WordPress im Betrieb

Wenn die Seite jetzt steht, oder du es abgeben willst

• WordPress-Soforthilfe: Fehlerdiagnose und Reparatur 149 € – weiße Seite, kritischer Fehler, Datenbankfehler, nach einem Update kaputt. Festpreis je Vorfall, erste Einschätzung kostenlos, Rückmeldung meist am selben Werktag.
• WordPress-Wartung für 49 € im Monat – Updates mit Sicherung und Prüfung, tägliche Backups außerhalb des Servers, Überwachung, Monatsbericht. Monatlich kündbar.
• WordPress-Bereinigung nach einem Hack, ab 290 € – Malware entfernen, Zugänge neu, Lücke schließen, Überprüfung bei Google. Preis nach der Ersteinschätzung, vorab fix.

Worum es hier geht

WordPress ist schnell aufgesetzt und bleibt dann liegen: Der Kern aktualisiert sich selbst, die Plugins nicht immer, die PHP-Version beim Hoster nie von allein. Genau dort entstehen die Lücken. Patchstack zählt für 2025 11.334 neue Schwachstellen im WordPress-Umfeld, 91 % davon in Plugins, sechs im Kern; bei 46 % gab es zur Veröffentlichung noch keine Korrektur. Die Beiträge dieser Rubrik sind die Pflege, die dagegen hilft, und die Erste Hilfe, wenn es schon passiert ist, jeweils mit den Befehlen dazu.

Wie es draußen aussieht, habe ich am 03.10.2026 an 131 erreichbaren Tiroler Startseiten nachgesehen (in eigener Sache, Betriebe und Tourismusverbände aus meiner Akquise-Liste, nur Summen): 22 laufen erkennbar auf WordPress, 11 davon nennen ihre Version im Quelltext, acht mit 7.1.2, zwei mit 7.0.6, eine mit 6.7.9. Von den 22 senden fünf HSTS und eine eine Content-Security-Policy. 17 der 131 Seiten verraten per X-Powered-By ihre PHP-Version, sechs davon eine, für die php.net keine Sicherheitskorrekturen mehr liefert.

Wenn eine Fehlermeldung da steht

Den Überblick gibt das Lexikon der WordPress-Fehlermeldungen: Wortlaut, Bedeutung, erster Griff. Die häufigsten Fälle haben eigene Anleitungen: „Es gab einen kritischen Fehler auf deiner Website“, die weiße Seite, Fehler beim Aufbau einer Datenbankverbindung und der hängende Wartungsmodus. Kommen die Mails aus Formularen und Shop nicht an, liegt es meist an Absender und SPF: WordPress-Mails kommen nicht an.

Pflege, in der Reihenfolge, in der man sie braucht

WordPress-Updates sagt, was der Kern von selbst macht und in welcher Reihenfolge Plugins, Themes und Hauptversionen kommen; welche Version gerade aktuell und noch gepflegt ist, steht unter aktuelle WordPress-Version. Vor größeren Updates hilft eine Staging-Umgebung, vor jedem Update ein Backup, dessen Rücksicherung geprobt ist. PHP-Version prüfen und umstellen ist der Teil der Pflege, den das Dashboard nicht anbietet, und WordPress-Plugins zeigt, welche es braucht und welche weg können. Was Wartung bei anderen kostet und was in den Vertrag gehört: Was kostet WordPress-Wartung?

Sicherheit und der Ernstfall

WordPress-Sicherheit prüfen ist die Prüfliste für den Normalbetrieb, mit WP-CLI-Befehlen und der Patchstack-Statistik. Einzelne Punkte daraus haben eigene Anleitungen: Zwei-Faktor-Anmeldung, Benutzerrollen, die wp-config.php und xmlrpc.php. Ist es schon passiert: erst der Malware-Scan in drei Schichten, dann Website gehackt: was tun mit den neun Schritten, und bei japanischen Seiten in Google der Japanese Keyword Hack.

Drei Dinge, die du in fünf Minuten selbst prüfen kannst

Erstens die Versionsnummer: Steht im Quelltext der Startseite ein generator-Tag mit Version, liest ein Angreifer dieselbe Zeile; aktualisieren, nicht verstecken. Zweitens die PHP-Version im Website-Zustand des Dashboards oder in der X-Powered-By-Kopfzeile; alles unter 8.3 steht bei wordpress.org nicht mehr als empfohlen. Drittens die Plugin-Liste: wp plugin list zeigt, was installiert und was deaktiviert ist, und ein deaktiviertes Plugin liegt mit allen Dateien weiter auf dem Server. Die Befehle und die Quellen dazu stehen in den Beiträgen.

Ob WordPress überhaupt bleiben soll oder eine statische Seite weniger Arbeit macht, zeigt der Vergleich unter Webentwicklung. Alles zu SPF, DKIM, DMARC und Security-Headern liegt in der Rubrik Sicherheit.