WordPress-Updates sicher einspielen: Reihenfolge, Backup, Test

Welche Updates sofort rein müssen und welche warten können

Nicht jedes Update hat dasselbe Risiko. Bevor du irgendetwas anklickst, lohnt sich ein Blick darauf, was da eigentlich aktualisiert wird:

• Kleine WordPress-Versionen (etwa von 7.1.2 auf 7.1.3) bringen Fehlerbehebungen und Sicherheitskorrekturen. Seit WordPress 3.7 spielt WordPress sie von selbst ein, so steht es in der offiziellen Anleitung Updating WordPress. Die kannst du laufen lassen.
• Große WordPress-Versionen (etwa von 7.0 auf 7.1) bringen neue Funktionen und ändern mehr Code. Hier steckt das eigentliche Risiko für Plugins und Themes.
• Plugin- und Theme-Updates sind der Normalfall, und sie sind am häufigsten der Grund, warum eine Seite danach anders aussieht oder nicht mehr läuft.

Sicherheitsupdates für Plugins gehören nicht in den Monatsrhythmus. Patchstack hat für 2025 ausgewertet, dass etwa die Hälfte der schweren Sicherheitslücken in WordPress-Plugins und -Themes innerhalb von 24 Stunden ausgenutzt wurde (State of WordPress Security in 2026). Wenn im Changelog „security“ oder „Sicherheit“ steht, spielst du das Update am selben Tag ein. Was passiert, wenn das zu spät kommt, beschreiben wir in WordPress gehackt: Was jetzt zu tun ist.

Vor dem Update: ein Backup, das sich zurückspielen lässt

Dass vor jedem Update ein Backup gehört, steht in jeder Anleitung, auch in der von WordPress. Der wichtigere Satz steht im Handbuch für Administratoren: Upgrading WordPress verlangt, dass du prüfst, ob die Backups vorhanden und benutzbar sind, und nennt das „essential“. Ein Backup, das du noch nie zurückgespielt hast, ist eine Hoffnung.

Für die meisten Seiten reicht das Backup des Hosters, wenn du drei Dinge weißt: Es sichert Dateien und Datenbank, du kommst ohne Support-Ticket heran, und du weißt, wie lange das Zurückspielen dauert. Sicherer ist ein zusätzliches Backup außerhalb des Hosters. Fällt der Hoster aus, ist sonst beides weg.

Erst auf einer Kopie testen

Die WooCommerce-Dokumentation sagt es ohne Umschweife: Updates nicht direkt auf der Live-Seite testen, sondern zuerst auf einer Staging-Kopie, und erst wenn dort alles läuft, dieselben Updates live einspielen (How to update WooCommerce). Das gilt für jede WordPress-Seite, die Geld oder Anfragen bringt. Viele Hoster bieten eine Staging-Umgebung mit einem Klick an.

So arbeiten wir auch in der Betreuung: Jedes Update für WordPress, Plugins und Themes läuft zuerst auf Staging durch einen optischen und funktionalen Check, und erst danach geht es live.

Die Reihenfolge

1. Backup anlegen und prüfen (siehe oben).
2. Plugins einzeln aktualisieren, nicht alle auf einmal. Nach jedem Update kurz die Seite ansehen. So weißt du bei einem Fehler sofort, welches Plugin es war.
3. Das Theme aktualisieren. Hast du Änderungen direkt im Theme gemacht statt in einem Child-Theme, sind sie danach weg, denn das Update überschreibt die Theme-Dateien.
4. Eine große WordPress-Version erst, wenn die Plugins auf dem aktuellen Stand sind. Gute Plugins liefern die Anpassungen an eine neue WordPress-Version meist vorab aus. Danach noch einmal nach Plugin-Updates schauen, manche kommen erst hinterher.
5. Testen (siehe unten).

Für WooCommerce-Shops gilt eine eigene Reihenfolge. Laut WooCommerce-Dokumentation aktualisierst du zuerst WooCommerce selbst und danach Erweiterungen, Themes und Zahlungsanbieter, im selben Wartungsfenster. Fragt WooCommerce nach dem Update nach einer Datenbank-Aktualisierung, führst du die direkt aus. Für die meisten Shops empfiehlt die Doku einen festen Monatstermin, bei Sicherheitskorrekturen früher.

Läuft deine Seite in einem Multisite-Netzwerk, gilt jedes Plugin- und Theme-Update für alle Seiten des Netzwerks, die es nutzen. Getestet wird dann auf einer Staging-Kopie des ganzen Netzwerks. Wann sich so ein Netzwerk trotzdem lohnt, steht in WordPress Multisite: Wann es sich lohnt und wann nicht.

Automatische Updates: was WordPress von selbst macht

Kleine WordPress-Versionen kommen automatisch. Bei den großen kommt es auf das Alter der Installation an: Laut Handbuch haben neue Installationen seit WordPress 5.6 automatische Updates auch für große Versionen eingeschaltet, ältere behalten ihr bisheriges Verhalten. Willst du große Versionen lieber selbst einspielen, setzt du in der wp-config.php die Konstante WP_AUTO_UPDATE_CORE auf 'minor'. Dann laufen nur noch die kleinen Updates automatisch.

