Wenn Updates warten
Was passiert, wenn WordPress-Updates liegen bleiben?
Eine Website, die seit Monaten keine Updates bekommen hat, sieht meistens völlig normal aus. Sie lädt, das Kontaktformular funktioniert, und niemand beschwert sich.
Deshalb rutscht das Thema im Alltag so leicht nach hinten.
Im Hintergrund verändert sich in dieser Zeit trotzdem einiges: Die Lücken in den alten Versionen werden nach und nach bekannt, und der Abstand zur aktuellen Version wächst. Beides macht das Nachholen mit jedem Monat aufwendiger.
Alle zwei bis vier Wochen
Wer Updates in diesem Rhythmus einspielt, hat meist wenig Arbeit damit und kann das auch gut selbst erledigen.
Updates machen Lücken öffentlich
Mit einem Sicherheitsupdate wird die zugehörige Lücke bekannt. Automatische Suchprogramme prüfen danach massenhaft Websites auf die alte Version, egal wie klein der Betrieb dahinter ist.
Nachholen wird zum Projekt
Nach einer langen Pause wird das Nachholen oft zu einem kleinen Projekt mit Testkopie der Seite und Nacharbeit.
Backups müssen weit zurückreichen
Sie helfen nur, wenn sie einen Stand von vor einem Einbruch enthalten.
Warum veraltete Plugins lange nicht auffallen
Ein ausgelassenes Update hat keine sichtbare Folge. Die Seite wird nicht langsamer, das Design bleibt, wie es war, und im Backend steht lediglich eine rote Zahl neben dem Menüpunkt für Aktualisierungen. Das ist auch der Hauptgrund, warum so viele Websites veraltet sind.
Ohne Rückmeldung gibt es keinen Anlass zu handeln, und so werden aus zwei Wochen schnell sechs Monate oder zwei Jahre. Weil in dieser Zeit nichts kaputtgeht, fühlt sich die Seite stabil an. Die Folgen zeigen sich erst später und an einer ganz anderen Stelle.
Was ein Sicherheitsupdate öffentlich macht
Viele gehen davon aus, dass ein Update eine Lücke schließt, bevor jemand davon weiß.
In der Praxis ist es eher umgekehrt.
Wenn in einem Plugin eine Sicherheitslücke gefunden wird, veröffentlicht der Entwickler ein Update. Dazu gehört fast immer eine Beschreibung, welche Lücke geschlossen wurde. Das muss so sein, sonst könnte niemand einschätzen, wie dringend das Update ist.
Damit ist die Lücke aber auch öffentlich bekannt. Ab da kann jeder nachlesen, welches Plugin betroffen ist, welche Versionen verwundbar sind und oft auch, wie sich die Lücke ausnutzen lässt.
Was danach folgt, läuft automatisiert ab. Programme gehen das Internet systematisch durch und prüfen bei jeder Website, welche Plugins in welcher Version installiert sind. Diese Information steht häufig offen im Quelltext der Seite. Findet so ein Scanner eine Version, die vor dem Update liegt, versucht er, die Lücke auszunutzen.
Diesen Satz höre ich oft, er passt aber nicht zu der Art, wie solche Angriffe laufen. Ihre Website wird von niemandem ausgesucht, und Unternehmen, Branche oder Umsatz spielen für ein solches Programm keine Rolle. Es arbeitet eine Liste ab, und Ihre Seite steht darauf, weil sie eine bestimmte Versionsnummer trägt. Kleine Seiten sind deshalb genauso betroffen wie große.
Wie ein Angriff über ein veraltetes Plugin abläuft
Der Ablauf ist in den meisten Fällen ähnlich:
- Plugin seit Monaten veraltet
- Update erscheint, Lücke ist bekannt
- Scanner findet die alte Version
- Fremder Code auf dem Serverversteckt in bestehenden Dateien
Niemand sucht Ihre Seite gezielt aus. Es reicht, dass sie eine bestimmte Versionsnummer trägt.
Sichtbar wird das meistens erst nach einer Weile, zum Beispiel so:
Eine Bereinigung dauert dann meist ein Vielfaches der Zeit, die die ausgelassenen Updates gekostet hätten.
Wenn das Nachholen selbst zum Problem wird
Auch ohne Angriff hat eine lange Pause Folgen, und dieser Fall kommt sogar häufiger vor.
Irgendwann lässt sich die Seite nicht mehr gefahrlos aktualisieren, weil zwischen der installierten und der aktuellen Version mehrere große Sprünge liegen. In der Zwischenzeit ändert sich einiges:
- Der Hoster hebt die PHP-Version an, also die Version der Programmiersprache, in der WordPress läuft. Alter Code läuft darauf nicht mehr.
