WordPress Updates ohne Risiko: Warum Aufschieben gefährlicher ist als Aktualisieren

Von Manuel Hack, ihp media · Aktualisiert am 14. Juni 2026

Viele Website-Betreiber schieben WordPress-Updates vor sich her, weil sie einen Absturz fürchten. Die Sorge ist verständlich, sie trifft aber den falschen Risikoträger. Laut dem State of WordPress Security 2026 von Patchstack wurden 2025 insgesamt 11.334 neue Schwachstellen in WordPress-Komponenten entdeckt, und 91 Prozent davon lagen in Plugins. Wer nicht aktualisiert, schützt sich nicht vor einem hypothetischen Update-Fehler, er setzt seine Seite einer dokumentierten, bekannten Lücke aus.

Dieser Ratgeber zeigt, warum das Aufschieben gefährlicher ist als das Aktualisieren, wie Sie mit drei konkreten Maßnahmen den Update-Prozess absichern und wann automatische Updates eine gute Idee sind.

Warum Updates keine Kür sind

WordPress-Updates erscheinen nicht ohne Anlass. Der Kern, Plugins und Themes werden gepflegt, weil konkrete Sicherheitsprobleme gefunden worden sind. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) benennt das Schwachstellen- und Patchmanagement ausdrücklich als eine der wichtigsten Sicherheitsmaßnahmen für Betreiber von Webanwendungen und empfiehlt, eingesetzte Komponenten regelmäßig auf aktuelle Sicherheitslücken zu prüfen und Updates zeitnah einzuspielen.

Was das in Zahlen bedeutet: Laut Patchstack-Datenbank sind von insgesamt rund 39.500 dokumentierten WordPress-Schwachstellen noch immer 28 Prozent ungepatcht (Stand: Juni 2026). Das heißt: Knapp ein Drittel aller bekannten Lücken hat bis heute kein Update erhalten, weil entweder der Entwickler inaktiv ist oder der Betreiber die Komponente nicht ausgetauscht hat.

Der zweite kritische Faktor ist die Geschwindigkeit. Laut Patchstack werden rund 50 Prozent der hochimpaktiven Schwachstellen innerhalb von 24 Stunden nach Bekanntwerden erstmals ausgenutzt. Wer nach einem Sicherheits-Release eine Woche wartet, gibt Angreifern sieben Tage Vorsprung.

Dazu kommt die Serverebene: Hosting-Anbieter stellen den Support für ältere PHP-Versionen irgendwann ein. Wer WordPress auf einer abgekündigten PHP-Version betreibt, läuft auf einer Infrastruktur ohne Sicherheitsupdates, und das betrifft die gesamte Seite, nicht nur einzelne Plugins.

Core, Plugin, Theme: wo die Gefahr wirklich lauert

Diese Verteilung hat einen einfachen Grund: Der WordPress-Core wird von einem großen, professionell organisierten Team gepflegt, dem laut WordPress.org mehr als 50 Sicherheitsexperten angehören. Plugins und Themes werden dagegen oft von einzelnen Entwicklern oder kleinen Teams betrieben, mit sehr unterschiedlichen Qualitäts- und Wartungsstandards.

Besonders riskant sind Plugins, die seit Monaten kein Update mehr erhalten haben. Wenn ein Entwickler ein Plugin aufgibt, ohne das im Repository kenntlich zu machen, laufen Betreiber auf einer dauerhaft ungepatchten Komponente. Ein Blick ins WordPress-Plugin-Verzeichnis zeigt bei jedem Plugin das Datum der letzten Aktualisierung, das ist ein erster, schneller Hinweis auf die Aktivität des Entwicklers.

Die Top-10-exploitierten Schwachstellen in den Patchstack-Daten zeigen zudem ein Muster: Angreifer nutzen gezielt Lücken in verbreiteten Plugins (wie LiteSpeed Cache oder tagDiv Composer), weil eine einzelne Schwachstelle Millionen von Installationen betrifft. Das Ziel ist nicht Ihre Seite persönlich, sondern das Muster einer anfälligen Version in einer automatisierten Massensuche.

