Deine Firmenwebsite läuft auf WordPress, aber seit Monaten hat sich niemand um Updates gekümmert? Vielleicht gibt es den Webdesigner von damals nicht mehr, oder Wartung war nie vereinbart. Diese Seite zeigt dir, wie groß das Risiko wirklich ist und was du tun kannst. Die kurze Antwort: Das Problem sind vor allem Plugins. Laut Patchstack wurden 2025 über 11.000 neue Sicherheitslücken im WordPress-Ökosystem gefunden, 91 % davon in Plugins. Laut demselben Bericht wird rund die Hälfte der schweren Lücken innerhalb eines Tages ausgenutzt. Dazu kommt die DSGVO: Sobald deine Website ein Kontaktformular hat, musst du für angemessene Sicherheit sorgen und eine Datenpanne binnen 72 Stunden melden. Du erfährst hier, wie du den Update-Stand in fünf Minuten selbst prüfst, welche drei Optionen du hast, nämlich selbst warten, Wartungsvertrag oder Umstieg auf eine schlankere Website, und in welcher Reihenfolge du vorgehst. Alle Zahlen stammen aus dem aktuellen Patchstack-Bericht, der Dokumentation von WordPress.org und den Seiten der Datenschutzbehörde.
WordPress-Website ohne Wartung: was jetzt zu tun ist
Warum fehlende Updates das Hauptrisiko sind
WordPress selbst ist selten das Problem. Laut dem Bericht „State of WordPress Security in 2026“ von Patchstack wurden 2025 insgesamt 11.334 neue Sicherheitslücken im WordPress-Ökosystem gefunden, 42 % mehr als im Jahr davor. 91 % davon lagen in Plugins, 9 % in Themes. Im WordPress-Kern wurden nur 6 Lücken gemeldet.
Das heißt: Jedes Plugin, das du installiert hast, ist ein eigenes Stück Software mit eigenen Fehlern. Kontaktformular, Slider, Cookie-Banner, Page-Builder, jedes davon braucht Updates. WordPress.org schreibt dazu, dass Plugins tiefen Zugriff auf deine Website haben und deshalb unbedingt aktuell sein müssen.
Dazu kommt das Tempo. Patchstack hat ausgewertet, dass rund die Hälfte der schwerwiegenden Lücken innerhalb von 24 Stunden nach Bekanntwerden angegriffen wird. Wer nur alle paar Monate einmal einloggt, ist also fast immer zu spät. Und 46 % der Lücken hatten bei der Veröffentlichung noch gar keinen Patch des Entwicklers. Ein Plugin, das nicht mehr gepflegt wird, bekommt nie einen.
Was die DSGVO von dir verlangt
Sobald deine Website personenbezogene Daten verarbeitet, bist du Verantwortlicher im Sinne der DSGVO. Das betrifft schon ein Kontaktformular, eine Terminbuchung oder Kommentare. Nach Art. 32 DSGVO musst du geeignete technische und organisatorische Maßnahmen treffen, die ein dem Risiko angemessenes Schutzniveau gewährleisten. Die Datenschutzbehörde beschreibt das als risikobasierten Ansatz, bei dem auch der Stand der Technik zählt.
Software mit bekannten, längst behobenen Lücken weiterlaufen zu lassen, passt schwer zu diesem Anspruch. Ob im Einzelfall ein Verstoß vorliegt, entscheidet die Behörde. Fest steht aber die Folgepflicht: Kommt es zu einer Verletzung des Schutzes personenbezogener Daten, musst du sie nach Art. 33 DSGVO unverzüglich und möglichst binnen 72 Stunden der Datenschutzbehörde melden, außer die Panne führt voraussichtlich zu keinem Risiko für die Betroffenen.
Nach dem Grundsatz der Rechenschaftspflicht musst du im Streitfall nachweisen können, dass du die Pflichten eingehalten hast. Ein einfaches Update-Protokoll hilft dabei.
So prüfst du den Update-Stand in fünf Minuten
Melde dich im WordPress-Backend an. Ein roter Zähler neben „Dashboard > Aktualisierungen“ und „Plugins“ zeigt offene Updates. Unter „Werkzeuge > Website-Zustand“ prüft WordPress selbst, ob kritische Probleme vorliegen, etwa wartende Plugin-Updates, eine veraltete PHP-Version oder nicht funktionierende Hintergrund-Updates. Im Reiter „Info“ siehst du die WordPress-Version, aktive und inaktive Plugins und Themes und ob automatische Updates aktiv sind.
