WordPress-Updates sind unerlässlich, um die Sicherheit einer Website zu gewährleisten, doch sie sind auch eine der größten Sorgen für Webagenturen. Wir haben Sébastien Cavaillé, Product Marketing Manager bei OVHcloud, gebeten, zu erklären, wie Smart Automatic Updates dieses Dilemma lösen soll.
Jede Agentur, die WordPress-Websites verwaltet, kennt diese Situation: Man benötigt Updates, hat aber nicht die Zeit oder Ressourcen, um sie durchzuführen. Einerseits können Updates nicht warten. Laut dem neuesten Jahresbericht des WordPress-Sicherheitsspezialisten Patchstack wurden 2025 11.334 neue Schwachstellen registriert, davon 91 % in Plug-ins, 9 % in Themes und nur sechs im WordPress-Core. Und Angreifer sind schnell. Rund die Hälfte der kritischen Schwachstellen wird innerhalb von 24 Stunden nach Bekanntwerden ausgenutzt. Ein veraltetes Plug-in ist einer der häufigsten Einstiegspunkte für Angreifer, und je länger ein Update aufgeschoben wird, desto länger bleibt eine Website ungeschützt.
Aber andererseits birgt jedes Update ein Risiko: ein inkompatibles Plug-in, ein Theme, das nicht mehr ordnungsgemäß angezeigt wird, eine Seite, die plötzlich einen Fehler zurückgibt. Um dieses Risiko nicht blind einzugehen, überprüfen viele Agenturen jede Website von Hand. Wenn Sie Dutzende oder sogar Hunderte von Websites verwalten, erfordert das viel Zeit. Und wenn die Zeit knapp wird, werden Updates verschoben, manchmal für Wochen oder Monate.
Um diese Hürde zu überwinden, haben die Teams von OVHcloud Smart Automatic Updates entwickelt – eine Funktion, die in Managed Hosting for WordPress enthalten ist. Sébastien hat an diesem Projekt gearbeitet und wird uns im Nachfolgenden helfen, das Thema besser zu verstehen.
Woher kommt die Projektidee?
Sie kam direkt von unseren Kund:innen. Auf unserer Shared-Hosting-Plattform hosten wir rund 6 Millionen Websites, von denen 80 % mit WordPress betrieben werden. Dadurch erhalten wir eine Menge Feedback und eine Sache kam immer wieder auf: Leute wissen, dass sie ihre Websites aktuell halten müssen, aber viele haben ein Update erlebt, das schief ging, und sie haben nicht die Zeit, jede Website von Hand zu überprüfen.
Klassische automatische Updates lösen das Sicherheitsproblem, aber sie schaffen ein anderes, weil man oft erst herausfindet, dass eine Website nicht mehr funktioniert, wenn die jeweiligen Kund:innen anrufen. Wir wollten eine Automatisierung, mit der die relevanten Prüfungen bereits vorab vorgenommen werden.
Eine Geschichte ist uns besonders in Erinnerung geblieben. Ein freiberuflicher Webentwickler betrieb eine Ein-Mann-Agentur und verwaltete Dutzende von WordPress-Websites für seine Kund:innen. Es wurde eine Schwachstelle in einem Plug-in bekannt, das auf vielen dieser Websites verwendet wurde, und er hatte einfach keine Zeit, sie alle zu aktualisieren, bevor Angreifer sich daran zu schaffen machen konnten. Innerhalb kurzer Zeit wurden 36 der Websites seiner Kund:innen gehackt und leiteten Besucher:innen auf bösartige Websites um.
Die Websites wieder in Ordnung zu bringen, war eine Sache. Am schwierigsten war es, sich den Kund:innen zu stellen. Sie alle hatten ihm ihre Websites anvertraut und erfahren, dass ihre Besucher:innen auf gefährliche Websites geleitet worden waren. Für einen Freelancer, dessen Geschäft auf Reputation und Mundpropaganda beruht, dauert die Reparatur einer solchen Schädigung seiner Glaubwürdigkeit viel länger als die Reparatur der Websites selbst.
