Updates zeitnah, aber nie ungetestet
Spielen Sie WordPress-Updates regelmäßig und zeitnah ein, Sicherheitsupdates innerhalb weniger Tage. Als Routine machen Updates selten Ärger. Wer sie monatelang liegen lässt, hat irgendwann beides: eine angreifbare Website und einen großen, riskanten Update-Sprung.
- 01
Aktuelles Backup
Dateien und Datenbank, nachweislich wiederherstellbar.
- 02
Test an einer Kopie
Fehler fallen auf, bevor Besucher sie sehen.
- 03
Feste Reihenfolge
Core, Plugins, Erweiterungen, Theme, Übersetzungen.
Warum Aufschieben das größere Risiko ist
Die meisten Lücken stecken in Plugins
Der WordPress-Core selbst ist gut gepflegt. Das Problem liegt fast immer bei Erweiterungen. Jedes zusätzliche Plugin ist ein weiteres Stück Software, das gepflegt werden muss.
Angriffe laufen automatisiert
„Meine Seite ist zu klein, um interessant zu sein“ spielt keine Rolle. Programme suchen das Internet nach Websites mit einer bestimmten verwundbaren Plugin-Version ab. Ein Update, das drei Wochen liegen bleibt, ist in dieser Rechnung sehr lang.
- 01Spam-Seiten, die Ihr Google-Ranking beschädigen
- 02Weiterleitungen auf fremde Seiten
- 03Abgegriffene Kundendaten
- 04Meldepflicht nach DSGVO
Zeitnahe Updates sind deshalb nicht nur Vorsicht: Die DSGVO verlangt Sicherheit nach dem Stand der Technik, mehr dazu im Ratgeber Updates sind Pflicht.
Warum Updates Websites zerlegen
Die Angst vor Updates ist nicht unbegründet. Wenn danach etwas nicht mehr funktioniert, steckt meist eine dieser Ursachen dahinter.
Plugin-Konflikte
Plugins verschiedener Entwickler greifen auf dieselben Funktionen zu und laden eigene Skripte. Ein Update bei Plugin A kann einen Fehler bei Plugin B auslösen, obwohl jedes für sich einwandfrei ist.
PHP-Version des Servers
Neue Plugin-Versionen setzen oft neueres PHP voraus, ältere Plugins laufen unter aktuellem PHP manchmal nicht mehr. Eine PHP-Umstellung beim Hoster gehört genauso getestet wie ein Plugin-Update.
Page-Builder
Elementor, Divi oder WPBakery speichern Layouts in eigenen Strukturen. Größere Updates ändern diese gelegentlich, und Addon-Pakete ziehen nicht immer sofort nach: verschobene Abstände, fehlende Elemente.
WooCommerce-Template-Overrides
Themes überschreiben WooCommerce-Vorlagen mit eigenen Kopien. Ändert WooCommerce das Original, bleibt die Kopie alt, vom Darstellungsfehler bis zum kaputten Warenkorb. Prüfen unter „WooCommerce › Status › Templates“.
Große Versionssprünge
Je länger Updates liegen bleiben, desto häufiger landen Sie bei großen Sprüngen, und desto mehr ändert sich auf einmal.
Automatische Updates: was passiert von selbst?
WordPress 3.7
Kleinere Core-Updates und Übersetzungen werden automatisch eingespielt.
WordPress 5.5
Automatische Updates lassen sich für jedes Plugin und Theme einzeln einschalten. Ab Werk aus.
WordPress 5.6
Neue Installationen erhalten auch Hauptversionen automatisch. Ältere behalten das alte Verhalten.
WordPress 6.6
Nach einem automatischen Plugin-Update prüft WordPress, ob die Startseite ohne schweren PHP-Fehler lädt, und stellt sonst die alte Version wieder her.
Ob Ihre Website Hauptversionen automatisch erhält, sehen Sie unter „Dashboard › Aktualisierungen“. Bei kritischen Lücken kann das WordPress-Sicherheitsteam in Einzelfällen ein Plugin-Update automatisch verteilen.
Lücken schließen sich schnell, ohne dass jemand daran denken muss.
Für eine einfache Website mit wenigen Plugins ist das eine vertretbare Lösung.
- Das Update geht ungetestet live, meist nachts, wenn niemand hinsieht.
- Die Rückabwicklung erkennt nur schwere PHP-Fehler. Verschobenes Layout, stumme Formulare oder ein hängender Checkout bleiben unbemerkt.
- Bei mehreren Updates in einer Nacht ist schwer nachvollziehbar, welches den Fehler verursacht hat.
Für einen Shop oder eine Website, über die Anfragen hereinkommen, empfehle ich eine kontrollierte Routine.
Eine praktische Update-Routine in sieben Schritten
Die ersten fünf Schritte passieren vor und auf der Kopie. Erst Schritt sechs berührt die Live-Website.
- 1
Backup anlegen und prüfen
Dateien und Datenbank sichern, bevor Sie etwas aktualisieren. Ein Backup, das noch nie wiederhergestellt wurde, ist eine Hoffnung, keine Absicherung.
- 2
Auf einer Kopie testen
Updates zuerst auf einer Staging-Umgebung einspielen. Dort darf etwas kaputtgehen, ohne dass Besucher es sehen. Welche Möglichkeiten es gibt, steht im Staging-Vergleich.
