WordPress sicher betreiben: Wartungsroutine für KMU
Kurz gesagt: Die meisten Probleme mit WordPress entstehen nicht im Kern, sondern durch veraltete Plugins, Themes und PHP-Versionen. Eine feste Routine hilft: wöchentlich Updates und Backup-Kontrolle, monatlich Plugin-Bestand und Benutzerkonten prüfen, jährlich eine Wiederherstellung testen und die Server-Umgebung aktualisieren. Akut für 2026: PHP 8.2 erhält laut php.net nur noch bis 31. Dezember 2026 Sicherheitsupdates; WordPress empfiehlt PHP 8.3 oder neuer. Verantwortlich für die Sicherheit der Daten auf Ihrer Website bleiben Sie als Betreiber, auch wenn eine Agentur die Wartung übernimmt.
WordPress ist für viele kleine Betriebe die naheliegende Wahl: verbreitet, flexibel, viele Dienstleister. Die Kehrseite ist, dass eine einmal gebaute Seite ohne Pflege mit jedem Monat angreifbarer wird. Dieser Beitrag beschreibt eine Routine, die sich ohne IT-Abteilung durchhalten lässt, und die Punkte, die in einen Wartungsvertrag gehören.
Woher die Risiken kommen
- Plugins und Themes: Jede Erweiterung ist Code eines Dritten. Je mehr davon installiert ist, desto größer die Angriffsfläche, besonders bei Plugins, die nicht mehr weiterentwickelt werden.
- Veraltete PHP-Version: WordPress läuft laut eigener Angabe auch auf älteren Versionen ab PHP 7.4, weist aber darauf hin, dass diese ihr offizielles Lebensende erreicht haben und die Website Sicherheitslücken aussetzen können.
- Schwache Zugänge: Gemeinsam genutzte Admin-Konten, alte Konten ausgeschiedener Mitarbeiter, keine Zwei-Faktor-Anmeldung.
- Fehlende oder ungetestete Backups: Das BSI weist im Maßnahmenkatalog Ransomware darauf hin, dass Angreifer gezielt nach Backups suchen und diese mitverschlüsseln. Es empfiehlt, mindestens eine Kopie offline zu sichern und die Wiederherstellung regelmäßig zu üben.
PHP-Fristen im Blick
Laut php.net (Stand November 2026):
| PHP-Version | Sicherheitsupdates bis |
|---|---|
| 8.2 | 31.12.2026 |
| 8.3 | 31.12.2027 |
| 8.4 | 31.12.2028 |
| 8.5 | 31.12.2029 |
Läuft Ihre Website noch auf 8.2 oder älter, planen Sie den Wechsel jetzt. WordPress selbst empfiehlt PHP 8.3 oder neuer sowie MariaDB 10.11 oder MySQL 8.0 und HTTPS. Testen Sie den Wechsel in einer Staging-Umgebung, weil ältere Plugins mit neuen PHP-Versionen Fehler werfen können.
Die Routine
Wöchentlich (15 bis 30 Minuten)
- Updates für Kern, Plugins und Themes prüfen und einspielen, Sicherheitsupdates sofort. Das BSI empfiehlt für extern erreichbare Systeme, veröffentlichte Updates und Patches schnellstmöglich einzuspielen.
- Vorher prüfen, ob das letzte automatische Backup erfolgreich war.
- Nach dem Update die wichtigsten Seiten aufrufen: Startseite, Kontaktformular, gegebenenfalls Shop-Checkout.
- Kontaktformular einmal absenden und prüfen, ob die Nachricht ankommt.
Monatlich (1 bis 2 Stunden)
- Plugin-Inventur: Jedes Plugin, das Sie nicht mehr brauchen, deaktivieren und löschen. Plugins, die seit langer Zeit kein Update bekommen haben, durch gepflegte Alternativen ersetzen.
- Benutzerkonten: Alte Konten löschen, Rollen prüfen, nur so viele Administratoren wie nötig. Zwei-Faktor-Anmeldung für alle Konten mit Schreibrechten.
