Kurz gesagt: WordPress Updates spielst du am sichersten im Update-Viertakt ein: sichern, einzeln aktualisieren, prüfen, notieren. Bei 46 Prozent der 2025 veröffentlichten Sicherheitslücken gab es zum Zeitpunkt der Veröffentlichung noch kein Update, und kritische Lücken werden im Schnitt nach fünf Stunden massenhaft angegriffen. Wer jede Woche 30 Minuten einplant, schafft das selbst. Wer das nicht kann oder will, sollte es abgeben.
Am 10. März 2026 kam ein Sicherheitsupdate für WordPress. Wer es eingespielt hat, sah bei manchen Themes danach eine leere Website. Das Backend lief, die Inhalte waren alle da, nur sehen konnte sie keiner. Laut Search Engine Journal kam die Korrektur rund sieben Stunden später. Sieben Stunden, in denen Kunden vor einer weißen Seite standen.
Vielleicht leuchtet bei dir gerade auch eine rote Zahl im Dashboard. Vier Plugins, ein Theme, ein neues WordPress. Ein Klick auf „Alle aktualisieren“, fertig. Meistens geht das gut. Wenn nicht, merkst du es oft erst, wenn ein Kunde anruft und fragt, warum auf seine Anfrage nie eine Antwort kam.
WordPress Updates sind neue Versionen von WordPress selbst, von Plugins und vom Theme, die Fehler beheben, Sicherheitslücken schließen und Funktionen ergänzen. Hier liest du, in welcher Reihenfolge du sie einspielst, was automatische Updates wirklich prüfen und wann sich das Selbermachen nicht mehr rechnet.
Deine Seite zeigt seit Wochen offene Updates und du traust dich nicht ran? Prüf sie kostenlos mit unserem WordPress-Schnellcheck, das Ergebnis hast du in Sekunden.
WordPress-Schnellcheck startenWarum WordPress Updates nicht warten können
Updates schließen Sicherheitslücken, und die Zahl der Lücken wächst schnell. Laut dem Sicherheitsbericht von Patchstack wurden 2025 im WordPress-Umfeld 11.334 neue Schwachstellen gefunden, 42 Prozent mehr als im Vorjahr. 91 Prozent davon steckten in Plugins, im WordPress-Kern selbst waren es nur sechs, alle mit niedriger Priorität.
Zwei Zahlen aus demselben Bericht stehen in kaum einer Anleitung:
- Fünf Stunden: So lange dauert es im Median, bis eine stark gefragte Lücke massenhaft ausgenutzt wird. Ein monatlicher Update-Termin kommt da oft zu spät.
- 46 Prozent: So viele Lücken hatten bei der Veröffentlichung noch keinen Fix. Der Update-Button hilft dir dann nicht. Du musst das Plugin deaktivieren oder ersetzen.
Dein Hoster fängt das meist nicht ab: Laut Patchstack blockieren die Schutzsysteme der Hoster nur 26 Prozent der Angriffe.
Welche Updates es bei WordPress gibt und wie riskant sie sind
Es gibt vier Arten von Updates, und sie sind unterschiedlich gefährlich. Kleine Sicherheitsupdates des Kerns gehen selten schief, Plugin-Updates und große Versionssprünge öfter.
| Art | Beispiel | Was sich ändert | Risiko beim Update |
|---|---|---|---|
| WordPress-Kern, kleines Update | 7.1.1 auf 7.1.2 | Sicherheit und Fehlerbehebung | gering |
| WordPress-Kern, großes Update | 7.0 auf 7.1 | neue Funktionen, Editor, Oberfläche | mittel |
| Plugins | Formular, Seitenbaukasten, Shop | je nach Hersteller, oft wöchentlich | mittel bis hoch |
| Theme | Design der Seite | Darstellung, Vorlagen | mittel, hoch bei Eingriffen im Haupt-Theme |
Wie oft das passiert, zeigt der Spätsommer 2026: Zwischen dem 6. August und dem 22. September erschienen laut WordPress.org fünf neue Kern-Versionen, vier davon mit Sicherheitsfixes. Dazu kommen die Updates deiner Plugins.