- WordPress-Version: Laut WordPress.org wird offiziell nur die neueste Version unterstützt.
- Plugins: Gibt es Updates? Wann war das letzte Update des Plugins im Plugin-Verzeichnis?
- Inaktive Plugins und Themes: WordPress empfiehlt, nicht genutzte Themes zu entfernen. Das gilt sinngemäß auch für Plugins.
- PHP-Version: Laut php.net sind PHP 8.0 und 8.1 am Ende ihres Lebenszyklus, PHP 8.2 bekommt nur noch bis 31.12.2026 Sicherheitsupdates.
- Backups: Gibt es eine automatische Sicherung, und hast du schon einmal eine Wiederherstellung getestet?
Deine drei Optionen
Welche Option passt, hängt davon ab, wie viel Zeit du hast und was deine Website können muss.
| Option | Was du tun musst | Passt, wenn |
|---|---|---|
| Selbst warten | Mindestens wöchentlich einloggen, Backup, Updates einspielen, Website testen, Website-Zustand prüfen | du technisch sicher bist und die Zeit fix einplanst |
| Wartungsvertrag | Vertrag mit klaren Leistungen: Update-Rhythmus, Backups, Reaktionszeit bei Problemen, Bericht | die Website viele Plugins oder einen Shop hat und du WordPress behalten willst |
| Migrieren | Inhalte sichern, neue, schlankere Website bauen lassen, Domain umstellen, Weiterleitungen setzen | die Website alt ist, du die meisten Plugins nicht brauchst und Wartung nicht mehr bezahlen willst |
Automatische Updates: Hilfe, aber kein Ersatz
Seit WordPress 5.5 kannst du automatische Updates für jedes Plugin und jedes Theme einzeln einschalten. WordPress führt sie standardmäßig zweimal täglich aus und schickt dir eine E-Mail, wenn ein Update geklappt hat oder fehlgeschlagen ist.
WordPress.org empfiehlt, vorher regelmäßige automatische Backups einzurichten, damit du zurückkehren kannst, falls ein Update etwas kaputt macht. Automatische Updates helfen außerdem nicht bei Plugins, die nicht mehr weiterentwickelt werden, bei Kauf-Plugins ohne gültige Lizenz und bei einer veralteten PHP-Version am Server. Die Updates laufen über WordPress-Cron. Ob das funktioniert, zeigt dir der Website-Zustand.
Schritt für Schritt
- Zugang klären
Stell sicher, dass du selbst einen Administrator-Zugang zu WordPress und zum Hosting hast. Ohne eigenen Zugang kannst du weder prüfen noch wechseln.
- Backup machen
Sichere Dateien und Datenbank, bevor du etwas änderst. Viele Hoster bieten das im Kundenbereich an, sonst hilft ein Backup-Plugin. Speichere eine Kopie außerhalb des Servers.
- Website-Zustand prüfen
Öffne „Werkzeuge > Website-Zustand“ und notiere alle kritischen Probleme, die WordPress-Version, die PHP-Version und die Liste der Plugins.
- Ballast entfernen
Lösche inaktive Plugins und Themes, die du nicht brauchst. Jedes entfernte Plugin ist eine Fehlerquelle weniger.
- Updates einspielen und testen
Aktualisiere WordPress, Plugins und Themes. Teste danach Startseite, Kontaktformular und alle wichtigen Funktionen. Bei einem Shop: eine Testbestellung.
- Veraltete Plugins ersetzen
Prüf im Plugin-Verzeichnis, wann ein Plugin zuletzt aktualisiert wurde. Wird es nicht mehr gepflegt, ersetze es oder verzichte auf die Funktion.
- Entscheiden: warten oder wechseln
Rechne ehrlich: Wie viel Zeit kostet dich die Wartung im Monat? Vergleiche das mit einem Wartungsvertrag und mit einer neuen, schlankeren Website.
- Notfallplan festhalten
Schreib auf, wer bei einem Angriff zuständig ist, wo die Backups liegen und wie du die Datenschutzbehörde binnen 72 Stunden erreichst.
Typische Fehler
- Updates aufschieben, weil die Website „eh läuft“. Laut Patchstack werden viele schwere Lücken innerhalb eines Tages nach Bekanntwerden ausgenutzt.
- Inaktive Plugins installiert lassen. Auch deaktivierter Code liegt auf dem Server.
- Kauf-Plugins oder Premium-Themes ohne gültige Lizenz nutzen. Dann kommen oft keine Updates mehr.
- Updates ohne Backup einspielen und bei einem Fehler keinen Weg zurück haben.
