Automatische Updates — Sicherheit oder Risiko?
Updates vergessen ist gefährlich, Updates blind einspielen auch. WordPress bietet für Kern, Plugins und Themes automatische Updates an — und viele wissen nicht, was davon schon eingeschaltet ist. Hier steht, was automatisch passiert, wie du es steuerst und welche Einstellung für welche Website sinnvoll ist.
Kleine WordPress-Versionen (Sicherheits- und Wartungsupdates) laufen standardmäßig automatisch — das ist gut und sollte so bleiben. Große Versionen, Plugins und Themes lassen sich pro Stück ein- und ausschalten. Empfehlung: Automatik für einfache, gut gepflegte Plugins auf kleinen Websites mit täglichem Backup und Überwachung. Für Shops, Page-Builder und geschäftskritische Plugins lieber kontrolliert, über Staging, mit Test.
Was WordPress automatisch macht.
| Bereich | Standard | Einstellbar |
|---|---|---|
| Kleine Kernversionen (z. B. 6.6.1 → 6.6.2) | Automatisch an | Per Code abschaltbar — nicht empfohlen |
| Große Kernversionen (z. B. 6.6 → 6.7) | Bei neuen Installationen oft an, bei älteren aus | Dashboard → Aktualisierungen |
| Plugins | Aus | Pro Plugin in der Plugin-Liste |
| Themes | Aus | Pro Theme unter Design → Themes |
| Übersetzungen | Automatisch an | Per Code |
| Premium-Plugins | Nur mit aktiver Lizenz, je nach Hersteller | Meist wie normale Plugins |
Außerdem wichtig: Automatische Updates laufen über die Aufgabenplanung WP-Cron. Funktioniert sie nicht, laufen auch keine automatischen Updates (WP-Cron reparieren). Und manche Hoster führen eigene automatische Updates durch, unabhängig von den WordPress-Einstellungen — ein Blick ins Kundenmenü lohnt.
Wo du es steuerst.
- Kern: Dashboard → Aktualisierungen. Dort steht, ob die Website automatisch auf neue Hauptversionen aktualisiert wird, mit Link zum Ein- oder Ausschalten.
- Plugins: In der Plugin-Liste gibt es die Spalte „Automatische Aktualisierungen“ mit einem Link pro Plugin. Mehrere Plugins lassen sich über die Mehrfachaktion umstellen.
- Themes: Design → Themes, Theme anklicken, „Automatische Aktualisierungen aktivieren“.
Nach jedem automatischen Update verschickt WordPress eine Mail an die Admin-Adresse. Die sollte also ankommen und gelesen werden (E-Mails kommen nicht an).
Wofür Automatik spricht.
Die meisten gehackten WordPress-Websites werden über bekannte Sicherheitslücken in Plugins übernommen, für die es längst ein Update gab. Zwischen Veröffentlichung einer Lücke und ersten automatisierten Angriffen vergehen oft nur Tage. Wer Updates nur alle paar Monate einspielt, ist in dieser Zeit angreifbar. Automatische Updates schließen das Fenster sofort — auch im Urlaub, auch wenn niemand daran denkt. Für kleine Websites ohne Wartung ist das besser als gar nichts (WordPress absichern).
Wofür sie gefährlich ist.
- Niemand merkt, wenn etwas kaputtgeht. Ein Update um 3 Uhr nachts zerschießt die Kasse, und es fällt erst auf, wenn Bestellungen fehlen.
- Abhängigkeiten: Ein Zusatz-Plugin wird aktualisiert, das Haupt-Plugin nicht — oder umgekehrt. Page-Builder und ihre Erweiterungen sind dafür anfällig.
- Große Versionssprünge ändern Datenstrukturen, etwa bei WooCommerce. Einmal gelaufen, ist der Weg zurück schwer.
- Kein Test: Automatische Updates prüfen nur, ob die Seite nach dem Update noch lädt. Ob das Formular sendet oder der Checkout funktioniert, prüfen sie nicht.
Was im Fehlerfall zu tun ist: Fehler nach WordPress-Update.
Meine Empfehlung.
| Website | Kern klein | Kern groß | Plugins/Themes |
|---|---|---|---|
| Kleine Visitenkarte ohne Wartung | Automatisch | Automatisch | Automatisch — mit Backup und Überwachung |
| Unternehmenswebsite mit Page-Builder | Automatisch | Kontrolliert | Einfache Plugins automatisch, Builder und Erweiterungen kontrolliert |
| Shop, Mitgliederbereich, Lernplattform | Automatisch | Kontrolliert über Staging | Kontrolliert über Staging, mit Testbestellung |
| Website mit Wartungsvertrag | Automatisch | Kontrolliert | Kontrolliert — das ist Teil der Wartung |
// Kleine Kernupdates bleiben automatisch (Standard), große nicht
add_filter( 'allow_major_auto_core_updates', '__return_false' );
// Nur ausgewählte, einfache Plugins automatisch aktualisieren
add_filter( 'auto_update_plugin', function ( $update, $item ) {
$automatisch = [ 'akismet', 'wordfence', 'redirection' ]; // Plugin-Slugs
return in_array( $item->slug, $automatisch, true ) ? true : $update;
}, 10, 2 );
// Themes nie automatisch
add_filter( 'auto_update_theme', '__return_false' );Code-Einstellungen überschreiben die Schalter im Backend. Die Slugs stehen in der Adresse der Plugin-Seite auf wordpress.org.
