WordPress sicher aktualisieren: Anleitung Schritt für Schritt

Viele WordPress-Websites werden monatelang nicht aktualisiert, weil die Verantwortlichen befürchten, dass nach dem Klick auf „Aktualisieren“ nichts mehr funktioniert. Diese Angst ist nachvollziehbar, aber fehlende Updates sind gefährlicher: Veraltete Plugins und Themes gehören zu den häufigsten Wegen, über die Angreifer eindringen. Laut dem Patchstack-Bericht für 2025 betrafen 91 % der neuen Sicherheitslücken im WordPress-Ökosystem Plugins, 9 % Themes, und im Core selbst wurden nur 6 gefunden.

Ich zeige Ihnen, wie Sie WordPress in Ruhe und in der richtigen Reihenfolge sicher aktualisieren, mit Backup und Notfallplan. Am Ende erhalten Sie eine Checkliste für 15 Minuten, die Sie ausdrucken und neben dem Computer aufbewahren können.

Warum Updates Websites kaputt machen

WordPress besteht aus dem Core, einem Theme und meist einem Dutzend Plugins von verschiedenen Autoren. Jedes Update verändert ein Element, und die übrigen müssen damit zurechtkommen. Die häufigsten Ursachen für Ausfälle:

• ein Plugin, das nicht zur neuen Version des Cores oder von PHP passt,
• ein Theme, das Funktionen eines Plugins überschreibt (besonders ein altes, das vor einigen Jahren gekauft wurde),
• Änderungen direkt in den Dateien des Themes, die nach dem Update verschwinden,
• zu viele Änderungen auf einmal, sodass man nicht weiß, was die Website kaputt gemacht hat.

All diese Risiken lassen sich durch Vorbereitung verringern. Wir beginnen mit dem Backup.

Schritt 1: Backup von Dateien und Datenbank erstellen

Ein Backup der Website besteht aus zwei Dingen: den Dateien (Theme, Plugins, Fotos aus der Mediathek) und der Datenbank (Inhalte, Einstellungen, Bestellungen). Fehlt eines davon, gelingt die Wiederherstellung nicht.

Wo Sie es erstellen:

1. Beim Hoster. Viele Hosting-Firmen erstellen Backups automatisch. Prüfen Sie im Panel, von welchem Tag das letzte stammt und wie Sie es einspielen.
2. Mit einem Backup-Plugin. Viele Plugins speichern das Backup auf einem externen Laufwerk in der Cloud. Das ist wichtig, denn ein Backup auf demselben Server kann zusammen mit der Website verschwinden.
3. Manuell. Laden Sie die Dateien per FTP herunter und exportieren Sie die Datenbank im Hosting-Panel.

Erstellen Sie vor einem größeren Update ein frisches Backup, auch wenn Ihr Hoster täglich eines anlegt. Und eine wichtige Regel: Ein Backup, aus dem nie jemand versucht hat, die Website wiederherzustellen, ist nur eine Hoffnung. Prüfen Sie wenigstens einmal, ob sich die Website daraus wiederherstellen lässt.

Schritt 2: Auf einer Testkopie testen

Eine Testkopie (englisch Staging) ist eine exakte Kopie der Website unter einer anderen, versteckten Adresse. Sie aktualisieren sie zuerst dort, prüfen, ob alles funktioniert, und wiederholen die Änderungen erst dann auf der Hauptseite.

Manche Hoster bieten das als fertige Funktion im Panel an, wenn auch nicht immer in allen Tarifen. Schauen Sie in das Angebot Ihres Anbieters und suchen Sie nach „Staging“, „Testumgebung“ oder „Website klonen“. Hat Ihr Hoster das nicht, gibt es Plugins, die eine Testkopie in einem Unterverzeichnis anlegen.

Bei einer gewöhnlichen Visitenkarten-Website können Sie das überspringen, wenn Sie ein gutes Backup haben. Bei einem Onlineshop, Buchungen und Zahlungen ist eine Testkopie Pflicht: Ein Fehler in der Kasse kostet echte Bestellungen.

Schritt 3: In der richtigen Reihenfolge aktualisieren

Die Reihenfolge ist wichtig. Ich halte mich an diese:

1. Plugins, eines nach dem anderen, nicht alle auf einmal.
2. Theme (und Child-Theme, falls Sie eines verwenden).
3. WordPress-Core.
4. PHP-Version auf dem Server, wenn Ihr Hoster sie anhebt (dazu weiter unten).

