WordPress Updates: Welche es gibt, wie Sie sie sicher einspielen und was hilft, wenn etwas schiefgeht

Veraltete Plugins gehören zu den häufigsten Einfallstoren für Angreifer. Gleichzeitig fürchten viele Betreiber genau den Klick auf „Aktualisieren“, weil danach schon einmal das Kontaktformular streikte. Beides lässt sich vermeiden. Wie, zeigen die folgenden Abschnitte: welche Arten von WordPress Updates es gibt, wann automatische Updates sinnvoll sind, wie ein sicherer Ablauf aussieht und was Sie tun, wenn ein Update die Website lahmlegt.

Welche Arten von WordPress Updates es gibt

Eine WordPress-Website besteht aus mehreren Teilen, die unabhängig voneinander entwickelt und aktualisiert werden. Jeder Teil hat eigene Versionsnummern und eigene Risiken.

Bei WordPress bilden die ersten beiden Stellen der Versionsnummer gemeinsam die Hauptversion. Die Zahl vor dem Punkt sagt dabei nichts über den Umfang aus: Der Wechsel von 6.9 auf 7.0 folgt denselben Regeln wie der von 6.8 auf 6.9. Major-Versionen erscheinen mehrmals im Jahr, Minor-Versionen nach Bedarf, bei Sicherheitsproblemen auch kurzfristig.

PHP-Updates nicht vergessen

Jede PHP-Version erhält nur für begrenzte Zeit Sicherheitsupdates. Danach stellen Hoster früher oder später auf eine neuere Version um. Ältere Themes und Plugins funktionieren mit neuen PHP-Versionen oft nicht mehr richtig. Unter Werkzeuge, Website-Zustand sehen Sie, welche Version läuft und ob WordPress sie für veraltet hält. Testen Sie einen Wechsel zuerst auf einer Staging-Umgebung. Bei den meisten Hosting-Anbietern lässt sich die PHP-Version im Kundenmenü umstellen und im Fall von Problemen auch wieder zurückstellen.

Warum regelmäßige Updates wichtig sind

Viele Updates schließen Sicherheitslücken, die mit der Veröffentlichung öffentlich bekannt werden. Ab diesem Moment suchen automatisierte Programme gezielt nach Websites, die noch die alte Version nutzen. Dazu kommen Fehlerbehebungen, Anpassungen an neue Browser und PHP-Versionen und neue Funktionen.

Oft übersehen wird, dass kleine, regelmäßige Updates einfacher sind als große Sprünge. Wer eine Website jahrelang nicht aktualisiert und dann von einer sehr alten Version direkt auf die neueste springen will, stößt fast immer auf Probleme, weil sich Theme, Plugins und Server gleichzeitig weiterentwickelt haben. Solche Nachholaktionen gehören in jedem Fall auf eine Testumgebung.

Wie oft Sie updaten sollten

• Sicherheitsupdates: innerhalb weniger Tage, bei kritischen Lücken am selben Tag.
• Plugins und Themes: mindestens einmal pro Woche prüfen, ob Updates anstehen.
• Major-Versionen von WordPress: nach einem Test. Bei geschäftskritischen Websites kann es sinnvoll sein, einige Tage zu warten, bis die ersten Wartungsversionen erschienen sind und Plugin-Entwickler nachgezogen haben.
• PHP: wenn der Hoster eine Umstellung ankündigt oder der Website-Zustand warnt, immer nach einem Test.

Verfügbare Updates zeigt WordPress im Backend unter Dashboard, Aktualisierungen sowie als Zahl in der Werkzeugleiste und neben dem Menüpunkt Plugins. Eine E-Mail über ausstehende Plugin-Updates verschickt WordPress von sich aus nicht. Wer nur selten ins Backend schaut, verpasst sie also leicht.

Automatische Updates ein- und ausschalten

Automatische Updates haben einen klaren Vorteil: Sicherheitslücken werden schnell geschlossen, auch wenn niemand daran denkt. Der Nachteil ist, dass danach niemand testet. Bricht ein Update das Kontaktformular, merken Sie es womöglich erst nach Tagen. Bewährt hat sich ein Mittelweg:

• Minor-Versionen von WordPress automatisch einspielen lassen
• Kleine, gut gepflegte Plugins ohne Einfluss auf Formulare oder Kasse automatisch aktualisieren
• Major-Versionen, Shop-Plugins, Page Builder und Themes mit Anpassungen manuell und mit Test
• Automatik nur mit funktionierenden Backups und einer Überwachung der Website

Im Backend

• WordPress selbst: Unter Dashboard, Aktualisierungen steht oben, ob automatische Updates nur für Wartungs- und Sicherheitsversionen oder für alle Versionen aktiv sind. Ein Link daneben schaltet um.
• Plugins: Unter Plugins, Installierte Plugins gibt es die Spalte Automatische Aktualisierungen mit einem Link pro Plugin. Mehrere Plugins auf einmal stellen Sie über die Mehrfachaktionen um.
• Themes: Unter Design, Themes öffnen Sie die Details eines Themes und aktivieren oder deaktivieren dort die automatischen Aktualisierungen.

