Regelmäßige WordPress-Wartung: ab 2026 nicht mehr vernach­lässigen

Viele Unternehmen kennen den Gedanken: Die Website läuft problemlos. Warum also regelmäßig Zeit und Geld in Wartung investieren?

Vor einigen Jahren war diese Sichtweise zumindest nachvollziehbar. Heute hat sich die Situation jedoch grundlegend verändert. Nicht weil WordPress unsicher geworden wäre – sondern weil sich die Bedrohungslage insgesamt deutlich verändert hat.

Das Problem liegt heute fast nie im WordPress-Core

WordPress selbst gilt als sehr sicher. Der Core wird kontinuierlich weiterentwickelt und sicherheitsrelevante Updates werden in der Regel schnell bereitgestellt.

Die eigentlichen Risiken liegen heute fast immer im Ökosystem, in Plugins und Themes. Sie stammen von tausenden unterschiedlichen Entwicklern, werden in sehr unterschiedlicher Qualität gepflegt und erweitern die Website um zusätzliche Funktionen – und damit auch um potenzielle Angriffsflächen.

Die Zahlen sprechen eine deutliche Sprache: Rund 90 Prozent aller neu entdeckten Sicherheitslücken im WordPress-Ökosystem betreffen Plugins. Nur ein sehr kleiner Teil entfällt auf den WordPress-Core. Wer seine Plugins nicht aktuell hält, setzt seine Website daher einem deutlich höheren Risiko aus als jemand, der lediglich auf das nächste WordPress-Update wartet.

Drei Entwicklungen verändern die Sicherheitslage

Dass heute deutlich mehr Sicherheitslücken bekannt werden als noch vor einigen Jahren, hat mehrere Ursachen:

1. Zum einen ist die Sicherheitsforschung deutlich professioneller geworden. Sicherheits­unternehmen, Bug-Bounty-Programme und automatisierte Analysewerkzeuge finden heute Schwachstellen, die früher oft unentdeckt geblieben wären. Das ist grundsätzlich eine gute Entwicklung, denn nur bekannte Lücken können auch geschlossen werden.
2. Hinzu kommt eine zweite Entwicklung: Künstliche Intelligenz verändert derzeit die Softwareentwicklung grundlegend. Neue Plugins und Funktionen entstehen schneller denn je. Gleichzeitig zeigen aktuelle Studien, dass KI-generierter Code häufiger sicherheitsrelevante Schwächen enthalten kann, wenn er nicht sorgfältig geprüft und überarbeitet wird. Qualitätssicherung und sorgfältige Code-Reviews werden wichtiger.
3. Die dritte Entwicklung betrifft die Angreifer. Moderne KI-Werkzeuge helfen längst nicht mehr nur Entwicklern und Sicherheitsforschern. Auch Cyberkriminelle nutzen sie, um Quellcode zu analysieren, bekannte Schwachstellen schneller zu verstehen und Angriffe weitgehend zu automatisieren. Dadurch verkürzt sich häufig die Zeit zwischen der Veröffentlichung einer Sicherheitslücke und den ersten Angriffen erheblich.

Die Kombination ist problematisch.

Updates sind heute deutlich zeitkritischer

Früher blieb nach der Veröffentlichung einer Sicherheitslücke häufig noch Zeit zum Reagieren. Heute sehen wir regelmäßig, dass automatisierte Angriffe bereits kurze Zeit nach Bekanntwerden einer Schwachstelle beginnen. Das bedeutet: Wer Updates über Wochen oder sogar Monate aufschiebt, geht ein unnötig hohes Risiko ein. Besonders kritisch wird es bei Websites mit vielen installierten Plugins, die nur unregelmäßig gepflegt werden.

Professionelle Wartung beginnt mit einer Bestandsaufnahme

Bei bestehenden Websites beginnt eine professionelle Wartung häufig nicht mit einem Update, sondern mit einer technischen Bestandsaufnahme. Ziel ist es, die Installation zunächst auf einen sicheren und zukunftsfähigen Stand zu bringen.

Ein wichtiger Bestandteil ist die Überprüfung der eingesetzten Plugins. Nicht jede Erweiterung, die vor einigen Jahren die richtige Wahl war, ist es auch heute noch. Manche Plugins werden nur unregelmäßig gepflegt, andere entsprechen schlicht nicht mehr dem heutigen Stand der Technik oder wurden vom Entwickler vollständig eingestellt.

In vielen Fällen lassen sich solche Plugins durch etablierte und aktiv gepflegte Alternativen ersetzen. Das reduziert langfristig nicht nur Sicherheitsrisiken, sondern verbessert häufig auch Stabilität, Kompatibilität und Zukunftssicherheit der gesamten Website.

Besondere Aufmerksamkeit verdienen Plugins, deren Entwicklung offensichtlich eingeschlafen ist. Solche müssen nicht zwangsläufig unsicher sein – sie sollten jedoch regelmäßig überprüft und hinsichtlich möglicher Risiken bewertet werden. Ist ein Austausch nicht ohne Weiteres möglich, sollte zumindest bekannt sein, welche potenziellen Auswirkungen der weitere Einsatz haben kann und wie sich das Risiko sinnvoll begrenzen lässt.

