WordPress · Betreuung

Was passiert, wenn WordPress-Updates liegen bleiben?

Eine Website, die seit Monaten keine Updates bekommen hat, sieht meistens völlig normal aus. Sie lädt, das Kontaktformular funktioniert, niemand beschwert sich. Genau deshalb bleibt das Thema liegen.

Was in dieser Zeit im Hintergrund passiert, hat mit dem, was Sie auf der Seite sehen, wenig zu tun. Hier steht, was in der Zwischenzeit wirklich vorgeht und warum die Sache mit jedem Monat teurer wird, den man sie liegen lässt.

Kurz gefasst

Ein ausgelassenes Update hat zuerst keine sichtbare Folge. Genau deshalb bleibt das Thema liegen, bis aus zwei Wochen zwei Jahre werden.
Mit dem Update wird die Sicherheitslücke öffentlich bekannt. Danach suchen automatisierte Scanner nach Websites, die noch die verwundbare Version tragen. Es sucht sich niemand Ihre Website aus.
Der zweite Fall kommt ohne Angriff aus: Wer sehr lange nicht aktualisiert, kann irgendwann nicht mehr gefahrlos aktualisieren. Aus einer Routineaufgabe wird ein Projekt mit Testumgebung und Nacharbeit.
Ein Backup allein reicht nicht, weil ein Einbruch meist erst Wochen später auffällt und die Sicherungen den bereits kompromittierten Stand mitsichern.

Zuerst passiert gar nichts

Das ist der wichtigste Punkt und zugleich der Grund, warum so viele Websites veraltet sind: Ein ausgelassenes Update hat keine sichtbare Folge. Die Seite wird nicht langsamer, das Design bleibt, wie es war. Im Backend steht eine rote Zahl, sonst nichts.

Ohne Rückmeldung gibt es keinen Anlass zu handeln. So werden aus zwei Wochen sechs Monate und aus sechs Monaten zwei Jahre. Das fühlt sich stabil an, weil nichts kaputtgeht. Kaputt geht später etwas anderes.

Was ein Sicherheitsupdate tatsächlich bedeutet

An dieser Stelle liegen fast alle falsch, die mich danach fragen. Der Ablauf ist ungefähr umgekehrt zu dem, was man erwartet.

Wenn in einem Plugin eine Sicherheitslücke gefunden wird, veröffentlicht der Entwickler ein Update. Dazu gehört fast immer eine Beschreibung, welche Lücke geschlossen wurde. Das muss so sein, sonst könnte niemand einschätzen, wie dringend das Update ist.

Im selben Moment ist die Lücke öffentlich bekannt. Und zwar für alle. Ab da liegt offen, welches Plugin betroffen ist, welche Versionen verwundbar sind und wie sich die Lücke ausnutzen lässt.

Was danach folgt, läuft automatisiert ab. Es gibt Programme, die das Internet systematisch durchgehen und bei jeder Website prüfen, welche Plugins in welcher Version installiert sind. Diese Information steht häufig offen im Quelltext der Seite. Findet so ein Scanner eine Version, die vor dem Update liegt, wird der Angriff ausgeführt.

„Wir sind zu klein, um interessant zu sein“

Und hier liegt der Denkfehler: Es sucht sich niemand Ihre Website aus. Ihr Unternehmen, Ihre Branche, Ihre Umsätze, das interessiert niemanden. Ein Programm arbeitet eine Liste ab, und Ihre Seite steht darauf, weil sie eine bestimmte Versionsnummer trägt. „Wir sind zu klein, um interessant zu sein“ ist deshalb kein Schutz, sondern ein Missverständnis. Für ein Skript gibt es kein zu klein.

Die typische Reihenfolge, wenn es schiefgeht

Der Ablauf ist in den meisten Fällen derselbe:

Ein oder mehrere Plugins sind seit Monaten veraltet.
Für eines davon ist eine Lücke öffentlich bekannt.
Ein automatisierter Scanner findet die Seite und nutzt die Lücke aus.
Fremder Code landet auf dem Server, meist gut versteckt in bestehenden Dateien.

Ab diesem Punkt wird es sichtbar, aber selten sofort. Häufige Folgen:

Weiterleitungen auf fremde Seiten. Oft nur vom Handy aus oder nur, wenn Besucher über Google kommen. Wer die Adresse direkt eintippt, sieht nichts davon. Deshalb fällt es ausgerechnet dem Betreiber am längsten nicht auf.
Spam-Versand über den Server. Ihre Domain landet auf Sperrlisten, und danach kommen auch Ihre ganz normalen geschäftlichen E-Mails bei Empfängern nicht mehr an.
Eine Warnung im Browser, die noch vor der Seite erscheint.
Rauswurf aus dem Google-Index oder eine entsprechende Markierung in den Suchergebnissen.
Sperrung durch den Hoster. Wenn von einem Server Schadverhalten ausgeht, wird er abgeschaltet. Das ist aus Sicht des Hosters richtig und passiert meist ohne Vorwarnung.

Die Bereinigung danach kostet ein Vielfaches der Zeit, die die Updates gekostet hätten.

Der zweite Fall: es wird gar nicht angegriffen

Dieser Fall wird selten besprochen, tritt aber häufiger ein. Wer sehr lange nicht aktualisiert, kann irgendwann nicht mehr gefahrlos aktualisieren.