- Plugins ändern ihre Struktur, ihre Einstellungen oder ihr Lizenzmodell.
- Einzelne Plugins werden gar nicht mehr weiterentwickelt. Für die Funktion muss dann ein Ersatz gefunden und eingerichtet werden.
- Das Theme passt nicht mehr zur aktuellen WordPress-Version, besonders dann, wenn daran Anpassungen vorgenommen wurden.
Wer in dieser Lage einfach auf „alle aktualisieren“ klickt, riskiert Darstellungsfehler oder eine Seite, die gar nicht mehr lädt. Aus einer Routineaufgabe von wenigen Minuten wird dann ein kleines Projekt: Die Updates laufen zuerst auf einer Testkopie der Seite (Staging), werden geprüft und nachgearbeitet und kommen erst danach auf die echte Seite.
Das liegt allein an der langen Pause, denn jedes einzelne Update wäre für sich einfach gewesen.
Ein Modefachgeschäft kam zu mir, nachdem die frühere Agentur die Website liegen gelassen hatte. Bei der Übernahme standen 21 Plugin-Updates aus, das letzte Backup war neun Monate alt, der Seitenbaukasten lief ohne gültige Lizenz, und in den Kommentaren hatte sich Spam gesammelt. Bestandsaufnahme und Angebot bekam das Geschäft noch am selben Tag, an dem ich den Zugang erhalten hatte. Seitdem betreue ich die Seite laufend.
Regelmäßig oder später: der Aufwand im Vergleich
Nebeneinandergestellt sehen die beiden Wege so aus:
| Updates regelmäßig | Updates bleiben liegen | |
|---|---|---|
| Was zu tun ist | Wenige Updates auf einmal, meist schnell erledigt. | Eine Bereinigung nach einem Einbruch oder ein Nachholen über mehrere Versionssprünge. |
| Wann es passiert | An einem festen Termin, den Sie selbst wählen. | Dann, wenn ein Problem auftritt, und damit meistens ungeplant. |
| Wenn etwas nicht mehr funktioniert | Der Auslöser ist schnell gefunden, weil nur wenig auf einmal geändert wurde. | Viele Änderungen kommen zusammen, die Ursache ist schwer einzugrenzen. |
| Sicherheitslage | Bekannte Lücken sind geschlossen. | Bekannte Lücken bleiben offen und stehen in den Listen, die Scanner abarbeiten. |
Wer Updates liegen lässt, spart die Arbeit also nicht ein. Sie kommt später zurück, meistens größer und zu einem Zeitpunkt, der gerade schlecht passt.
Ein Backup ist wichtig, hilft hier aber nur, wenn es einen sauberen Stand enthält.
Ein Einbruch fällt meistens erst Wochen später auf, weil eingeschleuster Code nur so lange nützt, wie er unentdeckt bleibt. In dieser Zeit läuft die Sicherung weiter und speichert den befallenen Stand mit. Werden die Sicherungen nur ein oder zwei Wochen aufbewahrt, ist beim Entdecken unter Umständen keine saubere mehr übrig.
Es kommt deshalb darauf an, wie weit die Sicherungen zurückreichen. In meinen Paketen werden die täglichen Backups auf einem externen Server gespeichert und in der Wartung einen Monat, ab der Betreuung drei Monate aufbewahrt. So gibt es fast immer einen Stand von vor dem Einbruch, und die regelmäßigen Sicherheitsscans helfen einzugrenzen, seit wann etwas nicht stimmt.
Wenn Sie es selbst machen wollen
Das ist gut machbar, solange es regelmäßig passiert. Diese Punkte haben sich bewährt:
- Vorher ein Backup. Sichern Sie Datenbank und Dateien und spielen Sie das Backup einmal probeweise zurück, erst dann wissen Sie, ob es klappt.
- In kleinen Gruppen. Ein paar Plugins aktualisieren, Seite ansehen, weitermachen, so wissen Sie bei einem Fehler sofort, wodurch.
- Danach Startseite, Unterseiten und Formular prüfen. Bei den Seiten, die ich betreue, macht das Formular nach Updates am häufigsten Ärger, unbemerkt, weil nur die Nachrichten nicht ankommen: Schicken Sie sich eine Testnachricht.
- Mit Zeit im Rücken. Aktualisieren Sie, wenn Sie sich im Zweifel noch um ein Problem kümmern können, also eher nicht am Freitagabend.
Für die meisten Websites reicht ein fester Termin alle zwei bis vier Wochen. Wichtig ist vor allem, dass es diesen Termin gibt und er auch eingehalten wird.
Großer Rückstand: so holen Sie es nach
Wenn die Seite lange nicht aktualisiert wurde, kommt es vor allem auf die Reihenfolge an. So gehen Sie am sichersten vor:
- BestandsaufnahmeVersionen und offene Updates notieren.
