Ein WordPress Update gehört bei Sicherheitslücken innerhalb von 24 Stunden eingespielt, alles andere einmal pro Woche. Die alte Faustregel, einmal im Monat nach Updates zu schauen, hat 2026 ausgedient. Ich zeige dir, welche Updates du automatisch laufen lassen kannst, welche du besser selbst anfasst und wie du eine Routine baust, die auch in einer vollen Woche funktioniert.
Letzte Aktualisierung: September 2026
Warum sich das Zeitfenster für ein WordPress Update gerade verkürzt
Früher lagen zwischen einem Sicherheitsupdate und den ersten Angriffen oft Wochen. Diese Zeit gibt es nicht mehr. Im August 2026 hat Elementor eine kritische Lücke in seinem Formular-Modul geschlossen. Angriffe auf genau diese Lücke begannen noch am selben Tag.
Zwischen dem 19. und dem 23. August 2026 wurden mehr als 190.000 Angriffsversuche auf die Elementor-Pro-Lücke CVE-2026-32475 blockiert.
Quelle: Wordfence (Defiant Inc.), Auswertung der eigenen Web-Application-Firewall über alle darüber geschützten WordPress-Installationen, Erhebungszeitraum 19. bis 23. August 2026
Der Grund für das Tempo ist kein Geheimnis mehr. Angreifer lesen den veröffentlichten Patch, vergleichen ihn mit der Vorversion und wissen danach genau, wo die Lücke saß. Was früher tagelange Handarbeit war, erledigen KI-Modelle heute in Minuten.
Das WordPress-Projekt hat darauf reagiert. Am 28. August 2026 kündigte das Sicherheitsteam die Core Security Initiative an, die seit dem 1. September läuft. Sie steht auf drei Säulen: ein strafferer Release-Prozess, das Abarbeiten offener Meldungen und KI-gestütztes Aufspüren von Lücken, bevor jemand anderes sie findet.
Was ist die Core Security Initiative?
Die Core Security Initiative ist ein Programm des WordPress-Sicherheitsteams, das Schwachstellen im WordPress-Kern aktiv sucht, statt nur auf gemeldete Lücken zu warten. Das Team begründet den Schritt damit, dass es durch moderne KI-Modelle noch nie so einfach war, Programmcode auf Schwachstellen zu untersuchen. Für dich als Betreiber heißt das zweierlei: Es werden künftig mehr Lücken gefunden, und sie werden schneller ausgenutzt.
Deshalb ist ein WordPress Update 2026 keine Aufräumarbeit für ruhige Tage mehr. Es ist der einzige Schutz, der wirklich zuverlässig wirkt. Alles andere, von der Firewall bis zum Sicherheits-Plugin, kauft dir bestenfalls Zeit.
Wie schnell ein WordPress Update wirklich sein muss
Nicht jedes Update ist gleich dringend. Ich unterscheide in der Praxis vier Stufen, und nur die erste verlangt, dass du stehen und liegen lässt, was du gerade tust.
Art des Updates | Wie dringend | Was ich empfehle |
|---|---|---|
Sicherheitsupdate für ein Plugin, das öffentlich angegriffen wird | Sofort, innerhalb von 24 Stunden | Direkt einspielen, notfalls ohne Test |
Sicherheitsupdate ohne bekannte Angriffe | Innerhalb von 2 bis 3 Tagen | Backup, dann einspielen |
WordPress-Kern, kleine Versionssprünge wie 7.1 auf 7.1.1 | Innerhalb einer Woche | Automatisch laufen lassen |
Große Versionssprünge und Theme-Updates | Innerhalb von 2 bis 4 Wochen | Erst auf einer Testkopie prüfen |
Die oberste Zeile ist die wichtige. Wenn ein Plugin aktiv angegriffen wird, ist das Risiko eines kaputten Layouts kleiner als das Risiko einer übernommenen Webseite. Ein verschobener Button lässt sich in zehn Minuten richten. Eine Seite, auf der jemand eine Hintertür installiert hat, beschäftigt dich tagelang.
Woher du erfährst, dass es dringend ist
Du musst dafür keine Sicherheitsnachrichten lesen. Es reicht, wenn WordPress dich erreicht. Stelle sicher, dass unter Einstellungen die hinterlegte Administrator-Adresse eine E-Mail ist, die du täglich liest. Genau dorthin schickt WordPress die Hinweise auf ein automatisch eingespieltes WordPress Update und auf Probleme mit der Webseite.
Ergänzend lohnt sich ein Sicherheits-Plugin, das dich bei bekannten Lücken in deinen installierten Erweiterungen benachrichtigt. Mehr dazu steht in meinem Beitrag über die sieben wichtigsten Schutzmaßnahmen für WordPress.
Automatische Updates: was du gefahrlos einschalten kannst
Die meisten Betriebe, mit denen ich arbeite, haben automatische Updates aus Angst abgeschaltet. Das ist nachvollziehbar und trotzdem die falsche Entscheidung. Ein automatisches WordPress Update ist in den allermeisten Fällen unauffällig, und genau darin liegt sein Wert.
Was ist ein automatisches WordPress Update?