Risiko beim Update fast auf null senken

Backup vor jedem Update

Ein vollständiges Backup von Datenbank und Dateien ist die Voraussetzung, keine Option. Es macht jeden Update-Fehler rückgängig, und zwar vollständig. WordPress.org empfiehlt ausdrücklich, vor jeder Aktualisierung zuerst eine Sicherung zu erstellen. Was eine gute Backup-Strategie ausmacht und warum die Ablage auf dem gleichen Server nicht ausreicht, erklärt der Ratgeber WordPress-Backup: Der 3-2-1-Plan.

Updates auf Staging testen

Eine Staging-Umgebung ist eine Testkopie der Live-Seite, auf der Änderungen durchgespielt werden, bevor sie auf der echten Seite landen. Wer ein Major-Update oder mehrere Plugin-Updates gleichzeitig einspielt, sollte das zuerst dort tun. Kompatibilitätsprobleme fallen so auf, ohne dass Besucher etwas merken, und die Lösung kann in Ruhe gefunden werden. Was eine Staging-Umgebung genau ist und wie man sie einrichtet, beschreibt der Ratgeber Staging-Umgebung: Warum jede Website eine Testkopie braucht.

Funktionscheck nach dem Update

Nach dem Update genügt ein kurzer Rundgang durch die Seite: Startseite, ein interner Link, Kontaktformular, beim Shop der Checkout-Prozess. Das dauert fünf Minuten und stellt fest, ob ein Plugin sich mit einem anderen in die Quere gekommen ist. Wer diesen Schritt systematisch einbaut, erkennt Update-Folgeprobleme sofort und nicht erst, wenn ein Besucher sich beschwert.

Plugin-Bestand regelmäßig ausdünnen

Jedes installierte Plugin ist ein potenzieller Update-Pfad und eine mögliche Angriffsfläche. Was nicht aktiv genutzt wird, gehört deaktiviert und gelöscht. Auch deaktivierte Plugins können bei bestimmten Angriffsvektoren ausgenutzt werden, solange sie auf dem Server liegen. Welche Sicherheits-Plugins wirklich nützen und welche sich überschneiden, zeigt der Ratgeber Sicherheits-Plugins für WordPress: Welche wirklich helfen.

Auto-Updates: wann sinnvoll, wann mit Vorsicht?

WordPress aktualisiert Minor- und Sicherheits-Releases (also z.B. von 6.5.3 auf 6.5.4) seit Version 3.7 automatisch im Hintergrund, wie WordPress.org dokumentiert. Das ist für kritische Lücken eine gute Sache: Die Zeit zwischen Bekanntwerden und Schließen der Lücke wird minimiert, ohne dass ein manueller Eingriff nötig ist.

Bei Plugins und Themes ist die Lage differenzierter. Auch gute Plugin-Entwickler veröffentlichen gelegentlich fehlerhafte Versionen. Automatische Plugin-Updates ohne vorheriges Backup können in solchen Einzelfällen Probleme auf die Live-Seite bringen. Das ist selten, aber es kommt vor.

Für die meisten Unternehmenswebsites empfiehlt sich deshalb ein Mittelweg:

• Automatische Updates für WordPress Minor- und Sicherheits-Releases aktivieren.
• Major-Core-Updates kontrolliert durchführen: Backup erstellen, auf Staging testen, dann live einspielen.
• Plugin- und Theme-Updates manuell und gebündelt einmal pro Woche oder alle zwei Wochen durchführen, mit Backup und kurzem Funktionscheck danach.

Wer das systematisch regeln will, ohne es selbst im Blick zu behalten, findet dafür den passenden Rahmen in einem WordPress-Wartungsvertrag, der Updates, Backups und Monitoring als definierten Leistungsumfang bündelt.

