WordPress-Wartung & Sicherheit: Was regelmäßig zu tun ist

Die Website läuft, also fasst sie niemand an. Ein Jahr später meldet der Hoster Schadcode, oder nach einem überfälligen Update ist das Layout zerschossen. Beides hat oft dieselbe Ursache: fehlende WordPress-Wartung.

Die gute Nachricht: WordPress-Wartung ist planbar. Regelmäßige Updates, getestete Backups, sichere Zugänge und ein Blick auf Fehler und Ladezeit decken den Großteil ab. Mit einem festen Rhythmus bleibt der Aufwand überschaubar.

Warum WordPress Wartung braucht

Anders als bei einem Baukasten betreibst du WordPress selbst, mit allen Vor- und Nachteilen. Den Unterschied beschreibt der Vergleich WordPress oder Wix, Jimdo & Co. genauer. Für die Sicherheit heißt das: Die Verantwortung liegt bei dir oder bei deiner Agentur.

Die offizielle WordPress-Dokumentation zur Absicherung hält fest, dass Sicherheitsprobleme selten an der Server-Infrastruktur liegen und meist an der Anwendung selbst, also an dem Bereich, für den du verantwortlich bist: WordPress, Plugins, Themes und ihre Einstellungen. Wird eine Lücke bekannt, sind die Details schnell öffentlich. Wer dann nicht aktualisiert, bleibt angreifbar. Wie die Wartung von Anfang an eingeplant wird, steht im Leitfaden Website erstellen lassen.

Updates: WordPress, Plugins, Themes und PHP

Kleinere Wartungs- und Sicherheitsupdates des WordPress-Kerns spielt WordPress standardmäßig automatisch ein. Plugins und Themes aktualisiert WordPress dagegen nur in Sonderfällen selbst, etwa wenn das Sicherheitsteam eine kritische Lücke schließen lässt. Den Rest erledigst du aktiv oder schaltest automatische Updates gezielt ein.

Für größere Updates hat sich diese Reihenfolge bewährt:

1. Backup erstellen.
2. Update auf einer Staging-Umgebung einspielen und die wichtigsten Seiten, Formulare und die Buchung testen.
3. Update auf der Live-Website durchführen.
4. Kurz nachkontrollieren, ob alles läuft, auch am Handy.

Auch die PHP-Version am Server gehört zur Wartung. WordPress empfiehlt derzeit PHP 8.3 oder neuer. Ältere Versionen wie PHP 7.4 laufen zwar noch, haben aber laut WordPress ihr offizielles Supportende erreicht und können die Website Sicherheitslücken aussetzen. Die Version stellst du meist im Kundenbereich deines Hosters um, am besten nach einem Test auf der Staging-Kopie.

Wenn ein Update schiefgeht

Bricht nach einem Update etwas, ist das Backup vom Vortag dein Sicherheitsnetz. Spiel es ein, statt unter Zeitdruck an der Live-Website herumzuprobieren. Danach suchst du auf der Staging-Kopie in Ruhe nach dem Auslöser, oft ein einzelnes Plugin, das mit der neuen Version nicht zusammenpasst. Notier dir, welches Update das Problem ausgelöst hat, und warte bei Bedarf auf eine Korrektur des Herstellers.

Weniger Plugins, bessere Plugins

Jedes Plugin ist zusätzlicher Code, der gepflegt werden muss. Installiere Erweiterungen nur aus dem offiziellen Verzeichnis oder von bekannten Anbietern, achte auf regelmäßige Updates und lösche, was du nicht brauchst. Für eine Sonderfunktion kann ein schlankes, eigenes Plugin wartungsärmer sein als drei zusammengesteckte. Wie so etwas aussieht, zeigt BigPlugins.

Backups nach der 3-2-1-Regel

Ein Backup ist nur so gut wie seine Wiederherstellung. Bewährt hat sich die 3-2-1-Regel, die auch die Plattform Onlinesicherheit.gv.at beschreibt: drei Sicherheitskopien auf zwei verschiedenen Speichermedien, eine davon an einem anderen, sicheren Ort.

• Datenbank und Dateien sichern, nicht nur eines von beiden.
• Mindestens eine Kopie außerhalb des Hosting-Servers aufbewahren.
• Vor jedem größeren Update und vor einem Website-Relaunch zusätzlich sichern.
• Mehrere Stände aufheben, damit auch ein älterer, sauberer Zustand verfügbar ist.
• Die Wiederherstellung regelmäßig testen, am besten auf der Staging-Umgebung.

Wie oft gesichert wird, hängt davon ab, wie oft sich etwas ändert. Eine Website mit täglichen Buchungen oder Bestellungen braucht tägliche Sicherungen, eine reine Informationsseite kommt mit weniger aus.

Sicherheit: Zugänge, Rollen und Login-Schutz

• Zwei-Faktor-Anmeldung: Die WordPress-Dokumentation empfiehlt eine zweistufige Anmeldung zusätzlich zum Passwort. Sie lässt sich per Plugin einrichten.
• Eigene Konten: Jede Person bekommt ein eigenes Konto, geteilte Zugänge gibt es nicht.
• Passende Rollen: Wer nur Texte pflegt, braucht die Rolle „Redakteur“ statt „Administrator“.
• Aufräumen: Konten ehemaliger Mitarbeiter:innen und Dienstleister löschen.
• Starke Passwörter: lang, einzigartig und am besten aus einem Passwort-Manager.
• Login-Schutz: Anmeldeversuche begrenzen und auffällige Zugriffe blockieren, über den Hoster oder ein Sicherheits-Plugin.
• Verschlüsselung: Die gesamte Website läuft über SSL/HTTPS, das WordPress als Voraussetzung nennt.

Monitoring und Ladezeit im Blick

Wartung heißt auch hinschauen. WordPress bringt dafür selbst ein Werkzeug mit: Unter „Werkzeuge“ und „Website-Zustand“ zeigt es kritische Probleme und Empfehlungen, etwa eine veraltete PHP-Version, nicht funktionierende Hintergrund-Updates oder fehlendes HTTPS. Ein einfacher Verfügbarkeitsmonitor meldet, wenn die Website nicht erreichbar ist. In der Google Search Console siehst du Indexierungsprobleme und Hinweise auf Sicherheitsprobleme, oft bevor Kund:innen etwas bemerken.

Für die Ladezeit misst Google die Core Web Vitals: LCP für das Laden des Hauptinhalts, INP für die Reaktion auf Eingaben und CLS für die Stabilität des Layouts. INP hat am 12. März 2024 den früheren Messwert FID abgelöst. Als gut gilt laut Google eine Reaktion unter 200 Millisekunden. Typische Bremsen bei WordPress sind schwere Page-Builder, viele Plugins mit eigenem JavaScript und unkomprimierte Bilder.

Der WordPress-Wartungsplan: wöchentlich, monatlich, jährlich

Für eine kleine Website mit wenigen Plugins sind das überschaubare Handgriffe. Wichtig ist, dass jemand klar dafür zuständig ist und es wirklich passiert, nicht nur, wenn gerade Zeit ist.

Fazit

WordPress-Wartung ist kein Großprojekt, sondern Routine: Updates mit Test, Backups mit Wiederherstellungsprobe, saubere Zugänge und ein regelmäßiger Blick auf Fehler und Ladezeit. Wer das einplant, hat eine sichere, schnelle Website und erspart sich teure Notfalleinsätze.

Wenn du die Wartung nicht selbst übernehmen willst, findest du unter BigWebsites, wie BigSolutions WordPress-Websites umsetzt. Welche Betreuung zu deiner Website passt, klären wir gern in einem Erstgespräch.