Ein automatisches WordPress Update ist eine Einstellung, bei der WordPress neue Versionen selbst installiert, ohne dass jemand im Backend auf einen Knopf drückt. Seit WordPress 5.5 lässt sich das pro Plugin und pro Theme einzeln festlegen. Kleine Sicherheitsversionen des Kerns laufen bei den meisten Installationen ohnehin schon automatisch.
Meine Aufteilung nach Jahren Praxis sieht so aus:
Automatisch, ohne Bedenken: der WordPress-Kern bei kleinen Versionssprüngen, also alles mit einer dritten Stelle wie 7.1.1
Automatisch, mit Backup im Rücken: bekannte, gut gepflegte Plugins wie Kontaktformulare, Cookie-Banner oder Sicherheits-Plugins
Lieber von Hand: Seitenbaukästen wie Elementor, Shop-Erweiterungen und alles, was das Layout deiner Startseite zeichnet
Von Hand und nur mit Testkopie: das Theme selbst und größere Versionssprünge des Kerns
Der Gedanke dahinter: Automatisch läuft alles, was im Fehlerfall eine einzelne Funktion betrifft. Von Hand läuft alles, was im Fehlerfall die ganze Seite unbrauchbar macht. So bleibt der Aufwand klein und das Risiko überschaubar.
Was ein WordPress Update kaputt machen kann
Die Sorge ist berechtigt, nur meist falsch zugeordnet. In den Fällen, die ich repariere, ist selten das Update selbst schuld. Schuld ist fast immer eine Kombination aus einem sehr alten Theme, einem Plugin ohne Pflege und einer veralteten PHP-Version beim Hoster.
Typisch sind drei Muster. Nach dem Update steht eine weiße Seite, weil zwei Erweiterungen sich gegenseitig blockieren. Oder das Layout verrutscht, weil der Seitenbaukasten eine Funktion umbenannt hat. Oder das Kontaktformular verschickt keine Mails mehr, ohne dass jemand es merkt.
Der letzte Fall ist der teuerste, weil er unsichtbar ist. Prüfe nach jedem größeren WordPress Update dein Kontaktformular mit einer echten Testanfrage. Das dauert zwei Minuten und ist die einzige Kontrolle, die ich wirklich für unverzichtbar halte.
Wer Updates aus Angst vor solchen Problemen ganz liegen lässt, tauscht ein kleines Risiko gegen ein großes. Die Zahlen sprechen deutlich dafür, dass veraltete Installationen das eigentliche Einfallstor sind.
Bei 39,1 Prozent der bereinigten Webseiten war das Content-Management-System zum Zeitpunkt der Infektion nicht auf dem aktuellen Sicherheitsstand.
Quelle: Sucuri, 2023 Hacked Website & Malware Threat Report, Auswertung von über 34.000 infizierten Webseiten durch das Sucuri-Remediation-Team, Erhebungsjahr 2023
Bemerkenswert daran ist die Entwicklung. Im Erhebungsjahr 2022 lag derselbe Wert im selben Report noch bei 50,58 Prozent. Sucuri führt den Rückgang unter anderem auf die automatischen Updates in WordPress zurück. Das ist das beste Argument dafür, sie einzuschalten.
Was ist eine Testkopie?
Eine Testkopie, oft auch Staging genannt, ist eine vollständige Kopie deiner Webseite unter einer nicht öffentlichen Adresse. Dort spielst du ein WordPress Update zuerst ein und schaust dir das Ergebnis in Ruhe an. Erst wenn alles läuft, wiederholst du den Schritt auf der echten Seite.
Viele Hoster bieten das inzwischen auf Knopfdruck an, häufig ohne Aufpreis. Ein Blick ins Kundenmenü lohnt sich, bevor du dir ein zusätzliches Plugin dafür installierst. Für den wöchentlichen Kleinkram brauchst du das nicht. Für den Wechsel auf eine neue Hauptversion deines Themes ist es die halbe Miete.
Die PHP-Version ist der stille Mitspieler
PHP ist die Programmiersprache, in der WordPress geschrieben ist. Dein Hoster legt fest, welche Version davon läuft, und genau hier entsteht ein Teil der Update-Probleme. Ist die PHP-Version zu alt, verweigern neue Plugin-Versionen irgendwann den Dienst.
Den aktuellen Stand findest du im Backend unter Werkzeuge und dort im Punkt Website-Zustand. WordPress zeigt dir an dieser Stelle auch direkt an, ob deine Version noch Sicherheitsupdates bekommt. Steht dort eine Warnung, ist das ein Fall für deinen Hoster und nicht für dich.
Wechsle die PHP-Version nie direkt auf der laufenden Seite. Das ist der eine Fall, in dem ich ausnahmslos zu einer Testkopie rate, weil ein Sprung über mehrere Versionen ältere Plugins zuverlässig aus dem Tritt bringt.
Backup zuerst, Update danach
Ein Backup ist die Versicherung, die ein WordPress Update ungefährlich macht. Wichtig ist, dass es außerhalb deines Webspace liegt. Ein Backup auf demselben Server hilft dir nicht, wenn genau dieser Server übernommen wurde.