- Backup-Ziel kontrollieren: Liegen Kopien außerhalb des Webservers? Gibt es eine Kopie, die vom Server aus nicht verändert oder gelöscht werden kann?
- Sicherheitsmeldungen: Prüfen, ob für installierte Plugins Schwachstellen gemeldet wurden.
Jährlich (halber Tag)
- Wiederherstellung testen: Ein Backup auf einer Testumgebung einspielen und prüfen, ob die Seite vollständig läuft. Ein Backup, das nie getestet wurde, ist eine Hoffnung. Wie ein Notfallplan für den Ernstfall aussieht, beschreibt der Beitrag Website-Backup und Notfallplan.
- Server-Umgebung: PHP- und Datenbankversion mit den Empfehlungen abgleichen.
- Theme prüfen: Wird es noch gepflegt? Ist ein Wechsel absehbar nötig?
- Zugänge beim Hoster, Domain und DNS: Wer hat Zugriff? Sind die Kontaktdaten aktuell, damit Ablaufwarnungen ankommen?
- Datenschutzerklärung mit den tatsächlich eingesetzten Plugins abgleichen.
Wer haftet, wenn etwas passiert?
Nach Art. 32 DSGVO müssen Verantwortliche und Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen treffen, die dem Stand der Technik und dem Risiko entsprechen. Dazu zählt ausdrücklich die Fähigkeit, Daten nach einem Zwischenfall rasch wiederherzustellen, und ein Verfahren zur regelmäßigen Überprüfung der Maßnahmen. Wenn über Ihre Website personenbezogene Daten verarbeitet werden, etwa über Formulare, Kundenkonten oder Bestellungen, sind Sie als Betreiber Verantwortlicher. Eine Agentur, die wartet, verarbeitet im Auftrag; die Verantwortung gegenüber Ihren Kunden bleibt bei Ihnen. Umso wichtiger ist, dass der Vertrag klar regelt, wer was tut.
Was in einen Wartungsvertrag gehört
- Welche Updates wie oft eingespielt werden und wie schnell bei Sicherheitslücken reagiert wird.
- Wo Backups liegen, wie lange sie aufbewahrt werden und wie oft eine Wiederherstellung getestet wird.
- Wer bei einem Angriff was tut und wie schnell erreichbar ist.
- Ob PHP-Wechsel und Ersatz veralteter Plugins enthalten sind oder extra berechnet werden.
- Einen Auftragsverarbeitungsvertrag, wenn der Dienstleister Zugriff auf personenbezogene Daten hat.
- Was am Vertragsende übergeben wird: Zugänge, Backups, Dokumentation.
Häufige Fragen
Soll ich automatische Updates einschalten?
Für Sicherheits- und Nebenversionen des Kerns und für gut gepflegte Plugins ist das oft sinnvoll. Bei großen Plugins wie Shop- oder Page-Builder-Erweiterungen ist ein kontrolliertes Update mit vorherigem Backup sicherer.
Reicht das Backup meines Hosters?
Es ist ein guter Anfang, liegt aber oft im selben System wie die Website. Eine zusätzliche Kopie außerhalb, die vom Server aus nicht gelöscht werden kann, schützt besser.
Wie viele Plugins sind zu viele?
Eine feste Zahl gibt es nicht. Entscheidend ist, ob jedes Plugin gebraucht wird, gepflegt ist und von einem vertrauenswürdigen Anbieter stammt.
Lohnt sich bei einer kleinen Seite überhaupt so viel Aufwand?
Eine gehackte Website kann Spam versenden, Besucher auf Schadseiten umleiten oder Formulardaten abgreifen. Der Aufwand für die Routine ist meist kleiner als der für die Bereinigung danach.
Wenn Sie die Routine nicht selbst übernehmen möchten oder Ihre Seite auf eine aktuelle PHP-Version umgestellt werden muss, schreiben Sie mir über die Anfrageseite.