Am 31. Dezember 2026 endet der Sicherheitssupport für PHP 8.2. Laut den Statistiken von WordPress.org läuft Anfang Oktober 2026 noch etwa jede vierte WordPress-Website auf dieser Version, und mehr als ein Drittel nutzt PHP-Versionen, für die es gar keine Korrekturen mehr gibt. Kaum ein Betreiber hat sich bewusst dafür entschieden, oft hat schlicht niemand geprüft, welche Version auf dem Server läuft.
Genau dafür gibt es Wartung. In diesem Artikel erklären wir, was aus unserer Sicht mindestens dazugehört, wenn Sie eine WordPress-Website oder einen WooCommerce-Shop betreiben, warum ein Klick auf Alle aktualisieren nicht reicht und welche Fragen Sie vor einem Wartungsvertrag stellen sollten.
Warum ein Klick auf Aktualisieren noch keine Wartung ist
Der Patchstack-Bericht über 2025 zählt 11.334 neue Sicherheitslücken im WordPress-Umfeld, 42 % mehr als im Vorjahr. 91 % steckten in Plugins, 9 % in Themes und nur 6 im WordPress-Kern. Bei den am stärksten ausgenutzten Lücken vergingen im Median 5 Stunden bis zu massenhaften Angriffen.
Daraus folgen zwei Dinge. Das Risiko liegt in den installierten Plugins, deshalb zählt es mehr als jede Einstellung, wenige und gut gepflegte Plugins zu nutzen. Und eine Website, die nur aktualisiert wird, wenn jemand daran denkt, ist tage- oder wochenlang angreifbar. Laut demselben Bericht gab es für 46 % der Lücken bei ihrer Veröffentlichung noch keine Korrektur. Dann lässt sich nichts aktualisieren, und es hilft nur, das Plugin zu entfernen oder den Angriff mit einer Firewall-Regel abzufangen.
Blindes Aktualisieren hat eigene Risiken. Ein WooCommerce-Update, das die Checkout-Vorlagen ändert, ein Page Builder, der das Layout zerlegt, ein Zahlungs-Plugin, das plötzlich eine neuere PHP-Version verlangt: Jedes davon kann einen Shop lahmlegen, der vollständig aktuell war. Wartung heißt, oft zu aktualisieren und danach zu prüfen, ob alles noch funktioniert.
Was eine monatliche Wartung enthalten sollte
Das ist aus unserer Sicht das Minimum. Wie oft was passiert, hängt von der Website ab: Eine Firmenwebsite mit Kontaktformular braucht weniger Aufmerksamkeit als ein Shop, der täglich Bestellungen bekommt.
1. Updates zuerst auf einer Kopie testen
Updates für Kern, Plugins und Theme kommen zuerst auf eine Staging-Kopie, einen privaten Klon der Website. Dort prüfen wir die Seiten, die Umsatz oder Anfragen bringen: Startseite, ein Produkt, Warenkorb, Checkout mit Testzahlung und Kontaktformular. Erst danach gehen die Updates auf die Live-Seite, mit einer Sicherung, die wenige Minuten vorher entsteht. Ein Sicherheitsupdate für eine Lücke, die bereits angegriffen wird, wartet nicht und wird noch am selben Tag eingespielt.
WordPress kann Plugins und Themes automatisch aktualisieren. Wir nutzen das für kleine Plugins mit geringem Risiko und aktualisieren WooCommerce, den Page Builder und Zahlungs-Plugins von Hand, nach einem Test.
2. Sicherungen, die schon einmal zurückgespielt wurden
Ob eine Sicherung funktioniert, weiß man erst, wenn sie mindestens einmal zurückgespielt wurde. Dateien und Datenbank sollten täglich gesichert und außerhalb des Servers gespeichert werden, auf dem die Website läuft, wie es auch die WordPress-Dokumentation zu Backups empfiehlt. So nimmt ein Serverausfall oder ein kompromittiertes Konto die Kopien nicht mit. Im Shop verdient die Datenbank häufigere Sicherungen, weil den ganzen Tag Bestellungen eingehen.
Alle paar Monate sollte eine Sicherung in eine Testumgebung zurückgespielt werden, um zu prüfen, ob die Website startet und die letzten Bestellungen da sind. Fragen Sie Ihren Dienstleister, wo die Sicherungen liegen, wie viele Tage Sie zurückgehen können und wann zuletzt eine Wiederherstellung getestet wurde. Lautet die Antwort auf die letzte Frage nie, ist das der erste Punkt, der behoben werden muss.
3. PHP- und Serverversionen
PHP ist die Sprache, in der WordPress läuft, und jede Version bekommt nur für eine begrenzte Zeit Sicherheitskorrekturen. WordPress empfiehlt PHP 8.3 oder neuer. Das sind die Enddaten, die das PHP-Projekt veröffentlicht:
- PHP 8.1 und älter: keine Sicherheitskorrekturen mehr seit dem 31. Dezember 2025.
- PHP 8.2: Sicherheitskorrekturen bis zum 31. Dezember 2026.
- PHP 8.3: bis zum 31. Dezember 2027.
- PHP 8.4: bis zum 31. Dezember 2028.
- PHP 8.5: bis zum 31. Dezember 2029.