Ein sicheres Update Schritt für Schritt

Diese Anleitung gilt für manuelle Updates auf einer bestehenden Live-Seite. Wer regelmäßig wartet, läuft nur kleine Versionssprünge und macht diesen Ablauf zur Routine.

1. Backup erstellen. Datenbank und alle Dateien vollständig sichern, extern ablegen. Erst wenn die Sicherung bestätigt ist, weitermachen.
2. Wartungsmodus aktivieren (optional). Für kritische Sites empfiehlt sich das, damit Besucher während des Updates keine fehlerhafte Zwischenversion sehen.
3. Auf Staging updaten (bei Major-Releases). Das Update zuerst auf der Testkopie einspielen und die Seite auf Funktion prüfen. Probleme dort lösen, bevor die Live-Seite angefasst wird.
4. Update auf der Live-Seite einspielen. Im WordPress-Backend unter Dashboard > Updates: erst Core, dann Plugins, dann Themes. Nicht alle auf einmal, wenn mehrere kritische Komponenten betroffen sind, lieber in zwei Schritten.
5. Funktionscheck durchführen. Startseite, Navigation, Kontaktformular, beim Shop Warenkorb und Checkout aufrufen. Sieht alles aus wie vor dem Update?
6. Browsercache leeren. Gerade bei Theme-Updates sehen Benutzer mit Cache-Einträgen sonst möglicherweise alte Stile.
7. Update dokumentieren. Datum, welche Komponenten aktualisiert wurden, etwaige Probleme und deren Lösung. Das hilft beim nächsten Mal und ist der Mindeststandard bei professioneller Wartung.

Was darüber hinaus zu einer vollständigen Website-Pflege gehört und was sich monatlich, was jährlich lohnt, beschreibt der Ratgeber Website-Wartung: was monatlich, was jährlich zu tun ist.

Ein Beispiel aus der Praxis

Ein typischer Fall: Ein WooCommerce-Shop läuft seit Monaten ohne Wartung. Mehrere aktive Plugins haben offene Sicherheitslücken, einzelne mit hohem CVSS-Score. Der Betreiber weiß davon nichts, der Shop scheint von außen normal zu funktionieren.

Beim ersten Einspielen der Updates zeigt sich dann, warum das Aufschieben teuer wird: Zwei Plugins sind inzwischen so weit von der aktuellen WordPress-Version entfernt, dass ihre Aktualisierung eine PHP-Anpassung auf Serverebene erfordert. Das ist kein dramatisches Problem, kostet aber mehrere Stunden Diagnose und Koordination mit dem Hosting-Anbieter.

Hätte der Shop monatlich in kleinen Schritten aktualisiert worden, wären diese Kompatibilitätsprobleme nie entstanden. Jeder einzelne Schritt wäre ein Dreißig-Minuten-Job geblieben. Die Reparatur nach neun Monaten Stillstand kostete den Betreiber mehr als ein ganzes Jahr der Wartungsgebühr, die er sich gespart hatte.

Das Muster ist immer dasselbe: Je länger nichts passiert, desto größer wird der erste Schritt, und desto wahrscheinlicher sind unerwartete Probleme. Regelmäßige Updates sind keine Garantie gegen jeden Fehler, aber sie halten die Sprünge klein und die Risiken beherrschbar.

Sofort-Checkliste vor dem nächsten Update

• Vollständiges Backup von Datenbank und Dateien erstellt und extern gespeichert?
• Bei Major-Releases: Update zuerst auf Staging eingespielt und getestet?
• Alle Plugins, die seit mehr als sechs Monaten kein Update hatten, auf Entwickleraktivität geprüft?
• Deaktivierte Plugins, die nicht gebraucht werden, vollständig gelöscht (nicht nur deaktiviert)?
• Nach dem Update: Startseite, Kontaktformular und ggf. Checkout auf Funktion geprüft?
• Browsercache nach Theme-Update geleert?
• Datum und aktualisierte Komponenten dokumentiert?
• Automatische Minor-Updates im WordPress-Backend aktiviert?

