Automatische WordPress-Updates: einschalten oder lieber nicht?

In der Plugin-Übersicht Ihrer WordPress-Seite steht neben jedem Eintrag ein unscheinbarer Link: „Automatische Aktualisierungen aktivieren“. Ein Klick, und WordPress spielt künftig jede neue Version selbst ein — nachts, ohne Rückfrage, ohne dass Sie etwas davon mitbekommen. Das klingt bequem. Aber ist es auch eine gute Idee? Wir zeigen, welche Updates Sie auf Autopilot stellen sollten, welche besser nicht — und warum ein manipuliertes Plugin-Update aus diesem Sommer an unserer Empfehlung nichts ändert.

Warum Updates nicht warten können

Sicherheitslücken in Plugins sind kein seltenes Pech, sondern Wochenroutine — wie groß das Volumen ist, haben wir im Beitrag über 99 Plugin-Lücken in einer Woche aufgeschrieben. Entscheidend ist dabei weniger die Zahl als das Tempo danach: Sobald eine Lücke öffentlich dokumentiert ist, suchen automatisierte Scanner das Netz gezielt nach Seiten ab, die das zugehörige Update noch nicht eingespielt haben. Wer erst am Wochenende aktualisiert oder „wenn mal Zeit ist“, gehört genau zur Zielgruppe dieser Scanner.

Für eine Praxis oder einen Handwerksbetrieb kommt ein praktisches Problem dazu: Niemand schaut dort täglich ins WordPress-Backend. Die Website läuft nebenher — bis sie es nicht mehr tut. Automatische Updates schließen genau diese Lücke zwischen „das Update ist da“ und „jemand hat es bemerkt“. Bei den kleinen Wartungsversionen des WordPress-Kerns macht das System das übrigens längst von selbst: Sicherheits- und Fehlerkorrekturen installiert WordPress standardmäßig automatisch, ohne dass Sie etwas einstellen müssen.

Was passiert, wenn das Update selbst das Problem ist?

Das ist der ehrliche Einwand gegen den Autopiloten — und er ist in diesem Jahr konkreter geworden. Ende Juli 2026 wurden über die Update-Server des Plugin-Herstellers WPManageNinja mehrere Stunden lang manipulierte Versionen von Fluent Forms Pro und Ninja Tables Pro verteilt. Die Ursache war banal und lehrreich zugleich: ein alter Server, der nach einer System-Migration nie abgeschaltet wurde. Wer im betroffenen Zeitfenster aktualisierte — von Hand oder automatisch —, bekam eine Version mit eingebauter Hintertür: einem getarnten Anmeldelink, über den sich Angreifer ohne Passwort als Administrator einloggen können.

Der Hersteller hat den Vorfall offengelegt, betroffene Kunden benachrichtigt, bereinigte Versionen veröffentlicht — und liefert Updates für Fluent Forms Pro inzwischen kryptografisch signiert aus, sodass manipulierte Pakete bei der Installation auffliegen würden. Ein Parallelfall zeigt die andere Seite: Nur wenige Tage zuvor, ebenfalls Ende Juli, tauchte im offiziellen Plugin-Verzeichnis eine Version des Video-Plugins Advanced Responsive Video Embedder mit Schadcode auf — sie wurde innerhalb von rund zwei Stunden entdeckt und gestoppt, nach aktuellem Kenntnisstand ohne dass eine einzige Website übernommen wurde.

Beide Fälle führen zur gleichen Schlussfolgerung, aber nicht zu der, die man zuerst vermutet: Manipulierte Updates sind extrem selten, fallen schnell auf und werden vom Hersteller wie von der WordPress-Gemeinschaft inzwischen ernsthaft bekämpft. Ungepatchte Lücken dagegen sind häufig und werden systematisch ausgenutzt. Wer aus Angst vor dem seltenen Fall seine Updates abschaltet, tauscht ein kleines Risiko gegen ein großes.

Unsere Empfehlung: Autopilot mit zwei Ausnahmen

Auf den Kundenseiten, die wir betreuen, hat sich diese Aufteilung bewährt:

• Wartungs- und Sicherheitsupdates des WordPress-Kerns: automatisch. Das ist die Standardeinstellung — lassen Sie sie so. Diese kleinen Versionen (etwa von 7.1 auf 7.1.1) enthalten fast ausschließlich Fehler- und Sicherheitskorrekturen und machen praktisch nie Probleme.
• Unkritische Plugins: automatisch. SEO-Werkzeug, Spam-Schutz, Backup-Plugin — alles, dessen Ausfall Ihr Geschäft nicht sofort trifft, darf sich selbst aktualisieren. Den Schalter finden Sie in der Plugin-Übersicht in der Spalte „Automatische Aktualisierungen“.
• Ausnahme 1 — geschäftskritische Plugins: manuell. Das Kontaktformular, über das Ihre Anfragen kommen. Das Buchungs-Plugin der Praxis. Der kleine Shop. Solche Updates spielen Sie selbst ein — zeitnah, aber mit einem kurzen Funktionstest danach: Formular abschicken, Testbuchung anlegen, Bestellung durchklicken.
• Ausnahme 2 — große Versionssprünge des Kerns: manuell. Major-Versionen wie der Wechsel von 7.0 auf 7.1 ändern Funktionen und können ältere Themes oder Plugins aus dem Tritt bringen. WordPress spielt sie standardmäßig nicht automatisch ein — auch das lassen Sie genau so. Wie Sie einen solchen Sprung sauber vorbereiten, zeigt unsere Anleitung zum WordPress-7.1-Update.

Das Sicherheitsnetz heißt Backup, nicht Abschalten

Die Voraussetzung für den Autopiloten ist eine funktionierende Datensicherung. Wenn ein Update schiefgeht — durch einen gewöhnlichen Fehler oder den seltenen Manipulationsfall —, lautet die entscheidende Frage nicht „Wie verhindere ich das beim nächsten Mal?“, sondern „Wie schnell bin ich wieder online?“. Mit einer täglichen automatischen Sicherung heißt die Antwort: in Minuten. Ohne sie: im Zweifel gar nicht. Warum „das macht doch mein Hoster“ dafür nicht reicht, steht in unserem Beitrag zu Website-Backups.

Woran Sie merken, dass etwas schiefgelaufen ist

Auch mit Autopilot lohnt ein kurzer Kontrollblick — einmal pro Woche reicht:

• Öffnet die Startseite normal, ohne Fehlermeldung oder weiße Seite?
• Funktioniert das Kontaktformular? Schicken Sie einmal selbst eine Testanfrage ab.
• Stehen unter „Benutzer“ nur Konten, die Sie kennen? Ein unbekanntes Administrator-Konto ist immer ein Alarmsignal.
• Meldet die Plugin-Übersicht Erweiterungen, die seit vielen Monaten kein Update mehr bekommen haben? Solche verwaisten Plugins ersetzen Sie besser: Für sie erscheint auch dann kein Patch, wenn eine Lücke bekannt wird.

Fünf Minuten pro Woche — mehr laufende Wartung braucht eine kleine WordPress-Seite mit den richtigen Einstellungen nicht.

Die Kurzfassung

Kleine Versionen und unkritische Plugins aktualisieren sich selbst; geschäftskritische Plugins und große Versionssprünge spielen Sie mit Backup und kurzem Funktionstest von Hand ein. Diese Einstellungen kosten Sie einmalig zehn Minuten — und nehmen Ihnen danach dauerhaft eine der häufigsten Ursachen gehackter WordPress-Seiten ab: das vergessene Update.