Per Code

Für feste Vorgaben, etwa bei mehreren Websites, lassen sich automatische Updates in der wp-config.php steuern. Die Zeilen gehören vor die Zeile, die am Ende der Datei wp-settings.php lädt. Aktiv ist jeweils nur eine Variante, die anderen sind hier auskommentiert:

// Nur Wartungs- und Sicherheitsversionen automatisch
define( 'WP_AUTO_UPDATE_CORE', 'minor' );

// Alle Core-Versionen automatisch, auch Major-Versionen
// define( 'WP_AUTO_UPDATE_CORE', true );

// Keine automatischen Core-Updates
// define( 'WP_AUTO_UPDATE_CORE', false );

// Sämtliche automatischen Updates aus: Core, Plugins, Themes, Übersetzungen
// define( 'AUTOMATIC_UPDATER_DISABLED', true );

Für Plugins und Themes gibt es Filter. Sie gehören nicht in die functions.php eines Themes, die bei einem Theme-Wechsel verloren geht, sondern in ein kleines Must-use-Plugin, also eine PHP-Datei im Ordner wp-content/mu-plugins:

<?php
// Alle Plugins automatisch aktualisieren
add_filter( 'auto_update_plugin', '__return_true' );

// Themes nie automatisch aktualisieren
add_filter( 'auto_update_theme', '__return_false' );

Nach automatischen Updates von Core, Plugins und Themes schickt WordPress in der Regel eine E-Mail an die Adresse, die unter Einstellungen, Allgemein als Administrator-E-Mail-Adresse eingetragen ist. Tragen Sie dort eine Adresse ein, die jemand liest. An dieselbe Adresse geht auch die Nachricht, wenn ein Update einen schweren Fehler auslöst.

Der sichere Ablauf: Backup, Staging, Test

Manuelle Updates laufen am besten nach diesem Ablauf. Bei einer normalen Unternehmenswebsite dauert er nicht lange und verhindert die meisten Probleme:

1. Vorab prüfen

   Lesen Sie bei größeren Updates das Änderungsprotokoll auf der Plugin-Seite oder beim Hersteller. Prüfen Sie bei Plugins die Angabe, bis zu welcher WordPress-Version sie getestet wurden, und bei Major-Versionen, ob sich die Anforderungen an PHP geändert haben.

2. Backup erstellen

   Sichern Sie Dateien und Datenbank, bevor Sie etwas aktualisieren, und legen Sie die Sicherung außerhalb des Servers ab. Wie das geht, zeigt der Artikel WordPress Backup.

3. Auf einer Staging-Umgebung testen

   Größere Updates, Shops und Websites mit vielen Plugins testen Sie zuerst auf einer Kopie der Website. Viele Hoster bieten dafür eine Staging-Funktion per Klick an.

4. In sinnvoller Reihenfolge aktualisieren

   Zuerst kommen die Plugins, dann die Themes, dann WordPress selbst. Prüfen Sie danach noch einmal, ob Plugin-Updates erschienen sind, die die neue WordPress-Version voraussetzen. Wichtige Plugins aktualisieren Sie einzeln, dann wissen Sie im Fehlerfall sofort, woran es liegt. Schließen Sie den Browser-Tab nicht, solange ein Update läuft.

5. Cache leeren

   Leeren Sie den Cache von Caching-Plugin, Server und gegebenenfalls CDN. Sonst sehen Sie und Ihre Besucher womöglich noch die alte Version oder eine zwischengespeicherte Wartungsseite.

6. Testen

   Rufen Sie Startseite und wichtige Unterseiten auf, auch auf dem Smartphone, und prüfen Sie, ob Inhalt und Layout stimmen. Schicken Sie ein Testformular ab und prüfen Sie, ob die E-Mail ankommt. Testen Sie Login, Suche und bei Shops den kompletten Bestellvorgang.

7. Dokumentieren

   Notieren Sie Datum, aktualisierte Komponenten und Auffälligkeiten. Bei einem Fehler Wochen später wissen Sie dann, was sich wann geändert hat.