Automatik absichern.
Wer automatische Updates nutzt, braucht drei Dinge: ein tägliches Backup außerhalb des Servers (Backup erstellen), eine Überwachung, die meldet, wenn die Seite nicht mehr lädt, und jemanden, der die Update-Mails liest. WordPress hat seit Version 5.5 zudem eine Sicherung eingebaut: Führt ein automatisches Plugin-Update zu einem schweren Fehler, versucht WordPress, auf die vorherige Version zurückzugehen. Darauf verlassen sollte man sich nicht. Der sicherste Weg bleibt kontrolliert: Updates auf Staging testen und dann live einspielen — genau das übernimmt eine WordPress-Wartung.
Wenn du nicht weiterkommst.
Wenn du dir unsicher bist, welche Plugins du automatisch laufen lassen kannst, schaue ich mir die Website an und richte die Updates passend ein. Ich finde die Ursache, behebe sie und erkläre dir, was passiert ist: WordPress-Hilfe, bei einem Totalausfall der Notfall-Support. Damit es gar nicht erst so weit kommt: WordPress-Wartung.
Wer hilft.
Ich bin Manuel Killert, WordPress-Entwickler aus Quakenbrück. Seit 2020 baue und betreue ich WordPress-Websites — für Handwerksbetriebe, Industrie, Gastronomie, Start-ups und Vereine —, entwickle eigene Plugins und unterrichte WordPress als Dozent an der KW Design Akademie. Das heißt: Ich kenne die typischen Fehler nicht nur aus Foren, sondern aus eigenen Projekten, und ich kann sie so erklären, dass du sie beim nächsten Mal selbst erkennst. Du erreichst mich direkt, ohne Ticketsystem.
Echte Projekte — live ansehen.
WordPress-Websites, die ich gebaut habe oder laufend betreue.
Markenfest
Stärkerer Online-Shop — Webdesign, Content und individuelle Shop-Funktionen.
Website ansehen ↗
KT Bodenteam
Professioneller Auftritt für einen Bodenleger — Vorher-Nachher-Slider und regionale SEO.
Website ansehen ↗
Potassco Solutions
Klare Website für ein KI-Unternehmen, die komplexe Technologie verständlich macht.
Website ansehen ↗FAQ — WordPress automatische Updates.
Aktualisiert sich WordPress automatisch?
Kleine Kernversionen mit Sicherheits- und Wartungsupdates laufen standardmäßig automatisch. Große Kernversionen, Plugins und Themes lassen sich einzeln ein- oder ausschalten.
Sind automatische Plugin-Updates sinnvoll?
Für einfache, gut gepflegte Plugins auf kleinen Websites mit täglichem Backup und Überwachung ja. Für Shops, Page-Builder und geschäftskritische Plugins ist ein kontrolliertes Update über eine Staging-Kopie sicherer.
Wo schalte ich automatische Updates ein oder aus?
Für den Kern unter Dashboard, Aktualisierungen. Für Plugins in der Plugin-Liste in der Spalte Automatische Aktualisierungen, für Themes unter Design, Themes beim jeweiligen Theme.
Warum laufen meine automatischen Updates nicht?
Automatische Updates nutzen WP-Cron. Funktioniert die Aufgabenplanung nicht, etwa wegen blockierter Loopback-Anfragen oder abgeschaltetem WP-Cron ohne echten Cronjob, laufen auch keine Updates.
Was passiert, wenn ein automatisches Update die Seite kaputt macht?
WordPress versucht seit Version 5.5, ein fehlerhaftes Plugin-Update zurückzunehmen. Darauf sollte man sich nicht verlassen. Ein tägliches Backup und eine Überwachung der Erreichbarkeit sind Pflicht.
Sollte ich kleine Kernupdates abschalten?
Nein. Sie enthalten Sicherheitskorrekturen und sind sehr selten problematisch. Das Abschalten erhöht das Risiko deutlich.
Das bin ich – rechts im BildErzähl mir, was nicht funktioniert.
Domain und eine kurze Beschreibung reichen — du bekommst eine ehrliche Einschätzung, was los ist und was die Behebung kostet.
Antwort meist innerhalb von 24 Stunden · hallo@manuelkillert.de