WordPress-Plugins sicher aktuell halten: So geht's

Du hältst WordPress-Plugins am sichersten aktuell, indem Du Sicherheitsupdates zeitnah einspielst, vorher ein Backup ziehst und nach jedem Update die wichtigsten Funktionen prüfst. Blindes Dauer-Klicken auf “Aktualisieren” ist genauso riskant wie monatelanges Nichtstun, denn beides kann Deine Seite lahmlegen oder angreifbar machen.

In diesem Artikel zeigen wir Dir einen praxistauglichen Ablauf für kleine und mittlere Unternehmen: was automatisch laufen darf, was Du manuell prüfen solltest und was Du tust, wenn eine Lücke bekannt wird. Wer die Grundsatzfrage “Wartung selbst machen oder abgeben” klären will, findet sie im Beitrag WordPress-Wartungsvertrag: Lohnt sich das wirklich?.

Warum Plugin-Updates so wichtig sind

Plugins sind fremder Code, der auf Deinem Server mit weitreichenden Rechten läuft. Jedes zusätzliche Plugin vergrößert die Angriffsfläche. Wird eine Lücke gefunden und vom Entwickler geschlossen, ist die Fehlerbeschreibung meist kurz danach öffentlich. Ab diesem Moment ist jede Seite mit der alten Version ein lohnendes Ziel für automatisierte Scans.

Ein aktuelles Beispiel aus dem Oktober 2026: Laut drweb.de konnten Besucher ohne Anmeldung beim Plugin WPCode den Notfallmodus aktivieren und damit eingebundene Code-Snippets abschalten. Behoben ist das in Version 2.4.0 (veröffentlicht am 8. Oktober). Nach den dort zitierten Angaben von wordpress.org liefen Mitte Oktober noch rund zwei Drittel der Installationen auf älteren Versionszweigen. Solche Fälle zeigen: Zwischen “Update verfügbar” und “Seite angreifbar” liegt oft nur wenig Zeit. Die Details solltest Du bei der Quelle selbst nachlesen, hier geht es um das Muster dahinter.

Welche Updates Du automatisch laufen lassen kannst

Nicht jedes Update braucht dieselbe Sorgfalt. Eine sinnvolle Aufteilung:

Update-Art	Empfehlung	Warum
Kleine Sicherheits- und Bugfix-Releases (z. B. 2.4.0 auf 2.4.1)	Automatisch aktivieren	Geringes Risiko, hoher Nutzen
Größere Versionssprünge (z. B. 2.x auf 3.0)	Manuell, mit Test	Funktionen und Einstellungen können sich ändern
Plugins mit Zahlungs-, Buchungs- oder Formularfunktion	Manuell, mit Test	Ein Fehler kostet direkt Anfragen oder Umsatz
Seitenbau-Plugins und Theme	Manuell, mit Test	Layout-Änderungen sind möglich
Nicht mehr gepflegte Plugins	Ersetzen	Ohne Updates bleibt jede Lücke offen

In WordPress kannst Du automatische Updates pro Plugin in der Plugin-Übersicht aktivieren. Wenn Du ein Team oder einen Dienstleister hast, sprecht ab, wer die manuellen Updates übernimmt. Unklare Zuständigkeit ist der häufigste Grund für verschleppte Updates.

Der sichere Update-Ablauf in fünf Schritten

Backup ziehen. Datenbank und Dateien sichern, möglichst an einem Ort außerhalb des Webservers. Ohne funktionierende Wiederherstellung ist jedes Update ein Glücksspiel.
Changelog lesen. Steht dort etwas von Datenbankänderungen, entfernten Funktionen oder neuen Mindestversionen für PHP oder WordPress? Dann plane mehr Zeit ein.
Erst testen, dann live gehen. Ideal ist eine Staging-Kopie der Seite. Viele Hoster bieten das per Klick an. Ohne Staging aktualisierst Du zu einer ruhigen Zeit und nicht kurz vor einer Werbekampagne.
Einzeln aktualisieren. Spiele wichtige Plugins nacheinander ein, nicht alle auf einmal. So erkennst Du sofort, welches Update ein Problem verursacht.
Funktionen prüfen. Kontaktformular abschicken, Startseite und eine Unterseite mobil ansehen, bei Shops einen Testkauf durchführen, Cookie-Banner kontrollieren.

Tritt ein Fehler auf, spielst Du das Backup zurück oder setzt das betroffene Plugin auf die vorherige Version zurück, bis der Entwickler nachgebessert hat.

Typische Fehler beim Aktualisieren

Aus der Praxis sehen wir immer wieder dieselben Stolpersteine:

Update ohne Backup. Geht etwas schief, bleibt nur mühsame Handarbeit.
Alle Plugins gleichzeitig aktualisieren. Tritt ein Fehler auf, weißt Du nicht, welches Update ihn auslöst.
Nulled- oder Raubkopie-Plugins. Kostenlos heruntergeladene Premium-Plugins enthalten häufig Schadcode und bekommen keine offiziellen Updates.
PHP-Version ignorieren. Neue Plugin-Versionen verlangen oft eine aktuelle PHP-Version. Wer sie nie hochzieht, bleibt irgendwann bei alten Plugin-Ständen hängen.
Kein Verantwortlicher. Wenn jeder denkt, ein anderer kümmere sich, kümmert sich keiner.
Nur das Frontend prüfen. Auch der Login-Bereich, Bestell-E-Mails und Formular-Benachrichtigungen sollten nach einem Update funktionieren.

