WordPress-Updates richtig einspielen: Reihenfolge, Auto-Updates und was tun, wenn etwas bricht

Am sichersten spielen Sie WordPress-Updates in dieser Reihenfolge ein: zuerst ein Backup, das sich zurückspielen lässt, dann die Plugins, die wichtigen einzeln, danach das Theme und zum Schluss WordPress selbst. Kleine WordPress-Versionen wie 7.1.4 brauchen diesen Ablauf nicht, die installiert WordPress auf bestehenden Websites von selbst im Hintergrund. Vorsicht brauchen große Versionen wie 7.1 und alle Plugins, an denen Anfragen oder Umsatz hängen: WooCommerce, Page-Builder, Caching, Formulare und Zahlungsarten.

Wie schnell ein Update eine Website lahmlegt, habe ich im August gesehen. Ab dem 19. August 2026, dem Tag von WordPress 7.1, erreichten mich auffällig viele Notrufe mit demselben Bild: weiße Seite oder „Es gab einen kritischen Fehler auf deiner Website“, das Backend nicht erreichbar. Schuld war eine Unverträglichkeit mit dem Caching-Plugin WP Rocket, die Lösung steht im Beitrag Fatal Error nach WordPress 7.1 beheben. Wer wusste, wo er ansetzen muss, war in wenigen Minuten wieder online.

Die Reihenfolge, die sich bewährt hat

1. Backup anlegen. Es muss die Datenbank und den Ordner wp-content mit Uploads, Plugins und Theme enthalten. Liegt das Backup nur auf demselben Server wie die Website, hilft es nicht, wenn genau dieser Server Probleme macht.
2. Plugins aktualisieren. Kleine Plugins dürfen zusammen, die großen einzeln: WooCommerce, Elementor oder ein anderer Page-Builder, das Caching-Plugin, Formular- und Zahlungs-Plugins. Nach jedem davon kurz die Website im Frontend aufrufen.
3. Theme aktualisieren. Haben Sie oder ein früherer Dienstleister Änderungen direkt im Theme gemacht statt in einem Child-Theme, sind sie danach weg, weil das Update die Theme-Dateien ersetzt.
4. WordPress aktualisieren unter Dashboard → Aktualisierungen.
5. Prüfen. Startseite, eine Unterseite, ein Testformular abschicken, im Shop eine Bestellung bis zur Kasse durchspielen, im Backend abmelden und wieder anmelden. Danach den Cache leeren.

Warum die Plugins vor WordPress? Ihre Anpassungen an eine neue WordPress-Version liefern die Hersteller erfahrungsgemäß in den ersten Tagen nach dem Release. Spielen Sie zuerst die Plugin-Updates ein, trifft die neue WordPress-Version auf passenden Code. Ob ein Plugin bereit ist, zeigt seine Seite im Plugin-Verzeichnis von wordpress.org: Das Feld „Getestet bis“ nennt die WordPress-Version, mit der der Entwickler es zuletzt geprüft hat. Kleine Versionen berücksichtigt das Feld laut Plugin-Handbuch von WordPress gar nicht, weil ein Plugin an ihnen nicht zerbrechen sollte. Steht dort noch 7.0, während Sie auf 7.1 gehen wollen, warten Sie besser auf das nächste Plugin-Update.

Kleine und große Versionen: wo das Risiko liegt

WordPress unterscheidet zwei Arten von Versionen. Kleine Versionen wie der Schritt von 7.1.3 auf 7.1.4 bringen Fehlerbehebungen und Sicherheitskorrekturen. Große Versionen wie 7.0 oder 7.1 bringen neue Funktionen und ändern Code, auf den Plugins und Themes aufbauen. Genau dort entstehen die Ausfälle. 2026 gab es bisher zwei große Versionen, 7.0 im Mai und 7.1 im August, und WordPress 7.2 ist seit Oktober in der Testphase (Release-Übersicht auf wordpress.org). Was 7.0 im Einzelnen geändert hat, steht im Beitrag WordPress 7.0: die Neuerungen.

Laut der offiziellen Update-Anleitung bekommen bestehende Installationen die kleinen Versionen automatisch. Websites, die ab WordPress 5.6 neu eingerichtet wurden, erhalten von Haus aus auch die großen automatisch, sofern niemand das abgeschaltet hat.

