Die drei Ebenen, auf denen Updates schiefgehen
Wer „WordPress aktualisieren“ sagt, meint meistens den Kern. Der ist der unproblematischste Teil: Er wird von einem großen Team gepflegt, Sicherheitsversionen erscheinen schnell und spielen sich in der Grundeinstellung selbst ein. Die Schwierigkeiten liegen darüber.
| Ebene | Wer pflegt sie | Was schiefgeht |
|---|---|---|
| Kern | Das WordPress-Projekt | Selten etwas. Sicherheitsversionen laufen automatisch. Größere Sprünge können ältere Erweiterungen aushebeln. |
| Theme | Der Hersteller — oder niemand | Der häufigste Totalschaden: Wurde direkt im Theme programmiert statt in einem Child-Theme, löscht das Update die Änderungen ersatzlos. |
| Erweiterungen | Je Erweiterung ein anderer, oft ehrenamtlich | Zwei Erweiterungen ändern dieselbe Stelle, und nach dem Update ist unklar, welche gewinnt. Oder eine wird gar nicht mehr gepflegt und bleibt als offene Tür stehen. |
Daraus folgt die Reihenfolge, mit der wir arbeiten: erst eine Sicherung, dann eine Kopie der Website, dann dort alle drei Ebenen einzeln aktualisieren und dazwischen prüfen. Wer alles auf einmal auf der echten Seite einspielt, weiß im Schadensfall nicht, welches der vierzehn Updates es war.
Die Frage, an der sich Angebote unterscheiden: Läuft das Update zuerst auf einer Kopie? Wenn nicht, ist es kein Wartungsvertrag, sondern ein Knopfdruck mit Rechnung.
Die Sicherung, die noch nie zurückgespielt wurde
Fast jede Website hat eine Sicherung. Deutlich weniger haben eine, die schon einmal zurückgespielt wurde — und das ist der einzige Zustand, in dem sie etwas wert ist.
Eine vollständige WordPress-Sicherung besteht aus zwei Teilen: den Dateien und der Datenbank. Die Texte, Seiten und Einstellungen liegen ausschließlich in der Datenbank. Sicherungen, die nur die Dateien mitnehmen, sehen vollständig aus und stellen im Ernstfall eine leere Website wieder her.
- Prüfen, ob die Sicherung beide Teile enthält — Dateien und Datenbank. Ein Blick in die Größe genügt oft: Wenige Megabyte bei einer Website mit Bildern sind ein Warnzeichen.
- Prüfen, wohin sie geht. Eine Sicherung auf demselben Server ist bei einem Serverschaden mit weg.
- Einmal zurückspielen, auf einer Testadresse. Das ist die einzige Prüfung, die zählt, und sie dauert eine Stunde.
- Danach halbjährlich wiederholen. Sicherungsprozesse brechen still ab — meist, weil der Speicher voll ist und niemand die Meldung liest.
Die zwei Einfallstore, über die praktisch alles läuft
WordPress hat den Ruf, unsicher zu sein. Der Kern ist es nicht — er wird schnell gepflegt und aktualisiert sich von selbst. Die Vorfälle, die wir gesehen haben, laufen fast ausnahmslos über zwei andere Wege.
Eine veraltete Erweiterung
Wird eine Lücke in einer verbreiteten Erweiterung öffentlich, beginnen innerhalb von Stunden automatisierte Abfragen, die das gesamte Netz nach dieser Version absuchen. Das ist nichts Persönliches und hat mit der Größe Ihres Betriebs nichts zu tun — es ist ein Programm, das Adressen abarbeitet. Deshalb ist die Zahl der eingesetzten Erweiterungen selbst ein Risikomaß: Jede ist eine eigene Software mit eigenem Pflegezustand.
Ein schwaches Redakteurspasswort
Der zweite Weg braucht keine Lücke. Er probiert Passwörter, und er hat Zeit. Zwei Maßnahmen schließen ihn praktisch vollständig: eine Zwei-Faktor-Anmeldung für alle Konten mit Schreibrechten, und keine Konten für Leute, die nicht mehr im Haus sind.
Das Einfügen aus der Zwischenablage im Passwortfeld zu verbieten, ist keine Sicherheitsmaßnahme. Es verhindert die Benutzung eines Passwortmanagers und trifft damit ausgerechnet die Konten mit den besten Passwörtern.
