Headless CMS für kleine Websites
Wer „WordPress-Alternative“ oder „Astro CMS“ sucht, bekommt Listen mit fünfzehn Systemen. Viele davon stammen von den Anbietern selbst. Für eine kleine Firmenwebsite ist die wichtigste Frage aber eine andere: Wer ändert hier eigentlich wie oft was?
Die ehrliche Antwort zuerst: oft gar kein CMS
Viele kleine Betriebe pflegen ihre Website nie selbst, auch wenn sie ein Redaktionssystem bekommen. Sie schicken eine Mail mit der neuen Telefonnummer. Ein Agenturbetreiber mit Hunderten WordPress-Kunden in der Wartung hat es in einer Entwickler-Diskussion so beschrieben: Neun von zehn haben sich nie eingeloggt. Das ist eine Einzelstimme, keine Statistik, deckt sich aber mit dem, was viele Agenturen erzählen.
Für diese Kunden ist eine statische Seite ohne CMS die bessere Lösung:
- Es gibt nichts, was gepatcht werden muss, solange die Seite einfach läuft.
- Die Seite ist schnell, weil nur fertige Dateien ausgeliefert werden.
- Änderungen macht die Agentur in Minuten im Repository.
Das ist kein Verzicht, das lässt sich als Komfort anbieten: kein Login, kein Passwort, kein Update.
Wann ein Headless CMS Sinn ergibt
Ein CMS lohnt sich, wenn jemand regelmäßig ohne Entwickler veröffentlicht. Typische Fälle:
- Blog oder Neuigkeiten, mehrmals im Monat
- Referenzen und Projekte, die laufend dazukommen
- Stellenanzeigen
- Veranstaltungen, Speisekarten, Kurse mit wechselnden Terminen
„Headless“ heißt dabei: Das CMS verwaltet nur die Inhalte. Die Seite selbst baut Astro (oder ein anderes Framework) daraus, im Idealfall statisch. Gestaltung und Barrierefreiheit bleiben im Code und damit geprüft. Der Kunde tauscht Text und Bild in festen Feldern.
Die drei Familien
Git-basiert: Sveltia CMS, Decap CMS, Keystatic. Eine Oberfläche im Browser, die Inhalte als Markdown-Dateien ins Repository schreibt. Keine Datenbank, kein eigener Server. Für Text und Bild in vorgegebenen Feldern ist das der Sweet Spot. Unterschiede, die zählen: Keystatic arbeitet online nur mit GitHub-Repositories. Decap unterstützt neben GitHub auch GitLab, Gitea, Forgejo, Bitbucket und Azure, wirkt in der Oberfläche aber älter. Sveltia CMS ist als moderner Nachfolger von Netlify/Decap CMS gebaut und unterstützt GitHub, GitLab und Gitea/Forgejo, dafür kein Bitbucket und kein Azure. Grenze: Keines davon ist ein visueller Baukasten. Wer Seiten aus Blöcken zusammenschieben will, ist hier falsch.
Selbst gehostet mit Datenbank: Payload, Directus und ähnliche. Mächtig, mit Rollen, Freigaben und vielen Inhaltstypen. Dafür läuft pro Kunde eine eigene Anwendung mit Datenbank: Updates, Backups, Monitoring und Angriffsfläche inklusive. Payload baut auf Next.js auf, mit Astro arbeitest du dagegen. Directus ist für Organisationen unter 5 Mio. US-Dollar Umsatz und unter 50 Beschäftigten kostenlos; das Abschalten der Telemetrie steht laut Preisseite im Enterprise-Tarif.
SaaS: Storyblok, Contentful und andere. Komfortabel, oft mit visuellem Editor auf der echten Seite. Du betreibst nichts, zahlst aber laufend und bist an die API gebunden. Storyblok sitzt in Österreich, das hilft bei der Datenschutz-Abwägung. Prüfe Region, AV-Vertrag und lass die Lizenz auf den Kunden laufen.