Premium-Plugins mit abgelaufener Lizenz
Ein Fall, den wir bei übernommenen Seiten ständig sehen: Gekaufte Plugins und Themes wie Seitenbaukästen oder Slider zeigen nur Updates an, solange die Lizenz läuft. Ist sie abgelaufen, bleibt das Dashboard grün, obwohl die Erweiterung seit Monaten veraltet ist. Laut Patchstack betrafen 29 Prozent der Meldungen 2025 Premium- oder Freemium-Komponenten. Prüf deshalb einmal im Jahr, welche Lizenzen noch aktiv sind.
PHP-Version: das Update außerhalb des Dashboards
PHP ist die Programmiersprache, auf der WordPress läuft, und du stellst sie bei deinem Hoster um, nicht in WordPress. WordPress empfiehlt laut den offiziellen Anforderungen PHP 8.3 oder neuer. Ältere Versionen laufen teils noch, bekommen aber keine Sicherheitsupdates mehr. Deine aktuelle WordPress PHP-Version findest du unter Werkzeuge > Website-Zustand > Bericht > Server.
Der Update-Viertakt: WordPress Updates in der richtigen Reihenfolge
Erst das Backup, dann die Plugins, dann das Theme, zum Schluss WordPress selbst. Und danach wird geprüft. Wir nennen den ganzen Ablauf den Update-Viertakt. Der Name kommt aus meiner Zeit als Kfz-Meister: Ein Motor läuft nur rund, wenn ein Takt nach dem anderen kommt. Wer Takte überspringt, hört es irgendwann klopfen.
Takt 1: Sichern
Bevor du klickst, sicherst du Dateien und Datenbank, und zwar an einem Ort außerhalb deines Servers. Liegt das Backup nur auf demselben Server, ist es bei einem Serverausfall mit weg. Schau dir außerdem an, was ansteht: Passt „Getestet bis“ beim Plugin zu deiner WordPress-Version? Springt ein Plugin von Version 3.x auf 4.0? Dann lohnt ein Blick ins Änderungsprotokoll.
Takt 2: Einzeln aktualisieren
Klick nicht auf „Alle aktualisieren“. Spiel ein Update nach dem anderen ein und lade nach jedem kurz deine Startseite neu. Geht etwas kaputt, weißt du sofort, welches es war. Bei zehn Updates auf einmal suchst du die Nadel im Heuhaufen. Bei großen Kern-Versionen wie 7.1 warten wir ein paar Tage, bis Formular-, Shop- und Baukasten-Plugins nachgezogen haben.
Takt 3: Prüfen
Das ist der Takt, den fast alle weglassen. Unser 5-Minuten-Test nach jeder Update-Runde:
- Startseite und zwei wichtige Unterseiten öffnen, auch auf dem Handy
- eine Testanfrage über dein Kontaktformular schicken und prüfen, ob die Mail ankommt
- bei Shops eine Testbestellung bis zur Kasse
- einmal ins Backend einloggen
Ein Formular, das keine Mails mehr verschickt, zeigt keine Fehlermeldung. Du bekommst einfach weniger Anfragen. Warum das oft erst nach Wochen auffällt, steht in unserem Beitrag warum deine Website keine Anfragen bringt.
Takt 4: Notieren
Schreib dir Datum, Plugin und Versionsnummer auf, eine einfache Tabelle reicht. Fällt dir in drei Wochen auf, dass etwas nicht stimmt, siehst du sofort, was sich seitdem geändert hat.
Du willst den Viertakt nicht selbst fahren? In unserer WordPress-Wartung zum Festpreis läuft genau dieser Ablauf jede Woche.