Was Sie selbst tun können — und wo es sich nicht lohnt
Wenn im Haus jemand ist, der sich das zutraut, kommen Sie mit vier Handgriffen sehr weit: automatische Sicherheitsversionen für den Kern eingeschaltet lassen, Zwei-Faktor-Anmeldung einrichten, ungenutzte Erweiterungen löschen statt nur abschalten — eine abgeschaltete Erweiterung liegt weiterhin auf dem Server und bleibt angreifbar — und die Sicherung einmal zurückspielen.
Was sich schlecht selbst machen lässt, ist der Fall, in dem ein Update etwas beschädigt hat und die Website gerade nicht funktioniert. Nicht weil es technisch schwierig wäre, sondern weil es unter Zeitdruck passiert, meist an einem ungünstigen Tag, und weil die naheliegende Reaktion — noch ein Update, noch eine Einstellung — den Schaden regelmäßig vergrößert.
Dafür gibt es zwei vernünftige Antworten: ein Wartungsvertrag, oder eine Nummer, unter der jemand rangeht. Die zweite ist billiger und für viele die richtige.
Wann Wartung das Geld nicht wert ist
Es gibt Installationen, bei denen wir von einem Wartungsvertrag abraten. Erkennungszeichen: über dreißig aktive Erweiterungen, ein Theme, das direkt bearbeitet wurde, mehrere Baukasten-Erweiterungen nebeneinander, und eine Datenbank, in der Reste abgeschalteter Erweiterungen aus Jahren liegen.
Solche Installationen lassen sich pflegen, aber jedes Update ist ein Einzelfall, und der Aufwand liegt dauerhaft über dem einer neu gebauten Website. Drei Jahre Pflege kosten dann mehr als der Neubau. Das ist eine unangenehme Auskunft, und sie ist häufiger richtig, als sie ausgesprochen wird.
Wann WordPress überhaupt an seine Grenze kommt — und welche vier von sechs Symptomen sich innerhalb von WordPress lösen lassen — steht auf einer eigenen Seite. Dort steht auch, in welchen zwei Fällen es nicht mehr geht.
Häufige Fragen
Wie oft muss WordPress aktualisiert werden?
Sicherheitsversionen des Kerns: sofort, und in der Grundeinstellung passiert das automatisch. Erweiterungen und Theme: ein fester Termin im Monat reicht in den allermeisten Fällen. Die Ausnahme ist eine öffentlich gewordene Lücke in einer Erweiterung, die Sie einsetzen — dann zählen Stunden, nicht Wochen.
Sind automatische Updates nicht einfacher?
Für Sicherheitsversionen des Kerns ja, die sollten an bleiben. Für Erweiterungen ist es eine Abwägung: Automatisch bedeutet, dass ein Fehler an einem Samstagmorgen entsteht und bis Montag niemand hinsieht. Wir aktualisieren deshalb zu einem festen Termin, an dem jemand danach draufschaut.
Was kostet ein WordPress-Wartungsvertrag?
Das hängt vor allem an der Zahl der Erweiterungen und daran, ob über die Seite Geld fließt. Ein schlanker Auftritt mit acht Erweiterungen ist etwas ganz anderes als ein Shop mit vierzig. Wir nennen den Betrag, nachdem wir hineingesehen haben — vorher wäre es geraten.
Ist WordPress unsicher?
Der Kern ist gut gepflegt und wird schnell aktualisiert. Die Vorfälle laufen fast ausschließlich über veraltete Erweiterungen und schwache Passwörter. Eine Installation mit wenigen, gepflegten Erweiterungen, Zwei-Faktor-Anmeldung und automatischen Sicherheitsupdates ist nicht unsicherer als andere Systeme dieser Größenordnung.
Wir haben ein Wartungspaket beim Hoster. Reicht das?
Sehen Sie nach, was darin steht. Hoster-Pakete decken meist Server, Erreichbarkeit und eine Sicherung ab — das ist die Grundlage und wertvoll. Was sie in der Regel nicht abdecken, ist die Ebene darüber: Theme und Erweiterungen, und die Frage, wer repariert, wenn ein Update etwas beschädigt.
Wie es weitergeht
45 Minuten mit dem Geschäftsführer. Kostenlos.
Sie beschreiben Ihren Prozess. Wir sagen Ihnen ehrlich, ob sich eine Eigenentwicklung für Sie rechnet — und wenn nicht, welches Standardprodukt besser passt. Danach bekommen Sie eine Einschätzung zu Aufwand und Kosten. Keine Präsentation, kein Verkaufsgespräch.
Termin vereinbaren