WordPress Wartung: was zu tun ist, wie oft, und was du automatisieren kannst

Warum eine WordPress-Website Wartung braucht

Das meiste Risiko liegt bei Plugins. Patchstack zählte 2025 11.334 neue Schwachstellen im WordPress-Ökosystem, 42 % mehr als 2024: 91 % steckten in Plugins, 9 % in Themes, und nur 6 in WordPress selbst. 46 % hatten noch keinen Patch, als sie offengelegt wurden, und für die am stärksten angegriffenen Schwachstellen setzt Patchstack die mittlere Zeit bis zum ersten Exploit bei 5 Stunden an.

Auch WordPress selbst bewegt sich schnell. Version 7.1.4 erschien am 28. Oktober 2026, WordPress plant drei Hauptversionen für 2026, und offiziell unterstützt das Projekt nur die jeweils aktuelle Version. Ältere Zweige bekommen Sicherheitsfixes nur aus Kulanz.

Nichts davon braucht tägliche Aufmerksamkeit von einem Menschen. Es braucht aber eine Routine, ein paar eingeschaltete Einstellungen und einen Weg zu merken, wenn ein Update etwas kaputt macht.

Updates: WordPress, Plugins und Themes

WordPress aktualisiert einen Teil von sich selbst schon automatisch. Seit Version 3.7 installiert es kleinere und Sicherheits-Releases sowie Übersetzungsdateien im Hintergrund, und seit 5.6 bekommen neue Installationen auch Hauptversionen automatisch; ältere Installationen bleiben bei kleineren Updates, sofern ein Administrator Hauptversions-Updates nicht einschaltet. Bei Plugins und Themes ist es anders: Sie aktualisieren sich automatisch nur, wenn du es einschaltest, einzeln, was WordPress seit 5.5 anbietet. Auto-Updates laufen zweimal täglich und mailen dem Administrator, was passiert ist.

Seit 6.6 macht WordPress außerdem ein Plugin-Auto-Update rückgängig, das die Website schwer beschädigt: Nach dem Update lädt es die Startseite; zeigt diese einen PHP-Fatal-Error, stellt es die vorherige Version wieder her und schickt dir eine E-Mail. Das deckt aber nur Fatal Errors ab. Ein Update, das den Warenkorb leert, ein Formular beschädigt oder das Layout verschiebt, lädt ohne Fehler und bleibt installiert.

Aktualisiere deshalb zügig, Sicherheits-Releases zuerst, und sichere vorher. Aktualisiere Plugins einzeln, damit du weißt, welches ein Problem verursacht hat, und sieh danach nach den Seiten, mit denen du Geld verdienst: Checkout, Kontaktformular, Anmeldung. Unser Leitfaden dazu, ob du WordPress-Auto-Updates abschalten solltest, behandelt diesen Kompromiss im Detail.

Plugins und Themes: weniger, gepflegt, entfernt, wenn ungenutzt

Jedes Plugin ist Code, der aktuell gehalten werden muss, also ist die günstigste Wartung, weniger davon zu haben. Lösche Plugins und Themes, die du nicht nutzt, statt sie nur zu deaktivieren; der Website-Zustand empfiehlt auch, inaktive Themes zu entfernen. Behalte ein Standard-Theme als Rückfalloption.

Achte auf Plugins, die nicht mehr gepflegt werden. Bestätigt WordPress.org ein Sicherheitsproblem in einem Plugin, schließt es dieses meist sofort, und ein geschlossenes Plugin liefert keine Updates mehr, bis der Entwickler es behebt. Der Hinweis erscheint auf der Plugin-Seite auf wordpress.org, der Grund wird nach 60 Tagen ergänzt. Ein weiteres Zeichen ist eine Plugin-Seite, die sagt, das Plugin sei mit den letzten drei Hauptversionen von WordPress nicht getestet worden: Es wird möglicherweise nicht mehr gepflegt.

Ersetze aufgegebene Plugins, bevor sie zum Problem werden, und kaufe Premium-Plugins beim Entwickler selbst, nie bei einer Website, die sie weiterverbreitet.

PHP und der Server

WordPress empfiehlt PHP 8.3 oder neuer, MariaDB 10.11 oder MySQL 8.0 oder neuer, und HTTPS. Es läuft noch mit PHP 7.4, das seit WordPress 7.0 die Mindestversion ist; Websites mit PHP 7.2 oder 7.3 bleiben auf dem 6.9-Zweig. Eine alte PHP-Version zu nutzen, ist eines der Probleme, die der Website-Zustand meldet.

PHP-Versionen haben feste Daten, das lässt sich also leicht planen. PHP 8.1 erreichte am 31. Dezember 2025 sein Lebensende. PHP 8.2 bekommt nur noch bis zum 31. Dezember 2026 Sicherheitsfixes, eine Website mit 8.2 sollte also jetzt wechseln. PHP 8.3 ist bis Ende 2027 im reinen Sicherheits-Support, und PHP 8.4 wird bis Ende 2026 voll unterstützt und bekommt Sicherheitsfixes bis Ende 2028.