Professionelle Wartung ist mehr als ein Klick auf „Aktualisieren“

Eine professionelle WordPress-Wartung umfasst heute deutlich mehr als das regelmäßige Einspielen von Updates.

Vor jedem Update sollten vollständige Backups vorhanden sein. Außerdem sollte geprüft werden, ob bekannte Kompatibilitätsprobleme bestehen und welche Auswirkungen ein Update auf individuelle Funktionen der Website haben könnte. Nach den Updates sollten Formulare, Shop-Funktionen, Schnittstellen und individuelle Anpassungen kontrolliert werden, um sicherzustellen, dass die Website weiterhin fehlerfrei funktioniert.

Ebenso wichtig ist das regelmäßige Aufräumen. Nicht mehr benötigte Plugins und Themes sollten vollständig entfernt werden, nicht nur deaktiviert. Jede installierte Erweiterung vergrößert die potenzielle Angriffsfläche, auch wenn sie aktuell nicht genutzt wird.

Zum Sicherheitscheck gehört außerdem die Benutzerverwaltung. Ehemalige Mitarbeiter, alte Support-Zugänge oder Testkonten sollten konsequent gelöscht werden. Gleichzeitig lohnt sich die Überprüfung der vergebenen Rollen: Benötigt wirklich jeder Administratorrechte oder reicht eine deutlich eingeschränkte Berechtigung aus? Das Prinzip der geringsten Rechte zählt seit Jahren zu den wichtigsten Grundlagen einer sicheren IT.

Auch auf Serverebene sammeln sich mit der Zeit oft Altlasten an, beispielsweise alte Installationen, vergessene Testumgebungen oder nicht mehr benötigte Dateien. Eine regelmäßige Bereinigung reduziert unnötige Risiken und sorgt gleichzeitig für mehr Übersicht.

Ein weiterer wichtiger Baustein moderner Wartung ist das kontinuierliche Monitoring. Professionelle Sicherheitslösungen überwachen installierte Plugins und Themes auf neu veröffentlichte Sicherheitslücken und informieren unmittelbar per E-Mail, wenn Handlungsbedarf besteht. So können Schwachstellen bewertet und – falls erforderlich – auch zwischen den regulären Wartungsintervallen geschlossen werden.

Sicherheitslücken kosten meistens mehr als Wartung

Die Ursache muss gefunden, die Website bereinigt, Sicherheitslücken geschlossen und anschließend überprüft werden, ob Daten betroffen waren oder weitere Maßnahmen erforderlich sind. Je länger ein Angriff unbemerkt bleibt, desto aufwendiger und kostspieliger wird die Wiederherstellung.

Die eigentlichen Kosten einer Sicherheitslücke entstehen häufig nicht durch die technische Bereinigung der Website. Wesentlich teurer können die Folgen sein: eine zeitweise nicht erreichbare Website, verlorene Anfragen, Einschränkungen im Online-Shop, Spam-Versand über den eigenen Server, schlechtere Platzierungen in Suchmaschinen oder – im schlimmsten Fall – ein Datenschutzvorfall.

Regelmäßige Wartung ist deshalb nicht nur eine technische Aufgabe, sondern eine wirtschaftlich sinnvolle Investition. Sie reduziert Risiken, vermeidet ungeplante Ausfälle und hilft dabei, Probleme zu beheben, bevor daraus ein kostspieliger Sicherheitsvorfall entsteht.

Unser Fazit

WordPress ist heute nicht unsicherer als früher. Die Anforderungen an den sicheren Betrieb einer Website sind jedoch deutlich gestiegen.

Mehr entdeckte Schwachstellen, eine rasant beschleunigte Softwareentwicklung und der Einsatz künstlicher Intelligenz auf Seiten von Entwicklern, Sicherheitsforschern und Angreifern sorgen dafür, dass Sicherheitsupdates heute schneller eingespielt werden sollten als noch vor wenigen Jahren.

Professionelle Wartung bedeutet deshalb weit mehr als regelmäßige Updates. Sie beginnt mit einer sorgfältigen Bestandsaufnahme, umfasst die kontinuierliche Überwachung der Website, die Bewertung neuer Sicherheitsmeldungen, die Überprüfung von Benutzerrechten, das Entfernen unnötiger Komponenten, regelmäßige Sicherheitsprüfungen und die laufende Pflege der gesamten WordPress-Installation.

Wer seine Website als wichtigen Bestandteil seines Unternehmens versteht, sollte Wartung deshalb nicht als Pflicht betrachten, sondern als selbstverständlichen Teil eines professionellen und sicheren Website-Betriebs. Denn gute Wartung verhindert nicht nur Probleme – sie sorgt dafür, dass sie im Idealfall gar nicht erst entstehen.

David Damjanovic

David Damjanovic betreibt seit 2004 eigene Websites, arbeitet seit 2006 mit WordPress und hat 2011 die WordPress Agentur wp-agentur gegründet, eine der ersten in D-A-CH.