Ein fester Termin im Kalender, etwa jeden Montagvormittag, löst die meisten dieser Probleme: Backup prüfen, Updates sichten, Tests durchführen, kurz notieren, was geändert wurde. So entsteht mit wenig Aufwand ein Verlauf, der bei Problemen sofort zeigt, was zuletzt passiert ist.

Weniger Plugins, weniger Risiko

Die sicherste Aktualisierung ist die, die gar nicht nötig wird. Geh Deine Plugin-Liste einmal im Quartal durch:

Deaktivierte Plugins löschen. Auch inaktiver Code liegt auf dem Server und kann angreifbar sein.
Doppelte Funktionen bündeln. Brauchst Du wirklich drei Plugins für Formulare, Pop-ups und Animationen?
Pflegezustand prüfen. Wann gab es das letzte Update? Ist das Plugin mit Deiner WordPress-Version getestet? Gibt es einen aktiven Support?
Alternativen erwägen. Manche Funktionen lassen sich direkt im Theme oder mit einer schlanken Lösung abbilden. Bei sehr einfachen Auftritten kann auch eine statische Website die bessere Wahl sein, weil sie kaum Angriffsfläche bietet.

Was Du bei einer bekannten Sicherheitslücke tust

Wenn ein Plugin auf Deiner Seite von einer Lücke betroffen ist, gilt diese Reihenfolge:

Prüfen, ob Du betroffen bist. Installierte Version mit der gefixten Version vergleichen.
Update einspielen (nach Backup), oder das Plugin vorübergehend deaktivieren, falls noch kein Fix existiert.
Nach Auffälligkeiten suchen. Unbekannte Benutzer, geänderte Dateien, fremde Weiterleitungen, plötzlich langsame Seite.
Zugangsdaten ändern, wenn Du einen Verdacht hast: WordPress-Benutzer, Datenbank, FTP/SSH.
Dokumentieren. Was war betroffen, wann wurde reagiert? Das hilft intern und kann datenschutzrechtlich relevant sein.

Ein Hinweis: Ob ein Vorfall nach DSGVO meldepflichtig ist, hängt vom Einzelfall ab, etwa davon, ob personenbezogene Daten betroffen sind. Das ist eine allgemeine Information und keine Rechtsberatung.

Monitoring: Informiert werden statt suchen

Du musst nicht täglich Sicherheitsblogs lesen. Hilfreich sind:

E-Mail-Benachrichtigungen über verfügbare Updates im WordPress-Dashboard
Ein Uptime-Monitoring, das meldet, wenn die Seite nicht mehr erreichbar ist
Ein Sicherheits-Plugin oder Hosting-Scan, der Dateiänderungen erkennt
Regelmäßige Backups mit Testwiederherstellung

Wenn Dir dafür die Zeit fehlt, kann unsere Website-Wartung genau diesen Ablauf übernehmen. Was Pflege im Detail kostet, beschreiben wir im Beitrag Website-Pflege und Wartung: Was kostet das?.

Häufige Fragen

Wie oft sollte ich WordPress-Plugins aktualisieren?

Mindestens einmal pro Woche solltest Du nach verfügbaren Updates schauen. Sicherheitsupdates spielst Du so schnell wie möglich ein, am besten innerhalb weniger Tage. Größere Versionssprünge planst Du bewusst mit Test ein.

Sind automatische Plugin-Updates gefährlich?

Für kleine Bugfix- und Sicherheitsreleases überwiegt meist der Nutzen. Bei Plugins mit Zahlungs-, Formular- oder Layoutfunktion empfehlen wir manuelle Updates mit anschließendem Test, weil ein Fehler dort sofort Anfragen oder Umsatz kostet.

Was mache ich, wenn ein Update meine Seite kaputt macht?

Spiele das Backup zurück oder setze das betroffene Plugin auf die vorherige Version zurück. Prüfe danach im Support-Forum des Plugins, ob das Problem bekannt ist, und aktualisiere erst wieder, wenn eine korrigierte Version erscheint.

Woran erkenne ich ein nicht mehr gepflegtes Plugin?

Typische Zeichen sind ein letztes Update vor über einem Jahr, ein Hinweis in der Plugin-Übersicht, dass es nicht mit Deiner WordPress-Version getestet wurde, und unbeantwortete Support-Anfragen. Solche Plugins solltest Du durch eine gepflegte Alternative ersetzen.

Reicht ein Sicherheits-Plugin statt regelmäßiger Updates?

Nein. Ein Sicherheits-Plugin kann Angriffe erschweren und Auffälligkeiten melden, ersetzt aber keine Updates. Die Ursache einer Lücke bleibt im veralteten Plugin bestehen.

Du möchtest Dich nicht selbst um Updates, Backups und Monitoring kümmern? Dann melde Dich für ein unverbindliches Erstgespräch. Wir schauen uns Deine Seite an und sagen Dir ehrlich, was nötig ist.