Warum du WordPress-Auto-Updates heute nicht mehr abschalten kannst

Der alte Rat: Auto-Updates abschalten

Automatische Updates in WordPress abzuschalten ergab Sinn, als Updates der Hauptgrund für kaputte Websites waren. Ein Plugin-Update konnte mit einem anderen Plugin kollidieren, ein Theme-Update einen Button verschieben – und das am Montagmorgen zu entdecken war schlimmer, als an einem ruhigen Freitag bewusst zu aktualisieren. Also trugen Website-Betreiber und Agenturen AUTOMATIC_UPDATER_DISABLED oder WP_AUTO_UPDATE_CORE in die wp-config.php ein, ließen die Auto-Update-Schalter der Plugins aus und planten einen manuellen Update-Tag.

WordPress selbst ging den umgekehrten Weg. Kleinere Core-Versionen installieren sich seit WordPress 3.7 automatisch; seit WordPress 5.5 können Administratoren Auto-Updates Plugin für Plugin und Theme für Theme einschalten; und seit WordPress 5.6 aktualisieren neue Installationen auch große Core-Versionen automatisch. Auto-Updates für Plugins und Themes laufen zweimal täglich über WP-Cron. Die Wette der Plattform ist eindeutig: Für die meisten Websites ist aktuell sein sicherer als von Hand vorsichtig sein.

Warum der Update-Stapel immer weiter wächst

Wenn du dich umhörst, haben die meisten WordPress-Websites zwischen 20 und 30 Plugins. Manche Websites laufen mit fünf Plugins problemlos, andere brauchen 50, um zu funktionieren – ein Shop mit Zahlungen, Versand, Rechnungen, Bewertungen, SEO, Caching, Backups, Formularen und einem Page Builder kommt schnell dorthin. Jedes davon ist eigener Code von einem eigenen Entwickler, veröffentlicht nach eigenem Zeitplan.

Damit werden Updates zu einem stetigen Strom statt zu einem gelegentlichen Ereignis. Wenn jedes von 25 Plugins alle ein bis zwei Monate ein Release veröffentlicht, sind das zwischen 12 und 25 Plugin-Updates im Monat – noch vor WordPress-Core, deinem Theme, WooCommerce und seinen Erweiterungen. So viele Änderungen prüft niemand lange von Hand. Die realistische Wahl lautet: Updates auflaufen lassen oder sowohl das Aktualisieren als auch das Prüfen automatisieren.

Grund 1: KI findet Schwachstellen schneller als je zuvor

Die Zahl bekannter WordPress-Schwachstellen steigt steil. Patchstack zählte 2025 11.334 neue Schwachstellen im WordPress-Ökosystem – 42 % mehr als 2024 –, und 91 % davon steckten in Plugins. Jede einzelne ist ein Grund für einen Plugin-Autor, ein Update zu veröffentlichen, und ein Grund, warum deine Website es braucht.

KI beschleunigt die Entdeckung. Im Mai 2026 berichteten Forscher von TrendAI und CHT Security, dass sie mit KI in 72 Stunden mehr als 300 kritische Zero-Day-Schwachstellen in WordPress-Plugins gefunden haben – für rund 20 US-Dollar pro Schwachstelle. Der Patchstack-Bericht 2026 warnt, dass Angreifer zunehmend mit KI ausgestattet sind, die Schwachstellen immer selbstständiger finden und ausnutzen kann. Wenn eine Lücke weniger kostet als ein Mittagessen, werden die Plugins auf deiner Website ständig untersucht – von Verteidigern wie von Angreifern.

Angriffe kommen heute in Stunden, nicht in Wochen

Ein wöchentlicher manueller Update-Tag setzt voraus, dass zwischen einem veröffentlichten Fix und dem ersten Angriff Tage liegen. Das ist nicht mehr so. Patchstack stellte fest, dass stark angegriffene Schwachstellen im Median fünf Stunden nach ihrer Offenlegung zum ersten Mal ausgenutzt wurden und dass 46 % der Schwachstellen bei ihrer Veröffentlichung noch nicht behoben waren – wenn der Fix dann kommt, wissen Angreifer bereits, wonach sie suchen.