Sicherheitsupdates spielen Sie sofort ein, egal ob klein oder groß. Ein gutes Beispiel ist WordPress 7.1.4 vom 28. Oktober 2026: Es schließt unter anderem eine Lücke im Update-Vorgang selbst, über die sich Code ausführen ließ, dazu mehrere Fehler, über die Angreifer Schadcode in Inhalte einschleusen können. WordPress rät, sofort zu aktualisieren, und hat die Korrekturen für alle älteren Hauptversionen bis zurück zu 4.7 nachgereicht. Wer noch auf einer alten Version läuft, bekommt den Schutz also trotzdem, solange die kleinen Updates nicht abgeschaltet sind. Erste Angriffsversuche auf die Lücke im Update-Vorgang hat Wordfence am 29. Oktober gemeldet; den Stand dazu halte ich im Beitrag zur PHP-Sicherheitslücke PHP2Shell aktuell.

Große Versionen ohne Sicherheitsbezug spiele ich auf Websites, die Anfragen oder Bestellungen bringen, nicht am ersten Tag ein. Ein paar Tage Wartezeit kosten nichts, und die Plugin-Hersteller liefern ihre Korrekturen erfahrungsgemäß in dieser Zeit nach. Bei WP Rocket hat der Hersteller den Fehler noch am Tag von 7.1 bestätigt und mit Version 3.23.2.2 behoben.

Automatische Updates: was ich einschalte und was nicht

Seit WordPress 6.6 aus dem Juli 2024 rollt WordPress ein automatisches Plugin-Update von selbst zurück, wenn es einen schweren Fehler auslöst (Ankündigung von WordPress 6.6). Das ist ein gutes Netz, aber es fängt nur Fehler, die die Seite abstürzen lassen. Ein Kontaktformular, das nach dem Update still keine Mails mehr verschickt, oder ein Checkout, der bei einer Zahlungsart hängt, bleibt unbemerkt. Deshalb entscheide ich je nach Art des Updates:

Update	Meine Empfehlung
Kleine WordPress-Versionen (z. B. 7.1.4)	Automatisch lassen, so ist WordPress voreingestellt.
Große WordPress-Versionen (z. B. 7.1)	Von Hand, nach dem Blick auf „Getestet bis“ und mit frischem Backup, bei Shops zuerst auf einer Staging-Kopie.
Kleine Plugins ohne Einfluss auf Formulare oder Kasse	Automatisch, mit dem Rollback als Netz.
WooCommerce, Page-Builder, Caching, Formular- und Zahlungs-Plugins	Von Hand und einzeln, danach Testformular oder Testbestellung.
Theme mit Änderungen direkt im Theme	Nicht automatisch. Erst die Änderungen in ein Child-Theme umziehen.

Einschalten lässt sich das je Plugin unter Plugins → Installierte Plugins, Spalte „Automatische Aktualisierungen“. Für Themes geht es unter Design → Themes über die Theme-Details. Wer automatische Updates nutzt, sollte die E-Mails lesen, die WordPress danach an die Admin-Adresse schickt, und die Website von einem Dienst überwachen lassen, der Alarm schlägt, wenn sie nicht mehr erreichbar ist.

Wenn nach dem Update nichts mehr geht

„Es gab einen kritischen Fehler auf deiner Website“

Seit WordPress 5.2 schickt WordPress bei so einem Fehler eine E-Mail an die Admin-Adresse, Betreff „Deine Website hat ein technisches Problem“. Darin steht ein geheimer Link in den Wiederherstellungsmodus. Über ihn kommen Sie ins Backend, das fehlerhafte Plugin oder Theme ist nur für Sie pausiert, und Sie können es deaktivieren oder auf eine korrigierte Version bringen (Beschreibung des WordPress-Kernteams). Diese Mail kommt nur an, wenn die Adresse unter Einstellungen → Allgemein → Administrator-E-Mail-Adresse noch stimmt. Das ist in einer Minute geprüft.

Keine E-Mail und kein Zugang zum Backend

Dann hilft der Zugang per FTP oder über den Dateimanager Ihres Hosters. Benennen Sie im Ordner wp-content/plugins den Ordner des verdächtigen Plugins um, zum Beispiel wp-rocket in wp-rocket-aus. WordPress findet das Plugin nicht mehr und deaktiviert es. Wissen Sie nicht, welches Plugin es war, benennen Sie den ganzen Ordner plugins um, so steht es auch in der WordPress-Anleitung zu häufigen Fehlern. Danach einzeln wieder aktivieren, bis der Fehler zurückkommt.

Die Website hängt in der Wartungsmeldung

Während eines Updates legt WordPress im Hauptverzeichnis die Datei .maintenance an und zeigt Besuchern eine kurze Wartungsmeldung. Bricht das Update ab, bleibt die Datei liegen und die Meldung stehen. Löschen Sie .maintenance per FTP, dann ist die Seite wieder da. Prüfen Sie anschließend unter Dashboard → Aktualisierungen, ob das Update vollständig durchgelaufen ist.

