozess.
Mit Blick auf GTM4WP 2.0: Änderungen bewusst einplanen
Der Hersteller beschreibt GTM4WP 2.0 als Neuaufbau und kündigt zunächst eine freiwillig installierbare Beta an. Die stabile WordPress.org-Version bleibt während dieser Phase bei 1.22.4; niemand soll automatisch auf die Beta wechseln.
Das ist genau der richtige Umgang für geschäftskritische Seiten: Eine Beta gehört in Entwicklung oder Staging, nicht ungeprüft in einen laufenden Shop. Auch bei späteren stabilen Major-Releases sollten Container, Datenlayer, Consent-Integration und Checkout-Messung als zusammenhängendes Paket geprüft werden.
Zuständigkeit ist die eigentliche Sicherheitsmaßnahme
In vielen Teams liegen Shop, Marketing und WordPress-Wartung bei unterschiedlichen Personen. Das ist normal. Riskant wird es erst, wenn niemand die Verbindung hält.
Ein sauberer Ablauf verbindet beide Seiten: Die technische Betreuung kennt die eingesetzten Plugins und Versionen. Das Marketing weiß, welche Messung geschäftskritisch ist. Nach Änderungen gibt es einen kurzen Test und eine nachvollziehbare Freigabe.
So bleibt Tracking nützlich – ohne als unbeachtete Nebenintegration zum Risiko zu werden.
CTA: Sie möchten Sicherheitsupdates, Checkout und Tracking als einen nachvollziehbaren Betriebsprozess behandeln? Der WordPress Sicherheits- & Performance-Check zeigt die relevanten Abhängigkeiten und priorisiert die nächsten Schritte.