- Die PHP-Version am Server vergessen. Auch sie bekommt nur eine begrenzte Zeit Sicherheitsupdates.
- Annehmen, dass der Webdesigner von damals sich automatisch um Updates kümmert, ohne dass es einen Wartungsvertrag gibt.
So macht's Weblux
In jedem Weblux-Paket sind Hosting, Updates und Sicherheit enthalten. Du musst dich also nicht selbst um Updates kümmern. Wenn du von einer alten WordPress-Website wechselst, übernehmen wir deine bestehenden Inhalte in die neue Website.
Häufige Fragen
Wie gefährlich ist eine WordPress-Website ohne Updates?
Laut Patchstack wurden 2025 11.334 neue Lücken im WordPress-Ökosystem bekannt, 91 % in Plugins. Rund die Hälfte der schweren Lücken wird binnen 24 Stunden nach Bekanntwerden ausgenutzt. Angreifer suchen automatisiert nach Websites mit bekannten Schwachstellen, die Größe deines Betriebs spielt dabei keine Rolle. Je länger keine Updates kommen, desto mehr bekannte Lücken sammeln sich an.
Wie sehe ich, ob meine WordPress-Website aktuell ist?
Melde dich im Backend an und öffne „Werkzeuge > Website-Zustand“. WordPress zeigt dort kritische Probleme an, etwa wartende Plugin-Updates oder eine veraltete PHP-Version. Unter „Info“ findest du die WordPress-Version, alle Plugins und Themes und ob automatische Updates aktiv sind. Offene Updates siehst du auch unter „Dashboard > Aktualisierungen“.
Reichen automatische Updates?
Sie helfen, ersetzen aber keine Wartung. Seit WordPress 5.5 kannst du sie für jedes Plugin und Theme einschalten, WordPress führt sie zweimal täglich aus. Sie helfen aber nicht bei Plugins, die nicht mehr weiterentwickelt werden, bei Kauf-Plugins ohne Lizenz oder einer veralteten PHP-Version. WordPress.org empfiehlt außerdem, vorher automatische Backups einzurichten.
Hafte ich nach der DSGVO, wenn meine Website gehackt wird?
Art. 32 DSGVO verpflichtet dich als Verantwortlichen zu technischen und organisatorischen Maßnahmen, die dem Risiko angemessen sind und den Stand der Technik berücksichtigen. Wird eine Lücke ausgenutzt und sind personenbezogene Daten betroffen, musst du das nach Art. 33 DSGVO binnen 72 Stunden der Datenschutzbehörde melden. Ob ein Verstoß vorliegt, beurteilt die Behörde im Einzelfall.
Welche PHP-Version brauche ich?
Laut php.net sind PHP 8.0 und 8.1 am Ende ihres Lebenszyklus und bekommen keine Sicherheitsupdates mehr. PHP 8.2 erhält Sicherheitsupdates nur noch bis 31.12.2026. Die PHP-Version stellst du meist im Kundenbereich deines Hosters um. Mach vorher ein Backup und prüf, ob Theme und Plugins mit der neuen Version funktionieren.
Wann lohnt sich ein Umstieg statt Wartung?
Wenn deine Website viele Plugins für Funktionen nutzt, die du kaum brauchst, wenn Theme oder Plugins nicht mehr gepflegt werden oder wenn die Wartung mehr Zeit kostet, als dir die Website bringt. Eine schlankere Website mit weniger beweglichen Teilen braucht weniger Updates. Sichere vor dem Umstieg alle Inhalte und setze Weiterleitungen für alte Adressen.
Kostenlosen Entwurf für deinen Betrieb anfragen
Unverbindlich, kein Termin nötig. Du schickst mir ein paar Infos, ich baue dir den ersten Entwurf.
Jetzt unverbindlich anfragenQuellen
- Patchstack: State of WordPress Security in 2026 (Whitepaper) (abgerufen am 14. Oktober 2026)
- WordPress.org: Site Health screen (abgerufen am 14. Oktober 2026)
- WordPress.org: Plugin and themes auto-updates (abgerufen am 14. Oktober 2026)
- WordPress.org: Security (abgerufen am 14. Oktober 2026)
- php.net: Supported Versions (abgerufen am 14. Oktober 2026)
- Datenschutzbehörde: Pflichten als Verantwortliche:r (Art. 32 und 33 DSGVO) (abgerufen am 14. Oktober 2026)
- Datenschutzbehörde: Meldung Data Breach (abgerufen am 14. Oktober 2026)
Zuletzt geprüft am 14. Oktober 2026.