Auch der WordPress-Core ist nicht ausgenommen. Am 17. Juli 2026 schlossen WordPress 7.0.2 und 6.9.5 eine kritische Lücke – später wp2shell genannt –, über die ein anonymer Besucher Code auf dem Server ausführen konnte. WordPress.org verteilte den Fix über das Auto-Update-System, Exploit-Code war innerhalb eines Tages öffentlich, und Coalition meldete bis zum 20. Juli Angriffe auf seine Honeypots. Eine Website mit abgeschalteten Auto-Updates, die erst am folgenden Freitag aktualisieren wollte, war die ganze Zeit offen.

Die Firewall deines Hosters deckt dieses Zeitfenster auch nicht zuverlässig ab: Patchstack maß, dass gängige Hosting-Schutzmaßnahmen nur 26 % der Angriffe in seinen Tests blockierten. Eine Firewall ist eine nützliche zusätzliche Schicht, aber kein Ersatz für die gepatchte Version.

Grund 2: KI beschleunigt auch den Code, auf den du aktualisierst

Die andere Seite desselben Wandels ist, wie Software heute geschrieben wird. In Sonars State-of-Code-Umfrage 2026 unter mehr als 1.100 Entwicklern gaben die Befragten an, dass 42 % des Codes, den sie committen, bereits KI-generiert oder KI-gestützt ist, und erwarteten 65 % bis 2027 – während nur 48 % sagten, dass sie KI-Code vor dem Commit immer prüfen.

Für eine WordPress-Website heißt das: mehr Releases, größere Änderungen pro Release und mehr Gelegenheiten, bei denen ein Update etwas berührt, auf das deine Website angewiesen ist – eine Vorlage, einen Hook, eine CSS-Klasse, ein Checkout-Feld. Der Sicherheitsdruck lässt Updates schneller erscheinen; KI-gestützte Entwicklung macht jedes einzelne umfangreicher. Diesen Stapel kannst du nicht von Hand prüfen, und ihn einzufrieren tauscht nur ein sichtbares Problem gegen ein unsichtbares.

Updates abschalten beseitigt das Risiko nicht – es versteckt es

Mit abgeschalteten Auto-Updates geht über Nacht nichts kaputt, die Website wirkt stabil. Aber die verwundbare Version läuft weiter, und veraltete oder aufgegebene Plugins gehören zu den häufigsten Wegen, über die WordPress-Websites kompromittiert werden. Der Schaden ändert nur seine Form: Statt eines kaputten Checkouts, den du heute bemerkst, bekommst du einen eingeschleusten Karten-Skimmer oder ein verstecktes Admin-Konto, das du Monate später bemerkst.

Bei Onlineshops kommt der Schaden meist langsam und nicht als ein großer Ausfall. Updates werden verschoben, weil das letzte etwas kaputt gemacht hat. Ein Entwickler behebt einen Plugin-Konflikt von Hand und rechnet die Stunden ab. Ein Sicherheitsfix wartet auf das nächste Wartungsfenster. Nach einem Jahr ist die Website so fragil, dass sich niemand mehr an Updates traut. WooCommerce-Shops scheitern selten an einem einzelnen Absturz – sondern daran, dass ihr Betrieb unbemerkt teurer und beängstigender geworden ist, als irgendjemand geplant hatte.

Wenn du etwas bewusst nicht aktualisierst – ein stark angepasstes Plugin, ein Premium-Add-on mit eigenem Updater –, musst du sofort wissen, wenn es zum Risiko wird. Das ist die Aufgabe von Schwachstellen-Monitoring, das installierte Plugins und Themes mit bekannten Schwachstellen oder ohne aktuelle Updates meldet, und von Dateiintegritäts-Monitoring, das Core- und Plugin-Dateien erkennt, die nicht mehr der offiziellen Version entsprechen.

Wie all diese Updates deine Website trotzdem durcheinanderbringen

Die meisten Probleme beginnen bei Plugins. WordPress-Plugins verursachen sehr häufig Funktionsprobleme und sind damit die Hauptursache für Website-Abstürze, Fehler und Sicherheitslücken. Konflikte zwischen Plugins stehen an erster Stelle der Ursachen, die das offizielle WordPress-Handbuch zur Fehlerbehebung für den „White Screen of Death“ und die Meldung „Es gab einen kritischen Fehler auf deiner Website“ nennt – und der erste Lösungsschritt dort ist, Plugins zu deaktivieren. Bei der Sicherheit steckten 91 % der neuen Schwachstellen, die Patchstack 2025 zählte, in Plugins.

