WordPress-Wartung: Was wirklich nötig ist und wer sich kümmert

Kann dir niemand sagen, wer bei deiner WordPress-Seite die Updates einspielt, fehlt das Wichtigste an der WordPress-Wartung: ein Zuständiger. Das gilt auch, wenn du monatelang keinen Text änderst. WordPress ist ein Redaktionssystem, die Seite wird bei jedem Aufruf aus Programmcode und einer Datenbank zusammengesetzt, und dieser Code muss laufend erneuert werden.

Was zur Wartung jeder Website gehört (Sicherungen, Prüfung nach Änderungen, ein schriftlich festgehaltener Pflegeumfang), steht im Artikel „Muss eine Website gewartet werden?“. Hier geht es nur um das, was WordPress zusätzlich verlangt.

Was zur WordPress-Wartung gehört

Jede WordPress-Seite besteht aus Bausteinen mit eigenen Updates. Der Kern ist das eigentliche WordPress. Das Theme ist die Designvorlage, meist von einem anderen Anbieter. Plugins sind Erweiterungen für alles, was der Kern nicht kann, etwa Kontaktformular, Bildergalerie oder Cookie-Hinweis.

Bei den Plugins fällt die meiste Arbeit an. Jedes stammt von einem anderen Hersteller und hat seinen eigenen Update-Takt. Manche werden irgendwann nicht mehr gepflegt und behalten ihre Lücken, bis jemand sie austauscht.

Viele Themes und manche Plugins sind gekauft. Updates gibt es für sie meist nur, solange die Lizenz läuft. Danach bleibt jede neu entdeckte Lücke offen.

Dazu kommt der Server. Hebt der Hoster die Version von PHP an (der Programmiersprache, in der WordPress läuft), vertragen ältere Themes und Plugins das oft nicht. Dann muss nachgezogen werden, ob du willst oder nicht.

Warum WordPress-Updates nicht liegen bleiben dürfen

Dass es eilt, hat zwei Gründe. Mit jedem Sicherheitsupdate wird öffentlich, wo die Lücke war. Und Programme durchsuchen das Netz automatisch nach Seiten, auf denen ein Plugin noch in der alten Fassung läuft. Sie greifen jede an, egal wie groß der Betrieb dahinter ist.

Sicherheitsupdates kommen nicht in einem festen Rhythmus, manchmal folgen mehrere innerhalb weniger Wochen aufeinander, und bei Plugins werden Lücken teils schon angegriffen, bevor das Update auf allen Seiten eingespielt ist.

Was eine gekaperte Seite anrichtet und was dann zu tun ist

Eine gekaperte Seite fällt dir selbst oft nicht auf. Umleitungen auf Betrugsseiten werden häufig so eingerichtet, dass sie nur Besucher treffen, die über die Google-Suche kommen. Wer die Adresse direkt eintippt, sieht die gewohnte Seite. Weitere Folgen sind Spam-Seiten unter deiner Adresse, Warnungen im Browser, eine Sperre durch den Hoster und abgegriffene Formulardaten deiner Kunden.

Damit du es nicht erst erfährst, wenn ein Kunde anruft, richte die Google Search Console für deine Seite ein. Das kostenlose Werkzeug von Google meldet dir per E-Mail, wenn es Sicherheitsprobleme oder gehackte Inhalte auf deiner Seite findet.

Ist es passiert, gehst du in dieser Reihenfolge vor:

• Den Hoster bitten, die Seite vom Netz zu nehmen. Mehr übernimmt er beim üblichen Webspace in der Regel nicht, Spuren in WordPress suchen und beseitigen musst du selbst oder ein Dienstleister.
• Die Passwörter für Hosting-Konto und Dateizugang sofort ändern.
• Eine saubere Sicherung von vor dem Angriff einspielen oder die Seite von jemandem bereinigen lassen, der sich mit WordPress auskennt.
• Sofort Kern, Theme und alle Plugins aktualisieren, sonst kommen die Angreifer über dieselbe Lücke wieder.
• Erst danach die Passwörter für den WordPress-Admin und die Datenbank neu setzen, weil die Sicherung die alten enthält.