Für Plugins und Themes kannst du automatische Updates seit WordPress 5.5 einzeln einschalten (Plugin and themes auto-updates). WordPress prüft dann zweimal am Tag und braucht dafür den WordPress-Cron. Läuft der nicht sauber, passieren die Updates unregelmäßig; das zeigt dir der Website-Zustand unter Werkzeuge.

Unsere Empfehlung: Automatische Updates für kleine WordPress-Versionen immer an. Für Plugins auf einer einfachen Firmenseite kann das auch passen. Auf einem Shop würden wir WooCommerce, Zahlungsanbieter und den Page Builder nicht automatisch aktualisieren lassen, weil ein Fehler dort sofort Umsatz kostet und oft erst auffällt, wenn sich Kunden melden.

Nach dem Update: das prüfst du

• Startseite und zwei, drei wichtige Unterseiten, auch auf dem Handy
• Kontaktformular abschicken und schauen, ob die E-Mail ankommt
• Login und Backend
• Im Shop: eine Testbestellung bis zur Bestellbestätigung, mit Versand, Steuer und Zahlung. Das empfiehlt auch die WooCommerce-Dokumentation.
• Den Cache leeren und die Seite noch einmal im privaten Browserfenster ansehen

Das dauert zehn Minuten. Wer es weglässt, erfährt von einem kaputten Formular erst, wenn eine Woche lang keine Anfragen mehr kamen.

Wenn ein Update schiefgeht

Seit WordPress 5.2 gibt es den Wiederherstellungsmodus. Stürzt die Seite nach einem Update mit einem schweren Fehler ab, schickt WordPress eine E-Mail mit einem Link an die Admin-Adresse. Über diesen Link kommst du ins Backend und kannst das fehlerhafte Plugin deaktivieren. Wichtig: Das gilt nur für dich. Laut der Ankündigung des Features wird das Plugin nur für den Nutzer im Wiederherstellungsmodus pausiert, für alle anderen bleibt die Seite kaputt, bis du das Plugin deaktiviert oder ersetzt hast.

Bleibt die Seite nach einem abgebrochenen Update im Wartungsmodus hängen, löschst du laut WordPress-Anleitung die Datei .maintenance im WordPress-Hauptverzeichnis per SFTP. Kommst du gar nicht mehr ins Backend, benennst du den Ordner des verdächtigen Plugins unter wp-content/plugins um. WordPress deaktiviert es dann.

Hilft das alles nicht oder ist der Shop offline, spiel das Backup von vor dem Update zurück oder hol dir Hilfe. Bei der WordPress-Notfallhilfe rechnen wir nach einer kostenlosen Ersteinschätzung im 15-Minuten-Takt ab, und ohne Fix gibt es keine Rechnung.

Die PHP-Version nicht vergessen

Neben WordPress, Plugins und Themes altert auch die PHP-Version auf dem Server. Laut php.net bekommt PHP 8.2 nur noch bis zum 31. Dezember 2026 Sicherheitskorrekturen, PHP 8.1 und älter gar keine mehr. WordPress selbst empfiehlt in seinen Anforderungen PHP 8.3 oder neuer. Die Umstellung machst du im Kundenmenü des Hosters, aber nicht blind: erst auf Staging, dann mit den Tests von oben, und mit dem Wissen, wie du im Notfall zurückstellst.

Wie oft?

Einmal pro Woche nachsehen, Sicherheitsupdates am selben Tag einspielen, den Rest gesammelt an einem festen Termin mit Backup, Staging und Test. Wer das nicht selbst machen will: In der WordPress-Betreuung übernehmen wir genau diesen Ablauf, ab 125 € im Monat und monatlich kündbar, mit täglichen externen Backups. Für Shops gibt es die WooCommerce-Betreuung: Updates auf einem Staging-Server, und ein Entwickler prüft Warenkorb und Checkout von Hand, bevor etwas live geht.

Häufige Fragen

Soll ich automatische Updates aktivieren?

Für kleine WordPress-Versionen ja, die sind standardmäßig an. Für Plugins kommt es auf die Seite an: Auf einer einfachen Firmenseite ist das Risiko überschaubar, auf einem Shop würden wir WooCommerce, Zahlungsanbieter und Page Builder immer von Hand und nach einem Test aktualisieren.

Warum bekommt meine Seite keine automatischen Updates?

Häufige Gründe: Die Konstante WP_AUTO_UPDATE_CORE in der wp-config.php schaltet sie ab, WordPress erkennt eine Versionsverwaltung wie Git im Verzeichnis und lässt die Finger davon, oder der WordPress-Cron läuft nicht. Den Cron prüfst du unter Werkzeuge, Website-Zustand.

In welcher Reihenfolge aktualisiere ich WordPress, Plugins und Theme?

Backup, dann Plugins einzeln, dann das Theme, große WordPress-Versionen zuletzt. In WooCommerce-Shops zuerst WooCommerce, dann Erweiterungen, Theme und Zahlungsanbieter.