- 3
Changelogs lesen
Vor großen Updates die Änderungshinweise ansehen. Geänderte Mindestanforderungen, entfernte Funktionen oder eine neue Hauptversion bedeuten mehr Testzeit.
- 4
In fester Reihenfolge aktualisieren
Wer Plugins einzeln aktualisiert und nach den wichtigen kurz prüft, weiß im Fehlerfall sofort, welches Update schuld ist.
- 1WordPress-Core
- 2Plugins, große einzeln
- 3Abhängige Erweiterungen
- 4Theme und Child-Theme
- 5Übersetzungen
- 5
Danach gezielt testen
Prüfen Sie die Dinge, die für Ihr Geschäft zählen:
- Formulare und Mailversand
- WooCommerce-Testbestellung
- Layout auf dem Smartphone
- Cache und CDN leeren
- Website-Zustand und WooCommerce-Status
- 6
Live einspielen
Erst wenn auf der Kopie alles funktioniert, gehen dieselben Updates live. In einer ruhigen Zeit, danach die wichtigsten Tests in kurzer Form wiederholen.
- 7
Dokumentieren
Notieren, was wann aktualisiert wurde. Fällt eine Woche später etwas auf, ist diese Liste der schnellste Weg zur Ursache.
Wenn ein Update trotzdem schiefgeht
Auch mit guter Routine kann ein Fehler erst live auffallen, etwa weil dort ein anderer Cache aktiv ist oder Besucher einen ungetesteten Weg nehmen. Dann helfen Ruhe und eine klare Abfolge:
- 1
Eingrenzen
Was funktioniert nicht, seit wann, welche Updates kamen zuletzt? Hier zahlt sich die Dokumentation aus.
- 2
Einzeln zurücknehmen
Lässt sich der Fehler einem Plugin zuordnen, wird nur dieses auf die vorherige Version gesetzt.
- 3
Backup nur, wenn nötig
Ein vollständiges Zurückspielen löscht alles seitdem, auch neue Anfragen oder Bestellungen. Der letzte Ausweg.
- 4
Ursache beheben, erneut einspielen
Ein zurückgenommenes Sicherheitsupdate hilft nur vorübergehend. Mit der älteren Version ist die Lücke wieder offen.
So löse ich das mit dem Doppelgänger
Für meine Kunden übernehme ich diese Routine vollständig. Jede WordPress-Website erhält einen Doppelgänger: eine exakte Kopie auf einem separaten Server in Deutschland. Jeder Release wird als eigene Version abgelegt.
Immer zuerst auf der Kopie
Core, Plugins und Theme aktualisiere ich regelmäßig auf dem Doppelgänger. Bei WooCommerce teste ich bis in den Checkout, mit den Testmodi der Zahlungsanbieter.
Sicherheitsupdates in 24 bis 48 h
Nach dem Test spiele ich Sicherheitsupdates in der Regel innerhalb von 24 bis 48 Stunden ein.
Release ohne Ausfall
Ein automatisiertes Release veröffentlicht genau den geprüften Stand in wenigen Minuten. Zurück zum vorherigen Stand geht es in Sekunden.
Acht Prüfungen jede Nacht
Zusätzlich laufen jede Nacht acht automatische Sicherheitsprüfungen der Live-Website.
Wie das im Detail aussieht, lesen Sie auf der Seite Doppelgänger für WordPress.
Kurz beantwortet.
Wie oft sollte man WordPress-Updates einspielen?
Sicherheitsupdates so schnell wie möglich, idealerweise innerhalb von ein bis zwei Tagen. Für normale Funktionsupdates reicht ein fester Rhythmus, etwa wöchentlich oder alle zwei Wochen. Lassen Sie Updates nicht über Monate auflaufen, sonst wird jeder Schritt größer und schwerer zu testen.
Sollte ich automatische Updates für Plugins aktivieren?
Für einfache Websites mit wenigen, gut gepflegten Plugins kann das sinnvoll sein. Bei Shops, Websites mit Page-Buildern oder individuellen Anpassungen ist es riskant, weil ein Update nachts ungetestet live geht. Ein Mittelweg ist, nur Sicherheitsupdates schnell einzuspielen und größere Versionssprünge vorher auf einer Kopie zu testen.
Was mache ich, wenn nach einem WordPress-Update die Seite weiß bleibt?
Meist ist ein Plugin oder Theme nicht mit der neuen Version kompatibel und verursacht einen PHP-Fehler. WordPress verschickt in diesem Fall oft eine E-Mail mit einem Link für den Wiederherstellungsmodus, über den Sie das betroffene Plugin deaktivieren können. Ohne Backup oder Zugang per FTP beziehungsweise SSH wird es schwierig, deshalb gehört das Backup immer vor das Update.
Muss ich auch inaktive Plugins und Themes aktualisieren?
Ja, oder besser: löschen. Auch deaktivierte Plugins und Themes liegen als Dateien auf dem Server und können je nach Lücke angreifbar sein. Was gelöscht ist, muss auch nicht gepflegt werden.
Brauche ich für Updates wirklich eine Staging-Umgebung?
Für eine kleine Visitenkarten-Website reicht oft ein gutes Backup. Sobald die Website Umsatz bringt, Anfragen erzeugt oder WooCommerce nutzt, ist eine Testkopie die sicherere Wahl, weil Fehler dort auffallen, bevor Kunden sie sehen. Welche Arten von Staging es gibt, vergleiche ich in einem eigenen Ratgeber.