Die meisten WordPress-Hacks nutzen keine raffinierten Zero-Days, sondern längst geschlossene Lücken in veralteter Software. Laut dem Patchstack-Sicherheitsbericht steckten 96 % der 2024 gemeldeten WordPress-Schwachstellen in Plugins, nicht im Kern. Updates sind damit die wichtigste Sicherheitsmassnahme überhaupt — vorausgesetzt, sie werden diszipliniert und getestet eingespielt.
Das Problem: Genau die Software mit dem grössten Risiko — Plugins und Themes — aktualisiert WordPress standardmässig nicht von selbst. Und ein Update, das ungetestet auf die Live-Website geht, kann diese ebenso lahmlegen wie ein Angriff. Dieser Beitrag zeigt, was WordPress automatisch aktualisiert, warum das nicht reicht und wie Sie Updates sicher durchführen.
Das Wichtigste in Kürze
- Grösstes Risiko: 96 % der 2024 gemeldeten Schwachstellen betrafen Plugins (Patchstack) — und die aktualisiert WordPress standardmässig NICHT automatisch.
- Automatisch nur klein: WordPress spielt kleine (Sicherheits-)Kern-Updates von selbst ein. Plugins, Themes und grosse Versionssprünge bleiben Handarbeit — oder müssen bewusst aktiviert werden.
- Nie ungetestet live: Erst auf einer Staging-Kopie testen, dann produktiv ausrollen — mit einem geprüften Backup als Rücksprungpunkt.
- Ausnahmen bestätigen die Regel: In seltenen Notfällen hat das WordPress-Sicherheitsteam kritische Updates schon zwangsweise ausgerollt — darauf verlassen kann man sich aber nicht.
Was aktualisiert WordPress automatisch — und was nicht?
WordPress spielt kleine Kern-Updates (etwa von 7.0.1 auf 7.0.2) standardmässig automatisch ein — das sind Fehlerbehebungen und Sicherheitspatches. Grosse Versionssprünge, Plugins und Themes werden dagegen nicht automatisch aktualisiert, solange Sie das nicht bewusst einschalten. Seit WordPress 5.5 lässt sich Auto-Update pro Plugin und Theme im Dashboard aktivieren; die Sprachdateien aktualisiert WordPress ebenfalls selbst.
| Komponente | Automatisch? | Empfehlung |
|---|---|---|
| Kleine Kern-Updates (Sicherheit/Bugfix) | Ja, standardmässig | Aktiviert lassen |
| Grosse Kern-Versionen (z. B. 7.0) | Nein (Opt-in) | Nach Staging-Test manuell |
| Plugins | Nein (pro Plugin aktivierbar) | Getestet einspielen — hier liegt das grösste Risiko |
| Themes | Nein (aktivierbar) | Getestet, v. a. bei Child-Themes |
| Sprachdateien | Ja | Belassen |
Warum Updates trotzdem schiefgehen können
Ein Update ändert Code — und wo Plugins, Theme und Kern zusammenspielen, kann eine neue Version ein anderes Element brechen: ein Layout verrutscht, ein Formular funktioniert nicht mehr, im schlimmsten Fall erscheint der «weisse Bildschirm». Deshalb ist blindes Draufklicken auf der Live-Website riskant. Die Lösung ist kein Verzicht auf Updates, sondern ein Ablauf, der Fehler abfängt, bevor Besucher sie sehen.
So aktualisieren Sie sicher: Schritt für Schritt
- Backup zuerst. Ein vollständiges, extern gespeichertes Backup von Dateien und Datenbank ist der Rücksprungpunkt, falls etwas schiefläuft.
- Auf Staging testen. Updates zunächst auf einer Kopie der Seite einspielen und die wichtigen Funktionen prüfen — Formulare, Shop, Login, Darstellung.
- Kontrolliert live gehen. Erst nach erfolgreichem Test produktiv aktualisieren, idealerweise ausserhalb der Stosszeiten.
- Nachkontrolle. Nach dem Update die Seite erneut prüfen und im Zweifel das Backup zurückspielen.
Für Webseitenbetreiber: Was bedeutet das für Ihre Website?