Ein Update rückgängig machen

Der sauberste Weg ist das Backup von vor dem Update. Für ein einzelnes Plugin geht es auch kleiner: Auf wordpress.org lassen sich frühere Versionen eines Plugins herunterladen und über die alte Version installieren. Das ist eine Notlösung für ein paar Tage, bis der Hersteller eine korrigierte Version liefert, keine Dauerlösung, denn oft schließt gerade das neue Update eine Sicherheitslücke.

Das Backup, das noch nie zurückgespielt wurde

Jede Anleitung sagt: vorher ein Backup machen. Kaum eine sagt, dass Sie es einmal zurückspielen sollten, bevor Sie es brauchen. Ein Backup-Plugin, das seit Monaten meldet, alles sei gesichert, kann trotzdem eine leere Datenbank-Datei oder einen abgebrochenen Upload-Ordner ablegen. Das merken Sie erst beim Zurückspielen. Spielen Sie deshalb einmal ein Backup auf eine Staging-Kopie oder eine lokale Installation zurück und klicken Sie sich durch. Danach wissen Sie, dass es funktioniert und wie lange es dauert.

Bei meinen Betreuungskunden laufen tägliche Backups auf einen unabhängigen Server, getrennt vom Webspace der Website, und jedes Update zuerst auf einer Staging-Kopie. Fällt die Website trotzdem aus, meldet das ein Monitoring, das alle zehn Minuten prüft.

PHP gehört mit dazu

Unter WordPress läuft PHP, und auch das braucht Updates. PHP 8.2 bekommt laut php.net nur noch bis zum 31. Dezember 2026 Sicherheitskorrekturen, PHP 8.3 bis Ende 2027. Welche Version Ihre Website nutzt, zeigt WordPress unter Werkzeuge → Website-Zustand → Bericht. Umgestellt wird meist im Kundenmenü des Hosters. Machen Sie das, nachdem WordPress und alle Plugins aktuell sind, und testen Sie danach wie nach jedem anderen Update. Klemmt etwas, lässt sich die Version beim Hoster in der Regel zurückstellen. Wie dringend PHP-Updates gerade sind, zeigt die Lücke PHP2Shell aus dem Oktober.

Updates abgeben

Für eine kleine Website mit wenigen Plugins reicht der Ablauf oben, wenn Sie ihn regelmäßig machen. Bei einem Shop oder einer Website, über die jede Woche Anfragen kommen, kostet ein unbemerkter Fehler schnell mehr als die Wartung. In meiner WordPress-Betreuung übernehme ich die Updates mit Staging-Test, Backups und Monitoring und melde mich, bevor ein Plugin Probleme macht. Abgerechnet wird nach Aufwand, was das im Vergleich zu Monatspaketen kostet, steht im Beitrag Was kostet WordPress-Wartung? Schreiben Sie mir über das Kontaktformular oder rufen Sie an unter 089 3288 6771.

Häufige Fragen

Wie oft sollte man WordPress aktualisieren?

Sicherheitsupdates am selben Tag, das erledigen die automatischen Updates bei den kleinen WordPress-Versionen von selbst. Plugins und Theme mindestens einmal im Monat, bei Shops besser jede Woche ein Blick in Dashboard → Aktualisierungen. Große WordPress-Versionen nach ein paar Tagen, wenn die wichtigen Plugins nachgezogen haben.

In welcher Reihenfolge aktualisiere ich Plugins, Theme und WordPress?

Backup, dann Plugins, dann Theme, dann WordPress, danach testen. Bei kleinen WordPress-Versionen spielt die Reihenfolge kaum eine Rolle, weil WordPress sie ohnehin automatisch einspielt. Wichtig wird sie bei großen Versionen.

Soll ich automatische Updates einschalten?

Für kleine WordPress-Versionen und unkritische Plugins ja. Seit WordPress 6.6 rollt WordPress ein automatisches Plugin-Update zurück, wenn es die Seite zum Absturz bringt. Für WooCommerce, Page-Builder, Caching, Formulare und Zahlungsarten nein, die spielen Sie besser von Hand ein und testen danach.

Kann ich ein WordPress-Update rückgängig machen?

Ja, am saubersten über das Backup von vor dem Update. Ein einzelnes Plugin lässt sich auch mit einer früheren Version von wordpress.org überschreiben, das ist aber nur eine Übergangslösung, bis der Hersteller den Fehler behebt.

Wann kommt das nächste WordPress-Update?

Kleine Versionen erscheinen, sobald Fehler oder Sicherheitslücken behoben sind, zuletzt WordPress 7.1.4 am 28. Oktober 2026. Die nächste große Version, WordPress 7.2, ist seit Oktober 2026 in der Testphase.