Wartungspakete ansehenAutomatische Updates bei WordPress: ja, aber nicht für alles
Automatische Updates sind für Sicherheitsfixes sinnvoll, ersetzen aber keine Kontrolle. Seit WordPress 5.5 kannst du sie für jedes Plugin einzeln einschalten: unter Plugins in der Liste rechts auf „Automatische Aktualisierungen aktivieren“. Kleine Kern-Updates laufen ohnehin automatisch.
Seit WordPress 6.6 gibt es eine eingebaute Notbremse. Laut dem Entwicklerteam von WordPress ruft WordPress nach einem automatischen Plugin-Update die Startseite auf. Stürzt sie mit einem schweren Fehler ab, wird die alte Version zurückgespielt und du bekommst eine Mail.
Was die Notbremse nicht merkt: ein Formular, das keine Mails verschickt, ein verrutschtes Layout auf dem Handy oder eine kaputte Unterseite. Unsere Empfehlung:
- Automatisch: kleine Plugins ohne Einfluss auf Formulare oder Kasse, Kern-Sicherheitsupdates
- Von Hand im Viertakt: Seitenbaukasten, Formular-, Shop- und Cache-Plugins, das Theme, große Kern-Versionen
Was tun, wenn nach dem Update etwas kaputt ist?
Erst mal durchatmen und nichts löschen. In den meisten Fällen reicht es, das zuletzt aktualisierte Plugin zu deaktivieren und die Seite neu zu laden.
Zeigt WordPress „Es gab einen kritischen Fehler auf dieser Website“, schickt es seit Version 5.2 eine Mail mit einem Link in den Wiederherstellungsmodus an die Admin-Adresse. Darüber kommst du ins Backend und kannst das Plugin abschalten. Kommt keine Mail, benennst du per FTP den Ordner des Plugins unter wp-content/plugins um. WordPress deaktiviert es dann. Hilft beides nicht, spielst du das Backup aus Takt 1 zurück.
WordPress manuelles Update per FTP
Bricht ein Kern-Update im Dashboard ab, bleibt das manuelle Update. Laut offizieller Anleitung ersetzt du dabei die WordPress-Dateien, lässt aber wp-config.php und den Ordner wp-content unangetastet, sonst sind Zugangsdaten und Inhalte weg. Ehrlich gesagt: Wenn du nicht weißt, was FTP ist, ist das der Moment, jemanden zu fragen.
Selbst machen oder abgeben? Die ehrliche Rechnung
Selbst machen lohnt sich bei kleinen Seiten mit wenigen Plugins und festem Zeitfenster. Sobald über deine Seite Anfragen, Bewerbungen oder Bestellungen kommen, rechnet sich das Abgeben meist.
Unsere Modellrechnung für eine Seite mit 15 bis 20 Plugins, ohne Störfall: Der Viertakt dauert pro Woche rund 30 Minuten, also gut zwei Stunden im Monat. Setz deinen eigenen Stundensatz ein. Bei 60 Euro sind das rund 130 Euro im Monat, bevor einmal etwas schiefgeht. Unsere Wartung startet bei 59 Euro im Monat zzgl. MwSt., mit täglichem Backup und Update-Runde jede Woche.
Du kannst Updates gut selbst machen, wenn:
- deine Seite wenige Plugins hat und vor allem informiert
- du jede Woche ein festes Zeitfenster dafür hast
- du ein Backup nicht nur anlegen, sondern auch zurückspielen kannst
Abgeben lohnt sich, wenn:
- ein Ausfall dich Anfragen oder Umsatz kostet
- du einen Seitenbaukasten, einen Shop oder Premium-Plugins nutzt
- die rote Zahl im Dashboard seit Monaten da ist
Deine Website soll dein bester Mitarbeiter im Team sein. Deinen besten Monteur lässt du aber auch nicht ein halbes Jahr mit stumpfem Werkzeug rumlaufen. Und ist deine Seite so alt, dass sich das Flicken nicht mehr lohnt, sagen wir dir das. Dann ist eine neue WordPress-Website oft günstiger.