Öffnen Sie nach jedem Update die Startseite, eine Unterseite und das Kontaktformular. Das dauert eine Minute, und wenn etwas bricht, wissen Sie genau, welche Änderung schuld ist. Plugins einzeln zu aktualisieren ist die einfachste Methode, Fehler zu finden. Wenn Sie bei einem Plugin die Meldung „Die Aktualisierung funktioniert nicht mit Ihrer WordPress-Version“ sehen, kehren Sie nach dem Core-Update zu ihm zurück.

Lesen Sie vor dem Core-Update, was die neue Version ändert. Unter Dashboard → Aktualisierungen sehen Sie, ob WordPress eine neuere PHP-Version verlangt und ob eines der Plugins als mit dieser Version ungeprüft markiert ist.

Schritt 4: PHP, der stille Übeltäter

Viele Ausfälle haben ihre Ursache nicht in WordPress selbst, sondern in einer geänderten PHP-Version auf dem Server. Ältere Plugins sind mitunter nicht mit neuerem PHP kompatibel, und ein neueres WordPress kann ein neueres PHP verlangen, als Sie haben. Die Version finden Sie im WordPress-Dashboard unter Werkzeuge → Website-Zustand, im Tab „Info“ (Abschnitt „Server“).

Laut wordpress.org verlangt das aktuelle WordPress (im Oktober 2026 die Version 7.1) mindestens PHP 7.4, empfohlen wird PHP 8.3 oder neuer. Welche PHP-Versionen Ihr Hoster anbietet, sehen Sie in dessen Panel. Mehr dazu, warum ein altes PHP ein Problem ist, schreibe ich im Ratgeber PHP 8.2 und das Ende des Supports: Prüfen Sie Ihre Website. Ändern Sie PHP getrennt vom WordPress-Update, am besten auf der Testkopie.

Automatische Updates: Was Sie aktivieren sollten und was nicht

WordPress installiert kleine Core-Versionen selbst, das sind vor allem Sicherheitskorrekturen. Das ist eine gute Standardeinstellung, und ich rate nicht dazu, sie abzuschalten. Vorsicht bei großen Versionen: Bei Installationen, die seit WordPress 5.6 (Dezember 2020) angelegt wurden, werden auch sie standardmäßig von selbst installiert. Das sehen Sie unter Dashboard → Aktualisierungen. Der Hinweis „Diese Website wird automatisch mit jeder neuen WordPress-Version aktualisiert“ bedeutet, dass große Versionen automatisch eingespielt werden, und der Link darunter stellt die Updates auf reine Wartungsversionen und Sicherheitskorrekturen um. Plugins und Themes brauchen standardmäßig Ihren Klick, aber Sie können für sie automatische Updates einschalten, mit dem Link „Automatische Updates aktivieren“, getrennt bei jedem Plugin (unter Plugins) und beim Theme (unter Design → Themes).

Meine Regel:

Wenn jemand die Core-Updates ganz abschalten will, dann nur bewusst und mit einem Plan für wöchentliche manuelle Updates.

Was tun, wenn die Website ausfällt

Auch bei guter Vorbereitung kommt es zu Ausfällen. Zuerst in Ruhe, ohne blind zu klicken. Der Notfallplan:

1. Prüfen Sie die E-Mails des Administrators. Wenn ein Plugin oder Theme einen kritischen Fehler auslöst, sendet WordPress an die Administrator-E-Mail-Adresse (unter Einstellungen → Allgemein) eine Nachricht mit einem Link zum Wiederherstellungsmodus, sofern der Server E-Mails versendet. Der Link ist standardmäßig einen Tag gültig. Nach der Anmeldung darüber ist das fehlerhafte Plugin nur in Ihrer Sitzung pausiert, deaktivieren oder aktualisieren Sie es daher im Dashboard. Bis dahin sehen Besuchende weiterhin den Fehler.
2. Deaktivieren Sie das zuletzt aktualisierte Plugin. Wenn Sie nicht ins Dashboard kommen, verbinden Sie sich per FTP oder Dateimanager und benennen Sie den Ordner des Plugins in wp-content/plugins um, zum Beispiel indem Sie -deaktiviert anhängen. WordPress lädt es dann nicht mehr.
3. Schalten Sie die Fehleranzeige ein. In der Datei wp-config.php können Sie die Meldungen vorübergehend in ein Protokoll schreiben lassen:

define( 'WP_DEBUG', true );
define( 'WP_DEBUG_LOG', true );
define( 'WP_DEBUG_DISPLAY', false );

Die Fehler finden Sie in der Datei wp-content/debug.log. Stellen Sie nach der Reparatur WP_DEBUG auf false und löschen Sie die Datei debug.log, denn sie liegt standardmäßig in einem aus dem Internet erreichbaren Verzeichnis und kann Details der Website verraten.