Entscheidungstabelle
| Situation | Empfehlung | Warum |
|---|---|---|
| Inhalte ändern sich selten, Agentur pflegt | Kein CMS, statische Seite | Nichts zu warten, schnellste Seite |
| Kunde ändert ab und zu Text und Bild, Repo auf GitHub | Keystatic oder Sveltia | Keine Datenbank, Inhalte bleiben Dateien |
| Kunde ändert regelmäßig, Repo auf eigenem Gitea/Forgejo | Sveltia oder Decap | Unterstützen Gitea/Forgejo |
| Kunde will auf der echten Seite visuell bearbeiten | Storyblok (SaaS, EU) | Visuelles Editieren, kein eigener Betrieb |
| Mehrere Redakteure, Rollen, Freigaben, viele Inhaltstypen | Selbst gehostetes CMS mit Datenbank, ein Standard-Stack | Leistung ja, aber Betrieb einpreisen |
| Viele Plugins nötig, Team kennt WordPress | WordPress | Bleibt sinnvoll, mit verbindlichem Update-Plan |
| Shop mit wenigen Produkten | Statische Seite plus Zahlungslinks | Kein Shopsystem zu betreiben |
Worauf du bei jeder Wahl achtest
- Wenige Abschnittstypen. Fünf oder sechs, die der Kunde wieder befüllen und umsortieren kann. Zwanzig Sonderfälle fasst niemand an.
- Barrierefreiheit in den Feldern erzwingen. Alternativtext als Pflichtfeld, keine frei wählbaren Überschriftenebenen, kein Roh-HTML.
- Bilder begrenzen. Ein 8-MB-Handyfoto landet sonst im Build. Größe im CMS begrenzen oder beim Build verkleinern.
- Rückmeldung nach dem Speichern. Bei Git-CMS baut die Seite nach dem Speichern neu, das dauert. Sag dem Kunden, wie lange, sonst klickt er dreimal.
- Ausstieg mitdenken. Bei Git-basierten Systemen sind die Inhalte Dateien im Repository. Bei Datenbank- und SaaS-Systemen: Exportweg vorher testen.
Und WordPress?
WordPress ist nicht schlecht. Es ist für viele kleine Seiten einfach mehr, als sie brauchen. Patchstack (verkauft Sicherheitslösungen für WordPress, also Anbieterdaten) zählte 11.334 neue Sicherheitslücken im WordPress-Ökosystem im Jahr 2025, 91 % davon in Plugins. Dazu kommen Lücken im Kern selbst: Am 06.10.2026 erschien WordPress 7.1.3 mit sieben Sicherheitskorrekturen.
Wenn du WordPress vor allem nutzt, damit jemand Texte ändern kann, ist eine statische Seite mit Git-basiertem CMS die schlankere Alternative. Wenn ein Plugin echten Nutzen bringt und jemand die Updates verbindlich übernimmt, bleib bei WordPress.
Wie das mit Kiekkist zusammenpasst
Kiekkist-Designs lassen sich als statische Astro- oder HTML-Seite exportieren und als WordPress-Block-Theme. Für die statische Variante liefert das Übergabepaket eine Anleitung für den Endkunden mit, auch für den Fall „Astro mit Redaktionsoberfläche“. Welches CMS du davorsetzt, entscheidest du. Die Felder, die ein Kunde später braucht, sind im Design schon als Abschnitte angelegt.
Quellen
- Keystatic, GitHub mode: https://keystatic.com/docs/github-mode
- Decap CMS, Backends: https://decapcms.org/docs/backends-overview/
- Sveltia CMS, Backends: https://sveltiacms.app/en/docs/backends
- Directus, Preise und Lizenz: https://directus.com/pricing
- Payload CMS: https://payloadcms.com
- Storyblok: https://www.storyblok.com
- Contentful, Preise: https://www.contentful.com/pricing/
- Patchstack, State of WordPress Security in 2026 (Anbieterdaten): https://patchstack.com/whitepaper/state-of-wordpress-security-in-2026/
- WordPress 7.1.3 Maintenance and Security Release, 06.10.2026: https://wordpress.org/news/2026/10/wordpress-7-1-3-maintenance-and-security-release/