Häufige Fragen zu WordPress Updates
Wie oft sollte ich WordPress Updates machen?
Plane mindestens einmal pro Woche eine Update-Runde ein. Sicherheitsupdates mit hoher Dringlichkeit spielst du am selben Tag ein, weil stark gefragte Lücken laut Patchstack im Median schon nach fünf Stunden massenhaft angegriffen werden. Ein monatlicher Termin reicht nur für kleine Seiten, bei denen kleine Plugins auf automatische Updates gestellt sind.
In welcher Reihenfolge aktualisiere ich Plugins, Theme und WordPress?
Bewährt hat sich: Backup, dann Plugins einzeln, dann das Theme, zum Schluss den WordPress-Kern. Danach prüfst du Startseite, Formular und Handy-Ansicht. Am wichtigsten ist, nicht alles gleichzeitig zu aktualisieren. So erkennst du sofort, welches Update einen Fehler ausgelöst hat, und kannst es gezielt zurücknehmen.
Kann ich WordPress automatisch aktualisieren lassen?
Ja. Kleine Kern-Updates laufen automatisch, Plugins und Themes stellst du seit WordPress 5.5 einzeln auf automatisch. Seit Version 6.6 spielt WordPress ein Plugin-Update zurück, wenn die Startseite danach abstürzt. Kaputte Formulare oder Layoutfehler erkennt das aber nicht. Für Formular-, Shop- und Baukasten-Plugins sind manuelle Updates sicherer.
Welche PHP-Version braucht WordPress?
WordPress empfiehlt PHP 8.3 oder neuer. Ältere Versionen laufen teilweise noch, bekommen aber keine Sicherheitsupdates mehr. Die PHP-Version stellst du bei deinem Hoster um, nicht im WordPress-Dashboard. Deine aktuelle Version siehst du unter Werkzeuge > Website-Zustand > Bericht > Server. Mach vor dem Wechsel ein Backup und prüf danach deine Seite.
Was tun, wenn ein Plugin keine Updates mehr bekommt?
Dann hilft kein Update-Button. Laut Patchstack hatten 2025 rund 46 Prozent der gemeldeten Sicherheitslücken bei Veröffentlichung keinen Fix. Prüf im Plugin-Verzeichnis, wann die letzte Version erschienen ist. Liegt das über ein Jahr zurück oder ist eine Lücke offen, ersetzt du das Plugin durch eine gepflegte Alternative und löschst es danach.
Fazit: Die rote Zahl darf nicht alt werden
Ob du deine WordPress Updates selbst einspielst oder abgibst, entscheidet am Ende deine Zeit. Kleine Seite, wenige Plugins, eine feste halbe Stunde pro Woche: Dann schaffst du das. Hängt dein Geschäft an Anfragen über die Seite, rechnet sich das Abgeben meistens schon beim ersten Störfall.
Was nicht geht: die rote Zahl einen Monat liegen lassen. Bei kritischen Lücken ist das zu spät. Und wer nach dem Update nicht ins Formular schaut, erfährt erst über ausbleibende Anfragen, dass etwas kaputt ist.
Du willst wissen, wie es um deine Seite gerade steht?
Im kostenlosen Website-Check schauen wir uns deine Seite an und sagen dir ehrlich, ob du Updates selbst im Griff behältst oder ob sich unsere WordPress-Wartung für dich lohnt.
Kostenlosen Website-Check buchenStand: 01.10.2026 | Zuletzt geprüft: 01.10.2026 | Quellen: Patchstack (State of WordPress Security in 2026), WordPress.org (Requirements, Release-News), Make WordPress Core (Rollback Auto-Update), WordPress Developer Resources (Upgrading WordPress), Search Engine Journal (WordPress 6.9.2/6.9.3)