4. Spielen Sie das Backup ein. Wenn Sie nach 30 Minuten immer noch nicht wissen, woran es liegt, kämpfen Sie nicht weiter. Spielen Sie das Backup von dem Tag vor dem Update ein und versuchen Sie es erneut auf der Testkopie.
5. Notieren Sie, was passiert ist. Name des Plugins und Fehlermeldung helfen Ihnen oder der Person, die Ihnen hilft.

Es lohnt sich, die Nummer des Hosting-Supports im Telefon zu haben. Oft können die Mitarbeitenden ein Backup in wenigen Minuten einspielen.

Plugins, die ihre Autoren aufgegeben haben

Das größte Risiko sind Plugins, die seit Jahren kein Update erhalten haben. Sie machen nicht immer sofort Ärger, bekommen aber keine Sicherheitspatches mehr und funktionieren mit der Zeit nicht mehr mit neuem PHP.

So finden Sie sie:

• Prüfen Sie unter Dashboard → Aktualisierungen, ob bei Plugins mit ausstehendem Update der Vermerk „Nicht getestet“ in Bezug auf Ihre WordPress-Version steht, und klicken Sie unter Plugins auf „Details ansehen“, um zu sehen, ob es eine Warnung gibt, dass das Plugin nicht mit Ihrer WordPress-Version getestet wurde,
• prüfen Sie im Plugin-Verzeichnis auf wordpress.org das Datum des letzten Updates,
• löschen Sie Plugins, die Sie nicht mehr verwenden. Ein deaktiviertes Plugin liegt weiterhin auf dem Server und kann weiterhin eine Lücke haben.

Ist ein Plugin wichtig und der Autor verschwunden, suchen Sie einen Ersatz und tauschen Sie es auf der Testkopie aus. Wenn die ganze Website auf einem veralteten Theme und einem Dutzend aufgegebener Erweiterungen beruht, ist eine Website-Modernisierung manchmal günstiger, als sie jeden Monat zu flicken.

Checkliste für 15 Minuten vor dem Update

Drucken Sie sie aus und haken Sie sie vor jedem größeren Update ab:

1. Vollständiges Backup (Dateien und Datenbank) heute erstellt und außerhalb des Servers gespeichert.
2. Ich weiß, wie ich es einspiele und wen ich beim Hoster anrufe.
3. Unter Dashboard → Aktualisierungen geprüft, was genau aktualisiert wird.
4. PHP-Version (Werkzeuge → Website-Zustand) und Anforderungen der neuen Version geprüft.
5. Für Shop und Buchungen: Update zuerst auf der Testkopie.
6. Plugins, die ich nicht verwende, deaktiviert oder gelöscht.
7. Update in der Reihenfolge: Plugins → Theme → Core, jeweils eine Änderung auf einmal.
8. Nach jeder Änderung geprüft: Startseite, Unterseite, Kontaktformular, im Shop das Hinzufügen zum Warenkorb.
9. Zum Schluss einen Test der Bestellung oder Buchung durchgeführt, falls vorhanden.
10. Datum und Liste der Änderungen in einer Notiz festgehalten.

Den Termin legen Sie am besten auf einen Dienstag- oder Mittwochvormittag, nicht auf einen Freitagnachmittag. Wenn etwas kaputtgeht, haben Sie einen ganzen Werktag Zeit für die Reparatur.

So prüfen Sie den Zustand Ihrer Website

Wenn Sie nicht wissen, ob Ihre Website schon vernachlässigt ist, beginnen Sie mit dem kostenlosen Tool Website prüfen. In 30 Sekunden prüft es Geschwindigkeit, SEO, Sicherheit und weitere Bereiche, und das Ergebnis zeigt, was zuerst verbessert werden sollte. Es ersetzt nicht die Durchsicht des WordPress-Dashboards, zeigt aber sofort sichtbare Probleme.

Zusammenfassung

Ein sicheres Update bedeutet: Backup, eine Testkopie dort, wo es wichtig ist, die richtige Reihenfolge und einen Plan für den Ausfall. Die Angst vor dem Klick verschwindet, wenn Sie wissen, wie Sie die Änderungen rückgängig machen.

Wenn Sie sich nicht selbst darum kümmern möchten, übernehme ich die Updates im Rahmen der technischen Betreuung: Backups, Updates und schnelle Reaktion ab 149 PLN netto pro Monat. Sie können mir auch schreiben, und ich antworte in 24 Stunden.