Prüfe außerdem einmal, ob sich das Backup zurückspielen lässt. Ein Backup, das noch nie eingespielt wurde, ist eine Vermutung und kein Sicherheitsnetz. Wie schnell das relevant wird, zeigt der Fall rund um die Sicherheitslücke in All-in-One WP Migration, bei der ausgerechnet ein Backup-Plugin zum Einfallstor wurde.
Eine Update-Routine für Betriebe ohne IT-Abteilung
Theorie hilft wenig, wenn am Montag das Telefon klingelt. Deshalb hier die Routine, die ich Betrieben gebe, die keine eigene IT haben. Sie kostet dich rund zwanzig Minuten im Monat.
Einmal einrichten: automatische Updates für den Kern und für unkritische Plugins aktivieren, Administrator-Mail auf eine Adresse setzen, die du täglich liest
Einmal einrichten: ein externes Backup einrichten, das täglich läuft, und einmal testweise zurückspielen
Jeden Montag, fünf Minuten: ins Backend einloggen, offene Updates anschauen, alles einspielen, was kein Seitenbaukasten und kein Theme ist
Nach jedem Update, zwei Minuten: Startseite aufrufen und eine Testanfrage über das Kontaktformular schicken
Wenn eine Warnmail kommt: nicht auf den Montag warten, sondern am selben Tag handeln
Der wunde Punkt ist Schritt drei. Ein fester Termin schlägt guten Willen. Trag dir den Montagmorgen als wiederkehrenden Termin in den Kalender, so wie die Wartung deines Fahrzeugs oder deiner Maschinen.
Wenn dir diese zwanzig Minuten im Monat trotzdem regelmäßig durchrutschen, ist das keine Charakterschwäche, sondern eine Frage der Prioritäten. Dann gehört die Aufgabe abgegeben. Genau dafür gibt es unsere Wartung, die bei 49 € netto im Monat beginnt und Updates, Backups und die Kontrolle danach übernimmt. Alle Stufen findest du auf der Seite zu den Wartungs- und SEO-Paketen.
Häufige Fragen zu WordPress Updates
Wie oft sollte ich ein WordPress Update machen?
Einmal pro Woche für normale Updates und innerhalb von 24 Stunden, wenn eine Lücke aktiv ausgenutzt wird. Der früher übliche Monatsrhythmus reicht 2026 nicht mehr aus, weil Angriffe inzwischen am Tag der Veröffentlichung eines Patches beginnen.
Sind automatische Updates bei WordPress gefährlich?
Für den WordPress-Kern und gepflegte Standard-Plugins sind sie sicher und senken das Risiko deutlich. Vorsichtig sein solltest du nur bei Seitenbaukästen wie Elementor und beim Theme, weil dort ein Fehler sofort das gesamte Layout betrifft.
Was mache ich, wenn nach einem Update die Seite weiß bleibt?
Ruf die Adresse deiner Seite mit dem Zusatz /wp-admin auf und deaktiviere dort das zuletzt aktualisierte Plugin. Kommst du nicht mehr ins Backend, benenne den Plugin-Ordner über den Dateizugriff deines Hosters um. Die ausführliche Anleitung steht in meinem Beitrag zur weißen Seite bei WordPress.
Muss ich Plugins updaten, die ich gar nicht benutze?
Nein, die gehören gelöscht statt aktualisiert. Ein deaktiviertes Plugin liegt weiterhin auf dem Server und kann angreifbar sein. Deinstallieren ist hier sicherer als jedes WordPress Update.
Kann ich mehrere Updates auf einmal einspielen?
Ja, bei den wöchentlichen Kleinigkeiten spart das Zeit. Bei einem kritischen Plugin spielst du es besser einzeln ein, sonst weißt du bei einem Fehler nicht, welches Update ihn verursacht hat. Diese Suche kostet mehr Zeit, als das Sammeln vorher gespart hat.
Was kostet es, die Updates abzugeben?
Unsere Wartung startet bei 49 € netto im Monat und deckt Updates, Backups und die Funktionskontrolle nach dem Einspielen ab. Ob sich das lohnt, hängt weniger am Preis als daran, wie verlässlich du den festen Wochentermin selbst einhältst.
Fazit: ein WordPress Update ist Wartung, keine Kür
Das Zeitfenster zwischen Patch und Angriff ist 2026 auf Stunden geschrumpft, und die neue Core Security Initiative wird die Zahl der gefundenen Lücken weiter erhöhen. Für dich ändert das die Rechnung: Ein WordPress Update, das eine Woche liegen bleibt, ist inzwischen riskanter als ein Update, das einmal ein Layout verschiebt.
Fang mit dem Einfachen an. Automatische Updates für den Kern einschalten, ein externes Backup einrichten, einen festen Wochentermin setzen. Damit hast du den größten Teil des Risikos abgeräumt, ohne zum Fachmann werden zu müssen.
Du bist dir nicht sicher, wie es um deine Webseite steht? In einem kostenlosen Erstgespräch schauen wir gemeinsam drauf und du erfährst, was bei dir wirklich ansteht. Termin für ein kostenloses Erstgespräch buchen.