Der Wechsel auf eine neuere PHP-Version ist meist ein Nachmittag auf der Staging-Kopie: Version umstellen, die Website durchklicken, das Fehlerprotokoll lesen und die Plugins aktualisieren oder ersetzen, die Probleme machen. Jetzt geplant ist das ein ruhiger Nachmittag, in der letzten Dezemberwoche ein Notfall. Manche Hoster und Linux-Distributionen versorgen ältere Versionen selbst weiter mit Korrekturen, fragen Sie also bei Ihrem nach. Wenn nicht, läuft eine Website mit PHP 8.1 oder älter bereits ohne Sicherheitskorrekturen, und eine mit 8.2 sollte noch vor Jahresende umziehen.
4. Sicherheit über Updates hinaus
- Benutzerkonten prüfen: keine geteilten Zugänge, keine ehemaligen Mitarbeiter oder Agenturen mit Administratorrechten und Zwei-Faktor-Authentifizierung für jeden Administrator.
- Inaktive oder von ihren Autoren aufgegebene Plugins und Themes löschen. Deaktivieren reicht nicht, weil die Dateien auf dem Server bleiben.
- Eine Web Application Firewall (WAF), die bekannte Angriffe blockiert und die Lücke überbrückt, solange es noch keine Korrektur gibt.
- Nach veränderten Kerndateien und unerwarteten PHP-Dateien im Upload-Ordner suchen, einem beliebten Versteck für eingeschleusten Code.
5. Überwachung
Die Website sollte alle paar Minuten von außen geprüft werden, damit ein Ausfall auffällt, bevor ein Kunde anruft. Dasselbe gilt für das Ablaufdatum des SSL-Zertifikats und der Domain. Schicken Sie ab und zu eine Testanfrage über das Kontaktformular und lösen Sie eine Testbestellung aus: Ein Formular, das unbemerkt keine E-Mails mehr verschickt, gehört zu den teuersten Fehlern und zu denen, die man am schwersten bemerkt.
6. Ladezeit und ein kurzer Monatsbericht
Einmal im Monat gehören auf den Prüfstand: die mobile Ladezeit mit PageSpeed Insights, dazu die Größe der Datenbank und die langsamsten Seiten. Danach ein kurzer Bericht: was aktualisiert wurde, was blockiert wurde, wie sich die Ladezeit verändert hat und was wir für den nächsten Monat empfehlen. Er sollte in zwei Minuten zu lesen sein, sonst bleibt er ungelesen.
Was Wartung nicht abdeckt
Wartung hält eine Website sicher und funktionsfähig. Neue Funktionen, Redesigns, neue Seiten oder Inhaltsänderungen gehören nicht dazu, und das sollte schriftlich im Vertrag stehen. Pakete mit unbegrenzten Änderungen enden meist so, dass entweder die Änderungen spät kommen oder die Wartung schlecht gemacht wird. Wir setzen auf einen klaren monatlichen Umfang und für alles andere auf ein eigenes Angebot oder ein kleines Stundenkontingent.
Selbst machen: eine monatliche Checkliste
Wenn Sie die Website selbst betreuen, ist das aus unserer Sicht das monatliche Minimum:
- Erstellen Sie eine vollständige Sicherung und legen Sie eine Kopie außerhalb des Servers ab.
- Öffnen Sie im WordPress-Dashboard Werkzeuge, Website-Zustand. Dort sehen Sie Warnungen zu einer veralteten PHP-Version und andere Probleme.
- Aktualisieren Sie auf einer Staging-Kopie, wenn Ihr Hoster eine anbietet. Wenn nicht, aktualisieren Sie ein Plugin nach dem anderen und prüfen Sie nach jedem Startseite, Warenkorb und Kontaktformular.
- Löschen Sie Plugins und Themes, die Sie nicht nutzen.
- Prüfen Sie die Benutzerliste und entfernen Sie alle, die keinen Zugang mehr brauchen.
- Schicken Sie über jedes Formular der Website eine Testnachricht.
- Notieren Sie die PHP-Version und das Datum der letzten Sicherung, die Sie zurückgespielt haben.
Wenn ein Schritt Sie mehr als eine Stunde kostet oder Sie einen laufenden Shop lieber nicht selbst anfassen, lohnt es sich, das abzugeben.
Wie Sie Wartungsangebote vergleichen
Die Preise unterscheiden sich stark, und die günstigsten Pakete umfassen oft kaum mehr als automatische Updates. Stellen Sie vor der Unterschrift diese Fragen:
- Wo liegen die Sicherungen, wie lange werden sie aufbewahrt und wann wurde zuletzt eine Wiederherstellung getestet?
- Werden Updates auf einer Kopie getestet, bevor sie live gehen?
- Was passiert, wenn ein Update etwas kaputt macht, und wie schnell reagieren Sie?
- Wer stellt die PHP-Version um und wann?
- Was ist monatlich enthalten und wie werden andere Änderungen abgerechnet?
Ein Anbieter, der das ordentlich macht, antwortet konkret: wo die Kopien liegen, wie viele Tage sie abdecken und wann zuletzt getestet wurde.
Wartung gehört zu unserer Arbeit an WordPress-Websites und WooCommerce-Shops, zusammen mit der Optimierung von Ladezeit und Performance.
Unsicher, wie Ihre Website heute gewartet wird?
Schicken Sie uns die Adresse Ihrer Website und erzählen Sie uns, wie sie derzeit betreut wird. Wir sagen Ihnen, was fehlt und was eine Wartung für Ihre Website umfassen würde.