Sind Kundendaten abgeflossen, etwa aus dem Kontaktformular, kann eine Meldepflicht nach Art. 33 DSGVO greifen. Die Meldung an die Datenschutz-Aufsichtsbehörde ist dann grundsätzlich binnen 72 Stunden fällig, nachdem du von der Panne erfahren hast. Ob die Pflicht in deinem Fall gilt und ob du auch die betroffenen Kunden informieren musst, klärst du sofort mit einem Anwalt.

Weg eins: Du pflegst die Seite selbst

Das kostet vor allem Zeit. In der Grundeinstellung spielt WordPress kleinere Wartungs- und Sicherheitsversionen des Kerns selbst ein, sofern niemand diese Automatik abgeschaltet hat. Große Versionssprünge, Themes und Plugins deckt sie nicht ab. Für Plugins und Themes lässt sich die Automatik einzeln einschalten, in der Plugin-Liste siehst du, wo sie aktiv ist.

Was nicht automatisch läuft, spielst du selbst ein. Offene Updates zeigt WordPress im Admin-Bereich unter „Dashboard“ und „Aktualisierungen“. Sicherheitsupdates gehören innerhalb weniger Tage drauf. Wird eine Lücke schon aktiv angegriffen, spielst du das Update sofort ein, noch am selben Tag.

Ob ein kostenloses Plugin noch gepflegt wird, verrät seine Seite im offiziellen Plugin-Verzeichnis von WordPress. Bei gekauften Erweiterungen zeigt das Änderungsprotokoll auf der Website des Herstellers, wann es das letzte Update gab. Wurde ein Plugin lange nicht aktualisiert, tausch es aus.

Jedes Plugin, das du löschst, musst du nie wieder aktualisieren.

Dieser Weg passt, wenn du dir fest Zeit dafür einplanst. In der Hochsaison bleibt so etwas als Erstes liegen.

Weg zwei: Du gibst die WordPress-Wartung ab

Ein Dienstleister spielt die Updates ein und schaut nach, ob alles läuft. Du hast den Kopf frei, zahlst dafür aber laufend. Die Kosten hängen vor allem davon ab, wie viele Plugins auf der Seite stecken und wie oft geprüft wird.

Bei WordPress klärst du vorher drei Dinge: wie schnell er reagiert, wenn eine Lücke aktiv angegriffen wird, ob er im Ernstfall auch die Bereinigung übernimmt und auf wen die Lizenzen für gekaufte Themes und Plugins laufen. Wer die Zugänge zur Seite haben sollte, steht im Artikel „Wem gehört meine Website?“.

Weg drei: Eine Website ohne Redaktionssystem

Eine statische Website besteht aus fertigen Dateien, die der Server einfach ausliefert. Es gibt keinen Kern und keine Plugins, meist auch keine Datenbank und keinen Login-Bereich. Damit fallen die Updates weg, um die es hier geht, und mit ihnen diese Art von Lücken.

Der Nachteil: Texte und Bilder änderst du nicht mal eben selbst im Browser, das macht meist der, der die Seite gebaut hat. Funktionen, für die es bei WordPress ein fertiges Plugin gibt, müssen eigens programmiert werden. Wartungsfrei ist auch so eine Seite nicht, Hosting, Formular, Inhalte und Rechtstexte brauchen weiter Pflege.

Ein Wechsel bedeutet, die Seite neu zu bauen. Dabei müssen die bisherigen Adressen der Unterseiten erhalten bleiben oder auf die neuen weitergeleitet werden. Sonst laufen Links aus der Google-Suche ins Leere, und Platzierungen und Anfragen können verloren gehen. Lass dir das bei der Beauftragung schriftlich zusichern.

Welcher Weg zu deinem Betrieb passt

Schau zuerst, wie oft du selbst etwas an der Seite änderst. Wenn du jede Woche Referenzen oder Stellenanzeigen einpflegst, hast du viel vom Redaktionssystem. Wenn du zweimal im Jahr die Öffnungszeiten anpasst, eher wenig.

Dann frag dich, wer bei dir in einem vollen Monat die Updates einspielt. Steht da kein Name, ist genau das die Lücke, die du zuerst schließen solltest.