// Automatische Minor- und Sicherheits-Updates aktivieren (z. B. 6.5.3 → 6.5.4)
define( 'WP_AUTO_UPDATE_CORE', 'minor' );

// Wert 'true'  = alle Core-Updates automatisch (inkl. Major)
// Wert 'minor' = nur Minor- und Sicherheits-Releases (empfohlen)
// Wert false   = alle Auto-Updates deaktiviert

<?php
// Auto-Update-Benachrichtigung per E-Mail deaktivieren
add_filter( 'auto_core_update_send_email', '__return_false' );
add_filter( 'auto_plugin_update_send_email', '__return_false' );
add_filter( 'auto_theme_update_send_email', '__return_false' );

Häufige Fragen

Wie oft sollte ich WordPress und Plugins aktualisieren?

Sicherheits-Releases sollten innerhalb weniger Tage nach Veröffentlichung eingespielt werden. Reguläre Plugin-Updates lassen sich gut alle ein bis zwei Wochen bündeln, sofern vorher ein Backup erstellt wird. Wichtiger als ein starrer Takt ist, dass überhaupt regelmäßig und nicht erst nach Monaten aktualisiert wird.

Kann ein WordPress-Update meine Website dauerhaft beschädigen?

Nein, sofern ein Backup vorhanden ist. Ein Update kann einen Fehler auslösen, den man mit einem vollständigen Backup rückgängig machen kann. Dauerhafte Schäden entstehen nicht durch Updates, sie entstehen durch fehlende Backups und ungepatchte Schwachstellen.

Was passiert, wenn ich gar nichts aktualisiere?

Mit der Zeit steigt die Wahrscheinlichkeit, dass eine bekannte Schwachstelle ausgenutzt wird. Im schlechteren Fall übernehmen Angreifer die Seite für Spam-Versand oder Phishing, was auch den Ruf Ihrer Domain und Ihre Sichtbarkeit bei Google beschädigt. Im günstigeren Fall erzwingt der Hoster einen Notfall-Update unter Zeitdruck. Keiner dieser Fälle ist angenehm.

Sind automatische Updates für Plugins empfehlenswert?

Für kleine Sicherheits-Releases des WordPress-Kerns ja. Bei Plugins empfiehlt sich ein kontrolliertes Vorgehen mit vorherigem Backup, weil gelegentlich fehlerhafte Versionen erscheinen. Wer Plugins automatisch aktualisiert, sollte zumindest sicherstellen, dass automatische Backups im Hintergrund laufen.

Welche Plugins und Themes sind am riskantesten?

Besonders anfällig sind Plugins mit sehr hoher Verbreitung (weil Lücken dort massenhaft ausgenutzt werden) und solche, die seit Monaten kein Update mehr hatten (weil der Entwickler möglicherweise inaktiv ist). Beides prüft man schnell: Installationszahl und letztes Update-Datum stehen im WordPress-Plugin-Verzeichnis.

Muss ich Updates selbst durchführen, oder gibt es Alternativen?

Sie können Updates selbst durchführen, dann lohnt sich diese Checkliste als Routine. Viele Unternehmer übergeben das Thema an einen Dienstleister, der Updates, Backups und Monitoring im Rahmen eines Wartungsvertrags übernimmt. Was ein solcher Vertrag enthält und was er realistisch kostet, erklärt der Ratgeber WordPress-Wartungsvertrag: Kosten und Leistungen.

Warum tauchen Schwachstellen in veralteten Plugins auf, wenn der Core sicher ist?

Der WordPress-Core wird von einem dedizierten Sicherheitsteam mit mehr als 50 Experten gepflegt, wie WordPress.org dokumentiert. Plugin-Entwickler haben diese Ressourcen in der Regel nicht. Gleichzeitig hat ein beliebtes Plugin mit Millionen Installationen für Angreifer einen viel höheren Wert als ein einziger Core-Exploit, der schnell gepatcht wird.