WordPress-Sicherheitsupdates: Warum sie oft aufgeschoben werden – und was das kostet

Fast jede WordPress-Seite, die ich übernehme, hat dieselbe Vorgeschichte: Core, Theme und Plugins sind Monate oder Jahre nicht aktualisiert worden. Nicht aus Nachlässigkeit — sondern weil niemand im Unternehmen so richtig zuständig war und ein Update immer auch ein Risiko war: Was, wenn danach etwas kaputt ist?

Warum Updates liegen bleiben

Drei Gründe sehe ich immer wieder:

Kein Verantwortlicher. Die Website wurde einmal gebaut und dann "läuft sie ja". Bis sie es nicht mehr tut.
Angst vor Nebenwirkungen. Ein Plugin-Update legt gelegentlich das Theme lahm oder bricht eine Funktion, auf die der Shop angewiesen ist. Also lässt man lieber die Finger davon.
Fehlende Zeit. Updates einspielen, prüfen, ob noch alles funktioniert — das braucht Aufmerksamkeit, die im Tagesgeschäft selten übrig ist.

Das Ergebnis: Sicherheitslücken, die längst öffentlich bekannt und damit ein leichtes Ziel für automatisierte Angriffe sind. WordPress betreibt einen großen Teil des Webs — entsprechend systematisch scannen Bots nach veralteten Versionen.

Was im Ernstfall passiert

Eine kompromittierte WordPress-Seite bedeutet selten nur "die Seite ist offline". Häufiger:

Schadcode wird eingeschleust, der unbemerkt Spam-Links oder Malware ausliefert.
Die Seite landet auf einer Blacklist von Google oder dem Hosting-Provider.
E-Mails der Domain werden plötzlich als Spam eingestuft, weil die Domain für schädliche Zwecke missbraucht wurde.
Die Bereinigung dauert deutlich länger als ein einzelnes Update jemals gedauert hätte.

Ein Update-Prozess, der keine Bauchschmerzen macht

Die Lösung ist nicht "einfach öfter updaten", sondern ein Prozess, der das Risiko aus dem Update selbst nimmt:

Staging-Umgebung. Updates laufen zuerst auf einer Kopie der Seite, nicht direkt live.
Automatisierte Prüfung. Lädt die Seite noch? Gibt es PHP-Fehler? Funktionieren zentrale Funktionen wie Formular oder Checkout?
Kontrollierter Rollout. Erst wenn die Prüfung sauber ist, geht das Update auf die Live-Seite.
Backup vorher. Sollte trotzdem etwas schiefgehen, ist ein Rollback eine Sache von Minuten.

Mit diesem Ablauf verschwindet die Angst vor Updates — und damit auch der Grund, sie aufzuschieben. Genau so ein Setup habe ich für mehrere WordPress-Projekte auf einem gemeinsamen Server aufgebaut: System- und WordPress-Updates laufen automatisiert über eine Staging-Prüfung, bevor sie live gehen.

Fazit

Ein veraltetes WordPress ist selten ein akutes Problem — bis es genau das wird. Der pragmatischste Weg ist nicht, jedes Update manuell und in Angst einzuspielen, sondern einen Prozess zu haben, der das Risiko strukturell klein hält.

Wenn Ihre WordPress-Seite seit einer Weile ohne klaren Update-Prozess läuft, schauen wir uns das gerne gemeinsam an — im kostenlosen Erstgespräch oder direkt bei den Leistungen rund um WordPress-Websites.