Mehr dazu
Plugins ohne neue Version seit Jahren kommen auf eine eigene Liste, für sie brauchen Sie später Ersatz.
- Vollständiges BackupDateien und Datenbank außerhalb des Servers, etwa auf Ihrem Rechner.Ohne diese Sicherung keinen weiteren Schritt.
- Testkopie anlegenAlle weiteren Schritte laufen zuerst dort.
Mehr dazu
Bei vielen Hostern geht das mit wenigen Klicks. Die echte Seite bleibt dabei unverändert.
- PHP-Version prüfenFalls nötig schrittweise anheben.
Mehr dazu
Verlangen WordPress oder Plugins eine neuere Version, heben Sie sie im Kundenbereich des Hosters schrittweise an und sehen nach jedem Schritt die Seite an. Achten Sie darauf, dass nur die Testkopie umgestellt wird, bei manchen Hostern gilt die Einstellung für das ganze Paket.
- Plugins und ThemeEinzeln oder in kleinen Gruppen, danach die Seite ansehen.
Mehr dazu
Wurde das Theme ohne sogenanntes Child-Theme direkt angepasst, überschreibt das Update diese Anpassungen. Klären Sie das vorher.
- Dann WordPress selbstDanach noch einmal nach Plugin-Updates sehen.
Mehr dazu
Manche Plugin-Updates werden erst mit aktuellem WordPress angeboten.
- Gründlich prüfenStartseite, wichtige Unterseiten, Handy-Ansicht, Testnachricht übers Formular.
- Echte Seite aktualisierenMit frischem Backup dieselben Schritte in derselben Reihenfolge.Die Testkopie nicht einfach darüberkopieren, wenn inzwischen Anfragen, Kommentare oder Bestellungen eingegangen sind. Diese gingen sonst verloren.
Bei Premium-Plugins, einem Premium-Theme oder einem Seitenbaukasten ohne gültige Lizenz kommen keine Updates über WordPress an. Versionen aus inoffiziellen Quellen sollten Sie nicht installieren, weil darin häufig Schadcode steckt. Hier muss zuerst die Lizenz geklärt oder ein Ersatz gefunden werden.
Bei einem Shop hängen Bestellungen, Zahlungen und Kundenkonten an jedem Update, ein Fehler kostet sofort Umsatz, und während der Arbeit gehen weiter Bestellungen ein.
In diesen Fällen, und immer dann, wenn auf der Testkopie etwas nicht mehr funktioniert und Sie die Ursache nicht finden, lohnt es sich, den Rückstand abzugeben. Ich sehe mir die Seite dann vorher an und sage Ihnen, was nötig ist.
Darum geht es bei laufender Betreuung: Updates zu festen Terminen, eine Kontrolle danach, ob noch alles funktioniert, geprüfte Backups und jemand, der es merkt, wenn etwas nicht stimmt. Kompliziert sind Updates selten. Sie müssen aber regelmäßig passieren, und das geht im Alltag leicht unter.
Häufige Fragen
Lässt sich eine Seite nach Jahren ohne Updates noch aktualisieren?
In den meisten Fällen ja. Wie viel Arbeit das macht, hängt davon ab, ob es für alle Plugins noch Updates gibt, ob Theme und Seitenbaukasten gültig lizenziert sind und wie weit die PHP-Version zurückliegt. Nur selten ist eine Seite so alt, dass sich das Nachholen nicht mehr lohnt.
Sollte ich automatische Updates einschalten?
Für die kleinen Sicherheitsupdates von WordPress selbst ist das sinnvoll, und bei den meisten Seiten ist es ohnehin schon so eingestellt. Bei Plugins ist es bequem, hat aber einen Haken: Niemand sieht danach nach, ob Formular, Warenkorb oder Darstellung noch funktionieren. Wer automatische Updates nutzt, sollte die Seite deshalb trotzdem regelmäßig prüfen.
Was kostet es, einen großen Rückstand nachholen zu lassen?
Das hängt von der Zahl der offenen Updates ab, von Plugins, die ersetzt werden müssen, von fehlenden Lizenzen und davon, wie stark das Theme angepasst wurde. Ich sehe mir die Seite vorher unverbindlich an und sage Ihnen, was das Nachholen kostet, bevor etwas passiert.
Vorabcheck
Wie groß ist Ihr Rückstand?
Im unverbindlichen Vorabcheck sehe ich nach, welche Versionen auf Ihrer Seite laufen und wie groß der Abstand zur aktuellen ist.
Sie bekommen einen schriftlichen Befund, ob das Nachholen noch Routine ist oder etwas Vorbereitung braucht, und können damit auch selbst weitermachen.