Aktuell zu bleiben macht Updates nicht harmlos. Ein Update kann mit einem anderen Plugin kollidieren, einen Hook ändern, auf den dein Theme angewiesen ist, eine höhere PHP-Version verlangen, die CSS-Klasse umbenennen, auf die deine eigenen Stile zielen, oder ein Skript hinzufügen, das auf Mobilgeräten einen Fehler wirft. Bei WooCommerce rendert nach einem Vorlagen-Update weiter die veraltete Kopie deines Themes, und ein Checkout-Feld oder eine Nonce fehlt unbemerkt. Ein abgebrochenes Update kann die ganze Website in „Wegen Wartungsarbeiten ist diese Website kurzzeitig nicht verfügbar“ festhängen lassen.

Die meisten dieser Probleme legen die Website nicht lahm, Uptime-Checks bleiben grün. Kaputt geht ein Weg – in den Warenkorb legen, bezahlen, anmelden, ein Formular absenden – oder ein Layout, das nur auf einer Vorlage falsch aussieht. Das ganze Bild dessen, was sich unter einer Website ändert, Updates eingeschlossen, findest du in unserem Leitfaden dazu, warum Websites kaputtgehen, obwohl niemand etwas geändert hat.

Eine sicherere WordPress-Update-Strategie für 2026

Fang bei der Plugin-Liste selbst an: Entscheidend ist weniger die Anzahl als die Frage, ob jedes Plugin noch gepflegt wird. Fünfzig aktiv aktualisierte Plugins können sicherer sein als fünfzehn aufgegebene – ersetze also Plugins, deren letztes Update Jahre zurückliegt, und lösche die, die du nicht mehr nutzt. Lass dann automatische Updates für Sicherheits-Releases des WordPress-Core immer eingeschaltet, und schalte Auto-Updates für alle Plugins und Themes aus gepflegten Quellen ein. Wenn du etwas zurückhältst – etwa ein großes WooCommerce- oder Page-Builder-Release –, dann für einen Tag, um das Changelog zu lesen, nie bei einem Sicherheitsfix, und behalte es im Blick, damit daraus kein Monat wird.

Mach die Wiederherstellung günstig: tägliche Backups, deren Wiederherstellung du tatsächlich getestet hast, und das Wissen, wie dein Hoster eine Plugin-Version zurückrollt. Nutze eine Staging-Umgebung für große Redesigns und große Versionssprünge, wenn du eine hast – aber lass das Fehlen von Staging nicht zum Grund werden, nicht mehr zu aktualisieren.

Und vor allem: Teste die Website direkt nach jedem Update automatisch erneut. Die Schwachstelle von Auto-Updates war nie das Update selbst, sondern dass niemand den Checkout geprüft hat, bis sich ein Kunde beschwerte. Sobald auf jedes Update ein echter Test der Wege folgt, mit denen du Geld verdienst, sind eingeschaltete Auto-Updates kein Glücksspiel mehr.

Wie Relvato dich über dem Update-Stapel hält

Relvato macht aus diesem letzten Schritt etwas, woran du nicht denken musst. Das WordPress-Plugin meldet jedes Plugin-, Theme-, Core- und WooCommerce-Update, sobald es passiert, und innerhalb von Minuten führt Relvato die Prüfungen erneut aus, die betroffen sein könnten – in einem echten Browser: Checkout, Anmeldung und Zahlungsarten, Visual Regression und Struktur-Drift auf deinen wichtigsten Seiten sowie Scans auf PHP- und JavaScript-Fehler und defekte Links. Jeder Lauf hält fest, welches Update ihn ausgelöst hat, sodass eine Warnung dir sagt, was kaputt ist und welches Update du dir ansehen solltest.

Relvato installiert Updates nicht und rollt sie nicht zurück – das erledigen WordPress und dein Hoster. Es gibt dir die Sicherheit, Auto-Updates eingeschaltet zu lassen: Wenn ein Update etwas beschädigt, weißt du es innerhalb von Minuten statt erst, wenn der Umsatz einbricht. Außerdem behält es die andere Seite des Problems im Blick und meldet Plugins mit bekannten Schwachstellen und Dateien, die nicht der offiziellen Version entsprechen. Wie das auf WordPress funktioniert, zeigt die Seite zum WordPress-Monitoring, und was Relvato für Shops prüft, die Seite zum WooCommerce-Monitoring.