Die WordPress-Wartungs-Checkliste

Die meisten erfolgreichen Angriffe auf WordPress laufen über bekannte Lücken in Plugins, für die es längst ein Update gab. Wer wöchentlich prüft, schließt das Zeitfenster auf wenige Tage.

Backup-Plugins scheitern leise: Speicher voll, Cron läuft nicht, Zugangsdaten zum externen Speicher abgelaufen. Man merkt es erst, wenn man das Backup braucht.

Ein Update kann ein Formular lautlos abschalten. Eine Woche ohne Anfragen fällt oft nicht auf, weil man denkt, es sei einfach ruhig.

WordPress und Google schicken Warnungen per Mail. Sie landen in einem Postfach, das niemand liest. Einmal pro Woche hineinschauen reicht.

Spam ist nicht nur lästig. Tausende Spam-Kommentare blähen die Datenbank auf und sind ein Hinweis, dass Schutzmechanismen fehlen.

Plugins werden gegen die aktuelle Core-Version getestet, nicht umgekehrt. Wer zuerst Core aktualisiert, hat weniger Konflikte. Einzeln einspielen zeigt sofort, welches Update ein Problem verursacht. Die Details stehen in der Anleitung.

Wer den Webspace übernimmt, übernimmt auch die Backups darauf. Erpressungstrojaner verschlüsseln gezielt Sicherungsdateien. Eine Kopie außerhalb ist die einzige, auf die du dich verlassen kannst.

Eingebrochene Seiten bleiben oft monatelang unauffällig. Der Scanner findet veränderte Core-Dateien und versteckte Hintertüren, bevor Google die Seite als gefährlich markiert.

Ein neuer Admin-Account, den niemand angelegt hat, ist das häufigste sichtbare Zeichen eines Einbruchs. Er fällt nur auf, wenn jemand hinschaut.

Seiten werden schleichend langsamer: größere Bilder, mehr Plugins, volle Datenbank. Ein Messwert pro Monat zeigt, wann es Zeit ist, aufzuräumen.

Die Search Console ist der direkte Draht zu Google. Dort steht, wenn Google deine Seite für gehackt hält oder Seiten nicht mehr indexiert. Das erfährst du sonst nirgends.

PHP-Warnungen sind Vorboten. Ein Plugin, das heute nur warnt, bricht beim nächsten PHP-Update des Hosters. Im Log siehst du es Monate vorher.

Consent-Tools brechen bei Updates still. Lädt Google Analytics oder YouTube vor der Einwilligung, ist das abmahnfähig, und du merkst es nicht, weil du eingeloggt bist.

Deaktivierte Plugins liegen weiter auf dem Server und können trotzdem Sicherheitslücken enthalten. Verwaiste Plugins ohne Entwickler bekommen nie ein Update.

Jede Änderung an einer Seite erzeugt eine Revision. Nach drei Jahren ist die Datenbank mehrfach so groß wie nötig, Backups dauern länger und Abfragen werden langsamer.

PHP-Versionen werden nach etwa drei Jahren eingestellt. Hoster heben dann zwangsweise an, und Plugins, die mit der neuen Version nicht laufen, legen die Seite lahm. Wer vorher testet, hat keinen Ausfall.

Ein abgelaufenes Zertifikat zeigt jedem Besucher eine Warnung. Eine abgelaufene Domain ist weg. Beides passiert, weil die Erinnerungsmail an eine alte Adresse ging.

Ein Backup, das nie zurückgespielt wurde, ist eine Hoffnung. Fehlende Datenbanktabellen, kaputte Archive oder vergessene Upload-Ordner fallen nur beim Test auf.

Jedes Plugin, das Daten an Dritte sendet (Schriften, Karten, Videos, Analyse), muss in der Datenschutzerklärung stehen. Was nach dem letzten Update dazukam, fehlt dort.

Zugänge sammeln sich an: der Freelancer von 2022, die Praktikantin, die alte Agentur. Jeder davon ist ein Einfallstor, wenn sein Passwort irgendwo auftaucht.

Abgelaufene Lizenzen zeigen keine Updates mehr an. Die Seite wirkt aktuell, läuft aber mit einer veralteten Version des wichtigsten Bausteins.

Die Mediathek ist meist der größte Teil des Backups. Hunderte unbenutzte 5-MB-Bilder machen jedes Backup und jeden Umzug langsamer und teurer.