Zwischen der installierten und der aktuellen Version liegen dann mehrere große Sprünge. In dieser Zeit ändert sich einiges:

Die PHP-Version auf dem Server wird vom Hoster angehoben. Alter Code läuft darauf nicht mehr.
Plugins ändern ihre Struktur, ihre Einstellungen oder ihr Lizenzmodell.
Einzelne Plugins werden gar nicht mehr weiterentwickelt. Für die Funktion muss dann ein Ersatz gefunden und eingerichtet werden.
Das Theme passt nicht mehr zur aktuellen WordPress-Version, besonders dann, wenn daran Anpassungen vorgenommen wurden.

Wer in dieser Lage einfach auf „alle aktualisieren“ klickt, bekommt im besten Fall ein verschobenes Layout und im schlechteren eine weiße Seite. Aus einer Routineaufgabe von wenigen Minuten wird ein Projekt mit Testumgebung, Prüfung und Nacharbeit. Nicht wegen der Updates selbst, sondern wegen der Zeit, die dazwischen liegt.

Warum ein Backup allein nicht reicht

Ein Backup ist wichtig, löst dieses Problem aber nur zum Teil. Es beantwortet die Frage, auf welchen Stand Sie zurück können. Es beantwortet nicht die Frage, auf welchen Stand Sie zurück wollen.

Ein Einbruch wird meistens erst Wochen später bemerkt. Eingeschleuster Code arbeitet still, denn er nützt nur so lange, wie er unentdeckt bleibt. In dieser Zeit läuft die Sicherung weiter und sichert den bereits kompromittierten Stand mit. Wenn es auffällt, sind womöglich alle vorhandenen Sicherungen betroffen.

Zu einem Backup gehört deshalb die Frage, seit wann etwas nicht stimmt. Ohne regelmäßige Kontrolle lässt sich das hinterher kaum noch feststellen, und dann ist die Sicherung ein Stapel Dateien, aus dem niemand mit Sicherheit den richtigen greifen kann.

Wenn Sie es selbst machen wollen

Das ist ohne Weiteres machbar, solange es regelmäßig passiert. Vier Punkte machen dabei den Unterschied:

Vorher ein Backup. Datenbank und Dateien, und zwar so, dass Sie es auch wirklich zurückspielen können. Ein Backup, das noch nie getestet wurde, ist bislang nur eine Annahme.
Nicht alles auf einmal. In kleinen Gruppen aktualisieren und dazwischen die Seite ansehen. Wenn etwas nicht mehr funktioniert, wissen Sie sofort, wodurch.
Danach prüfen. Startseite, die wichtigsten Unterseiten und vor allem das Kontaktformular. Formulare fallen bei Updates am häufigsten aus, und der Ausfall ist unsichtbar: Die Seite sieht normal aus, die Nachrichten kommen nur nicht mehr an. Schicken Sie sich selbst eine Testnachricht.
Nicht am Freitagabend. Aktualisieren Sie dann, wenn Sie im Zweifel noch Zeit haben, sich darum zu kümmern. Ein Problem, das ein ganzes Wochenende steht, ist ein anderes Problem.

Ein Rhythmus ist wichtiger als die Häufigkeit

Ein fester Termin, etwa alle zwei bis vier Wochen, reicht für die meisten Websites aus. Entscheidend ist nicht die Häufigkeit, sondern dass es überhaupt einen Rhythmus gibt.

Der Aufwand verschwindet nicht, er verschiebt sich

Regelmäßige Updates sind eine kurze, ziemlich langweilige Aufgabe. Kein Ereignis, keine Dringlichkeit, meist schnell erledigt.

	Updates regelmäßig	Updates bleiben liegen
Was zu tun ist	Eine kurze, ziemlich langweilige Aufgabe, meist schnell erledigt.	Eine Bereinigung oder eine Migration über mehrere Versionssprünge hinweg.
Wann es passiert	Zu einem festen Termin, etwa alle zwei bis vier Wochen.	Zu einem Zeitpunkt, den Sie sich nicht aussuchen können.
Wenn etwas nicht mehr funktioniert	In kleinen Gruppen aktualisiert, deshalb wissen Sie sofort, wodurch.	Im besten Fall ein verschobenes Layout, im schlechteren eine weiße Seite.
Sicherheitslage	Bekannte Lücken sind geschlossen.	Bekannte Lücken bleiben offen und stehen öffentlich in den Listen, die Scanner abarbeiten.

Liegen bleiben ändert daran nichts. Es verschiebt den Aufwand nur nach hinten und macht ihn dabei größer. Statt kleiner, planbarer Schritte steht dann eine Bereinigung an oder eine Migration über mehrere Versionssprünge hinweg. Beides zu einem Zeitpunkt, den Sie sich nicht aussuchen können.

Darum geht es bei laufender Betreuung: Updates zu festen Terminen, eine Kontrolle danach, ob noch alles funktioniert, geprüfte Backups und jemand, der es merkt, wenn etwas nicht stimmt. Nicht, weil Updates kompliziert wären, sondern weil sie regelmäßig passieren müssen. Und genau das geht im Alltag als Erstes unter.

Betreuung anfragen

Wenn Sie nicht sicher sind, wie es um Ihre Website steht: Ich sehe mir die Seite vorab an und sage Ihnen, welcher Stand dort läuft und ob ein Update noch Routine ist oder schon ein Projekt. Danach entscheiden Sie, ob Sie das selbst übernehmen oder abgeben.