Wenn Ihre Seite geschäftskritisch ist, ist «ich mache die Updates, wenn ich Zeit habe» ein Risiko. Genau hier setzt eine laufende WordPress-Wartung an: getestete Updates nach Plan, Backups mit Wiederherstellungs-Test und ein fester Ansprechpartner, wenn doch etwas klemmt. Wer die Seite ganz aus einer Hand betreut haben will, ist mit Managed WordPress Hosting gut aufgestellt. In besonders kritischen Fällen hat das WordPress-Sicherheitsteam Updates schon zwangsweise ausgerollt — etwa 2020 bei der Loginizer-Lücke für über eine Million Websites und Ende 2025 bei einer WooCommerce-Lücke. Das bleibt aber die Ausnahme; darauf verlassen kann man sich nicht. Wie kritisch eine WordPress-Lücke werden kann, zeigte zuletzt die wp2shell-Sicherheitslücke.
Für Agenturen und Entwickler: die Steuerung im Detail
Das Auto-Update-Verhalten des Kerns steuern Sie über die Konstante WP_AUTO_UPDATE_CORE in der wp-config.php (minor, true für alle, oder false). Für Plugins und Themes greifen die Filter auto_update_plugin bzw. auto_update_theme, wenn Sie Auto-Updates gezielt pro Erweiterung steuern wollen. In der Praxis bewährt sich, kritische Sicherheits-Updates automatisch laufen zu lassen und funktionale Updates über einen getesteten Staging-Deploy-Prozess auszurollen.
// wp-config.php — nur kleine (Sicherheits-)Kern-Updates automatisch:
define( 'WP_AUTO_UPDATE_CORE', 'minor' );Fazit
Updates sind kein lästiges Übel, sondern Ihre günstigste Versicherung gegen Angriffe. Der Trick ist nicht, sie zu vermeiden, sondern sie diszipliniert einzuspielen: automatisch, wo es sicher ist; getestet, wo Code sich ändert; und immer mit einem Backup im Rücken. Wer das nicht selbst leisten kann oder will, gibt es besser ab — bevor die erste vernachlässigte Lücke zum Problem wird.
Häufig gestellte Fragen zu WordPress-Updates
Soll ich automatische Updates aktivieren?
Für kleine Kern- und Sicherheits-Updates: ja, die laufen ohnehin standardmässig automatisch. Bei Plugins und grossen Versionssprüngen ist Vorsicht angebracht — hier kann ein Update Funktionen brechen. Sinnvoll ist eine Mischung: Sicherheitskritisches automatisch, funktionale Updates getestet über eine Staging-Umgebung.
Warum reicht das automatische Update nicht aus?
Weil das grösste Risiko — Plugins — standardmässig nicht automatisch aktualisiert wird und weil automatische Updates ungetestet erfolgen. Ein Update kann eine Seite ebenso lahmlegen wie ein Angriff. Ein sicherer Ablauf mit Backup und Staging-Test fängt genau das ab.
Was, wenn ein Update meine Seite lahmlegt?
Mit einem aktuellen, extern gespeicherten Backup spielen Sie die Seite in den Zustand vor dem Update zurück. Deshalb ist das Backup Schritt eins. Ohne Backup wird aus einem kleinen Update-Problem schnell ein grosses — dann hilft nur noch aufwendige Fehlersuche oder Wiederaufbau.
Wie oft sollte ich WordPress aktualisieren?
Sicherheits-Updates so schnell wie möglich — im Ernstfall am selben Tag. Funktionale Plugin- und Theme-Updates in einem regelmässigen, getesteten Rhythmus, etwa wöchentlich oder monatlich, je nach Kritikalität der Seite. Wichtiger als die Frequenz ist, dass es überhaupt diszipliniert und getestet geschieht.
Quellen
- Patchstack — State of WordPress Security in 2025 (2025)
- WordPress.org — Upgrading WordPress (Advanced Administration Handbook)
- WordPress.org — Backing Up Your WordPress Site
- WP Tavern — Loginizer Plugin Gets Forced Security Update for Vulnerabilities Affecting 1 Million Users (2020)