Veraltete WordPress-Plugins: Was Sie zuerst aktualisieren und was Sie löschen

Um WordPress selbst wird sich recht gut gekümmert. Eine große Community arbeitet daran, Sicherheitskorrekturen erscheinen schnell, und kleinere Updates installieren sich seit Jahren automatisch. Die Schwachstelle sind die Plugins.

Jedes Plugin ist Code, den jemand anderes geschrieben hat. Manchmal ein großes Unternehmen mit eigenem Sicherheitsteam, manchmal eine einzelne Person, die vor einigen Jahren aufgehört hat, daran zu arbeiten. Eine typische Unternehmenswebsite hat ein Dutzend oder mehr, ein Shop oft noch mehr. Es reicht, wenn eines davon eine Lücke hat.

Warum Plugins der häufigste Weg hinein sind

Unternehmen, die beruflich Sicherheitslücken in WordPress verfolgen, etwa Patchstack und Wordfence, veröffentlichen jährliche Übersichten. Das Bild ist jedes Mal ähnlich: Die große Mehrheit der neu gefundenen Lücken steckt in Plugins, weniger in Themes, und der WordPress-Kern macht nur einen kleinen Teil aus.

Der Mechanismus ist einfach. Ein Plugin-Autor erfährt von einer Lücke und veröffentlicht eine korrigierte Version. Die Versionshinweise sind öffentlich, der Code auch. Wer leichte Ziele sucht, vergleicht die alte und die neue Version, sieht, was korrigiert wurde, und schreibt ein Skript, das nach Websites sucht, auf denen noch die Version von vor der Korrektur läuft. Eine Website, die das Plugin aktualisiert hat, ist sicher. Eine, die es ein halbes Jahr liegen lässt, landet auf der Liste.

Niemand zielt persönlich auf Ihr Unternehmen. Bots prüfen Websites in großen Mengen und nehmen die, die sie hineinlassen.

Wie Sie sehen, was veraltet ist

Melden Sie sich im Adminbereich an und öffnen Sie Dashboard > Aktualisierungen. Oben sehen Sie Ihre WordPress-Version, darunter eine Liste der Plugins und Themes, für die neuere Versionen verfügbar sind. Die rote Zahl neben Plugins im linken Menü zeigt, wie viele warten.

Auf der Seite Plugins hat jedes veraltete Plugin unter seinem Namen einen Balken mit dem Hinweis, dass eine neue Version verfügbar ist, und einem Link zu den Details. Klicken Sie darauf. Im Änderungsprotokoll schreiben Autoren oft ausdrücklich, dass sie ein Sicherheitsproblem behoben haben.

Werfen Sie auch einen Blick auf Werkzeuge > Website-Zustand. WordPress weist dort von selbst auf einige Probleme hin, etwa auf inaktive Plugins, die Sie entfernen sollten, oder auf eine veraltete PHP-Version auf dem Server.

Eine Falle: Kein Update-Hinweis heißt nicht, dass ein Plugin aktuell ist. Kostenpflichtige Plugins, die außerhalb des offiziellen Verzeichnisses gekauft wurden, aktualisieren sich meist nur mit einer gültigen Lizenz. Plugins, die mit einem Theme ausgeliefert werden, warten oft, bis der Autor des Themes eine neue Version veröffentlicht. Ist die Lizenz vor drei Jahren abgelaufen, zeigt der Adminbereich vielleicht nichts Beunruhigendes, während sich das Plugin seit drei Jahren nicht bewegt hat. Fragen Sie den, der die Website gebaut hat, ob es solche Plugins gibt.

Was Sie zuerst aktualisieren

Bei einem langen Rückstand klicken Sie nicht einfach auf „alle aktualisieren“ und hoffen. Eine sinnvolle Reihenfolge:

1. Plugins, in deren Änderungsprotokoll „Security“ steht oder eine Art von Lücke genannt wird, etwa XSS oder SQL-Injection.
2. Plugins, mit denen Ihre Besucher direkt zu tun haben: Formulare, der Shop, Anmeldung und Registrierung, Datei-Uploads, Page Builder.
3. WordPress selbst, falls es eine ganze Hauptversion zurückliegt.
4. Das Theme und die übrigen Plugins.