Ändere PHP wenn möglich zuerst auf einer Staging-Kopie, sonst zu einer ruhigen Zeit mit einem frischen Backup, denn meist ist ein altes Plugin das, was kaputtgeht. Das Kontrollpanel deines Hosters lässt dich meist zurückwechseln.

Backups, die sich wiederherstellen lassen

WordPress' eigenes Handbuch ist klar darüber, was ein Backup ist: die Datenbank und die Dateien, denn du brauchst beide, um eine Website wiederherzustellen. Die Dateien sind WordPress selbst, Themes, Plugins, Uploads, wp-config.php und .htaccess. Sichere zuerst die Datenbank, dann die Dateien; zum Wiederherstellen spielst du zuerst die Dateien zurück, dann importierst du die Datenbank.

Zur Häufigkeit empfiehlt es wöchentlich für kleinere Websites und täglich für stark besuchte, und immer vor einem Upgrade. Bewahre Kopien an verschiedenen Orten auf, etwa bei deinem Hoster, in einem Cloud-Speicher und auf deinem eigenen Rechner, und bewahre mehrere auf: mindestens drei bis fünf aktuelle Datenbank-Backups und drei der Dateien.

Ein Backup zählt nur, wenn es sich wiederherstellen lässt. Das Handbuch verlangt, zu prüfen, dass Backups vorhanden und nutzbar sind; der einfachste Nachweis ist, hin und wieder eines auf einer Staging-Website wiederherzustellen und gelegentlich ein manuelles Backup zu machen, um zu bestätigen, dass die automatischen noch funktionieren.

Website-Zustand und die Warnungen, die WordPress dir schon gibt

Werkzeuge > Website-Zustand ist WordPress' eigener Wartungsbericht. Zu seinen kritischen Problemen zählen nicht funktionierende Hintergrund-Updates, eine Website, die WordPress.org nicht erreicht, eine veraltete PHP-Version, Plugins, die auf Updates warten, Fehler, die Besuchern angezeigt oder in eine möglicherweise öffentliche Datei protokolliert werden, und eine fehlschlagende Loopback-Anfrage, die WordPress braucht, um geplante Aufgaben auszuführen.

Sein Info-Tab listet die WordPress- und PHP-Version, Verzeichnis- und Datenbankgrößen, aktive und inaktive Plugins und Themes, und ob jedes Plugin automatisch aktualisiert. Lies ihn einmal im Monat; ein neues kritisches Problem heißt meist, dass sich etwas am Server oder in einem Plugin geändert hat.

Sicherheits-Routine

Sieh durch, wer sich anmelden kann. Entferne Administrator-Konten, die niemand nutzt, gib Menschen die niedrigste Rolle, die ihre Arbeit abdeckt, und halte Ausschau nach Konten, die du nicht erkennst; unser Leitfaden zu WordPress Benutzerrollen erklärt, was jede Rolle kann.

Lass Debug-Ausgaben auf der Live-Website abgeschaltet: Der Website-Zustand warnt, wenn Fehler Besuchern angezeigt oder in eine Protokolldatei geschrieben werden, die vom Web aus lesbar sein kann. Und erneuere, was abläuft: die Domain-Registrierung und, falls dein Hoster es nicht automatisch tut, das SSL-Zertifikat.

Geht trotzdem etwas schief, zeigt unsere WordPress gehackt Checkliste, was zuerst zu tun ist.

Wie Relvato hilft

Relvato beobachtet eine WordPress-Website zwischen den Wartungssitzungen und direkt nach Updates. Der Schwachstellen-Monitor prüft WordPress, Plugins und Themes gegen bekannte Schwachstellen und meldet Plugins, die auf wordpress.org geschlossen oder aufgegeben wurden. Der WordPress-Zustand-Monitor führt die eigenen Tests des Website-Zustands nach Zeitplan aus und beobachtet PHP-Lebensende, Datenbankgröße und freien Speicherplatz. Der Backups-Monitor liest dein Backup-Plugin und meldet, wenn das letzte Backup fehlschlug oder stockte, wenn keines geplant ist, oder wenn Backups nur auf dem Server gespeichert werden.

Nach einem Update laufen die Monitore erneut, die vorher bestanden hatten, sodass ein Update, das den Checkout, ein Formular oder das Layout einer Seite beschädigt oder einen PHP-Fehler verursacht, am selben Tag gemeldet wird, nicht erst, wenn sich ein Kunde beschwert. Relvatos Monitor Admin roster meldet einen neuen oder versteckten Administrator. Auf den Tarifen Business und Agency aktualisieren sichere WordPress-Auto-Updates Plugins einzeln in einem wöchentlichen Zeitfenster, lassen die Monitore nach jedem erneut laufen und rollen ein Update zurück und sperren es, das etwas beschädigt, nicht nur eines, das einen Fatal Error verursacht.

Relvato erstellt oder stellt deine Backups nicht wieder her, und Monitoring ersetzt sie nicht: Behalte ein Backup-Plugin und Kopien außerhalb des Servers. Für Agenturen machen Relvatos Kundenberichte und Statusseiten aus demselben Monitoring einen monatlichen Wartungsbericht.