Premium-Plugins und Premium-Themes erhalten Updates meist nur mit gültigem Lizenzschlüssel. Läuft die Lizenz aus, bleiben auch Sicherheitsupdates aus. Manche lassen sich nur als ZIP-Datei aktualisieren. WordPress fragt beim Hochladen, ob die installierte Version ersetzt werden soll. Und wer Änderungen direkt im Theme vorgenommen hat statt in einem Child-Theme, verliert sie beim nächsten Theme-Update.

Wenn ein Update die Website zerstört

Typische Symptome sind die Meldung, dass es einen kritischen Fehler auf der Website gab, eine weiße Seite, ein Serverfehler 500, ein zerschossenes Layout oder eine Website, die im Wartungsmodus hängt. Bewahren Sie Ruhe, fast jeder dieser Fehler lässt sich beheben.

Den Wiederherstellungsmodus nutzen

Seit Version 5.2 erkennt WordPress schwere Fehler, die von einem Plugin oder Theme ausgehen, und schickt eine E-Mail mit einem speziellen Login-Link an die Administrator-Adresse. Über diesen Link melden Sie sich im Wiederherstellungsmodus an. Das fehlerhafte Plugin ist dann nur für Sie pausiert, und Sie können es deaktivieren oder ersetzen.

Plugin oder Theme ohne Backend abschalten

Kommt keine E-Mail oder erreichen Sie das Backend nicht, verbinden Sie sich per SFTP oder über den Dateimanager des Hosters. Benennen Sie unter wp-content/plugins den Ordner des verdächtigen Plugins um, etwa durch ein angehängtes -aus. WordPress deaktiviert das Plugin dann. Bei einem Theme-Problem benennen Sie den Theme-Ordner um. WordPress wechselt auf ein Standard-Theme, sofern eines installiert ist. Behalten Sie deshalb ein Standard-Theme als Rückfallebene.

Fehlerprotokoll einschalten

Ist unklar, welches Plugin schuld ist, schreibt WordPress mit diesen Zeilen in der wp-config.php alle Fehler in die Datei wp-content/debug.log, ohne sie Besuchern anzuzeigen:

define( 'WP_DEBUG', true );
define( 'WP_DEBUG_LOG', true );
define( 'WP_DEBUG_DISPLAY', false );

Der Pfad in der Fehlermeldung verrät meist das verantwortliche Plugin. Schalten Sie das Protokoll nach der Fehlersuche wieder aus und löschen Sie die debug.log, denn sie ist öffentlich abrufbar und enthält interne Pfade.

Vorherige Version einspielen

Auf der Seite eines Plugins im offiziellen Verzeichnis finden Sie über die erweiterte Ansicht ältere Versionen zum Download. Diese laden Sie als ZIP-Datei hoch und ersetzen damit die aktuelle Version. Mit WP-CLI geht es per Befehl, etwa wp plugin install pluginname --version=2.4.1 --force. Vorsicht bei Plugins, die beim Update ihre Datenbank umgebaut haben, etwa Shop-Plugins: Hier reicht der Rückschritt beim Plugin oft nicht, und das vollständige Backup ist der sicherere Weg.

Backup zurückspielen

Hilft nichts davon, spielen Sie das Backup von vor dem Update ein. Alles, was seitdem hinzugekommen ist, etwa Bestellungen oder Formulareinträge, fehlt danach. Melden Sie den Fehler anschließend im Support-Forum des Plugins und warten Sie auf eine korrigierte Version. Updates dauerhaft abzuschalten ist keine Lösung.

Website hängt im Wartungsmodus

Bleibt nach einem abgebrochenen Update die Meldung zu Wartungsarbeiten stehen, liegt im Hauptverzeichnis noch die Datei .maintenance. Wie Sie das lösen, erklärt der Artikel WordPress Wartungsmodus.

Selbst aktualisieren oder abgeben?

Für eine kleine Website mit wenigen, gut gepflegten Plugins ist der Ablauf oben gut selbst zu schaffen. Wer ihn aber jede Woche zuverlässig durchziehen soll, braucht Zeit, Routine und im Fehlerfall technisches Wissen. Bei Shops, Websites mit vielen Plugins oder Schnittstellen und überall dort, wo ein Ausfall Anfragen oder Umsatz kostet, lohnt es sich, Updates in feste Hände zu geben. Was ein guter Vertrag dafür enthalten sollte, zeigt der Artikel WordPress-Wartungsvertrag. Warum ungepflegte Plugins ein Sicherheitsrisiko sind und wie Sie schlanke Alternativen finden, lesen Sie unter WordPress Plugins.

Updates mit Sicherheitsnetz

Häufige Fragen