Lässt sich etwas nicht aktualisieren, weil die neue Version ein neueres PHP oder ein neueres WordPress braucht, sagt Ihnen auch das etwas. Die ganze Website ist zurückgefallen, und eine ordentliche Wartung bringt Ihnen mehr, als sie Stück für Stück zu flicken.

Was Sie löschen statt aktualisieren

Ein deaktiviertes Plugin liegt weiterhin auf Ihrem Server. Seine Dateien sind oft direkt erreichbar, am Adminbereich vorbei, eine Lücke in einem inaktiven Plugin ist also trotzdem eine Lücke. Wenn Sie etwas nicht nutzen, deaktivieren Sie es und klicken Sie auf Löschen. Abschalten reicht nicht.

Die zweite Gruppe sind aufgegebene Plugins. Öffnen Sie die Seite des Plugins im Verzeichnis auf wordpress.org und prüfen Sie, wann es zuletzt aktualisiert wurde. Wurde es mit den letzten drei Hauptversionen von WordPress nicht getestet, zeigt das Verzeichnis über der Beschreibung eine deutliche Warnung, dass es womöglich nicht mehr gepflegt wird. Wurde das Plugin geschlossen, sehen Sie einen Hinweis, dass es nicht mehr zum Download verfügbar ist. Manchmal ist der Grund für die Schließung ein Sicherheitsproblem, das nie behoben wurde.

Ein solches Plugin muss durch eines ersetzt werden, das noch gepflegt wird. Notieren Sie vor dem Austausch, was es getan hat, damit Sie danach prüfen können, ob alles noch wie vorher funktioniert.

Machen Sie vor dem Update ein Backup

Die meisten Updates laufen durch, ohne dass es jemand bemerkt. Ab und zu verträgt sich eine neue Version aber nicht mit dem Theme oder einem anderen Plugin, und statt Ihrer Website sehen Sie einen weißen Bildschirm oder die Meldung über einen kritischen Fehler. WordPress schickt dem Administrator dann per E-Mail eine Beschreibung des Problems und einen Link in den Wiederherstellungsmodus, aber besser ist es, ihn nicht zu brauchen.

Vor jeder größeren Update-Runde gilt deshalb:

• machen Sie ein vollständiges Backup der Dateien und der Datenbank und bewahren Sie es außerhalb des Servers auf (der Artikel über vergessene Backups erklärt, warum nicht im Website-Ordner),
• aktualisieren Sie ein Plugin nach dem anderen und prüfen Sie nach jedem die Startseite, das Kontaktformular und bei einem Shop den Warenkorb und den Bestellvorgang,
• spielen Sie größere Shop-Updates außerhalb Ihrer geschäftigsten Stunden ein,
• bietet Ihr Hoster eine Testkopie der Website an, ein sogenanntes Staging, probieren Sie das Update zuerst dort aus.

Automatische Updates: an oder aus

Seit Version 5.5 lassen sich in WordPress automatische Updates für jedes Plugin einzeln einschalten. Auf der Seite Plugins hat jeder Eintrag einen Link Automatische Aktualisierungen aktivieren.

Der Vorteil liegt auf der Hand: Eine Sicherheitskorrektur installiert sich selbst, ohne dass jemand erst Zeit finden muss. Nach jedem automatischen Update schickt WordPress dem Administrator eine E-Mail mit einem Hinweis, was sich geändert hat.

Der Nachteil ist ebenso klar. Wenn ein Update etwas kaputt macht, passiert das vielleicht nachts oder am Wochenende, wenn niemand hinschaut.

Ein vernünftiger Kompromiss für ein kleines Unternehmen sieht so aus:

• kleine, einfache Plugins von verlässlichen Autoren aktualisieren sich automatisch,
• der Shop, der Page Builder und alles, wovon Ihre Bestellungen abhängen, werden von Hand aktualisiert, aber regelmäßig, etwa einmal pro Woche, vorher mit Backup,
• ungenutzte und aufgegebene Plugins verlassen die Website.

Die schlechteste Variante sind manuelle Updates, die niemand tatsächlich macht. Wenn Sie nicht sicher sind, dass jede Woche jemand den Adminbereich öffnet, sind automatische Updates das kleinere Risiko als Plugins, die ein Jahr lang unberührt bleiben.