Seitdem hat er die Websites seiner Kund:innen auf Managed Hosting for WordPress umgestellt und uns die Aufgabe übertragen, sie auf dem neuesten Stand zu halten. Seine Geschichte ist genau die Art von Situation, die wir verhindern wollten: nicht, weil er etwas falsch gemacht hat, sondern weil niemand wöchentlich Dutzende von Websites manuell aktualisieren kann.
Wie werden WordPress-Updates getestet?
Der Grundsatz ist, ein Update niemals direkt auf der Live-Site zu testen.
Wie sehen die vier Testphasen aus?
Wir überprüfen täglich, ob neue Updates verfügbar sind. Jedes Update wird dann in vier Stufen getestet.
Zunächst erstellen wir einen Snapshot der Website, wie sie heute aussieht. Ein Crawler startet von der Homepage aus und folgt den Links rekursiv: Verlinkt die Homepage auf Seite A, die auf Seite B verlinkt, die auf Seite C verlinkt, dann wird auch Seite C analysiert. Wir analysieren bis zu 50 Seiten pro Website. Für jede Seite erfassen wir den HTTP-Statuscode, den der Server zurückgibt. Dieser gibt an, ob die Seite normal geladen wird oder einen Fehler zurückgibt, zusammen mit einem Screenshot der gesamten Seite in der Auflösung 1920×1080.
Als nächstes klonen wir die Website in einer isolierten Testumgebung. Auf diesem Klon nehmen wir die Updates für WordPress, die Themes und die Plug-ins vor.
Drittens analysieren wir den Klon genau wie die ursprüngliche Website, mit den gleichen Seiten, den gleichen HTTP-Statuscodes und den gleichen Screenshots.
Abschließend vergleichen wir die beiden. Dieser Vergleich entscheidet, ob das Update in die Produktion gehen kann.
Was macht ein Update gültig?
Drei Bedingungen müssen erfüllt sein:
- Die HTTP-Statuscodes sind identisch. Wenn eine Seite, die früher funktionierte, jetzt einen Fehler ausgibt, wird das Update blockiert.
- Die Screenshots stimmen überein, mit einer kleinen Toleranz für visuelle Unterschiede.
- Jedes Theme- und jedes Plug-in-Update wurde ohne Fehler installiert.
Der visuelle Vergleich ist sehr streng konzipiert. Ein Pixel gilt als anders, sobald sich einer seiner Rot-, Grün- oder Blauwerte um auch nur eine Einheit ändert. Es gibt überhaupt keine Toleranz für Farbabweichungen. Was wir tolerieren, ist ein kleiner Anteil an veränderten Pixeln: bis zu 5 % der Seite. Der Schwellenwert gilt dafür, wie viel der Seite sich geändert hat, nicht wie viel sich jedes Pixel geändert hat.
Vor jedem Screenshot warten wir ein paar Sekunden, damit Animationen und ähnliche Effekte fertig geladen werden.
Wie werden Fehlalarme vermieden?
Viele Websites haben Karussells, Animationen oder Inhalte, die sich ständig ändern. Das war eines der interessantesten Probleme, die wir lösen mussten. In den allerersten Tests waren wir überrascht, wie viele Updates als Fehler markiert wurden, obwohl nichts kaputt aussah, als wir die Seiten manuell überprüften. Als wir die Screenshots untersuchten, waren die Übeltäter fast immer die gleichen: Homepage-Slider, die zum nächsten Bild gewechselt hatten, Countdown-Timer auf Event-Websites, Widgets für neueste Beiträge oder eingebettete Social-Media-Feeds, die zwischen zwei Aufnahmen aktualisiert wurden. Die Updates waren in Ordnung, aber die Seiten waren einfach lebendig.
Die Lösung bestand darin, mehrere Screenshots jeder Seite mit ein paar Sekunden Abstand zu machen. Ändert sich die Seite zwischen zwei Screenshots von selbst, kennzeichnet das System sie als dynamisch und schließt sie vom visuellen Vergleich aus. Diese Seiten werden jedoch nicht unbeachtet gelassen: Ihre HTTP-Statuscodes werden immer noch verglichen, sodass eine dynamische Seite, die einen Fehler zurückgibt, das Update weiterhin blockiert. Nachdem wir diesen Schritt hinzugefügt hatten, gingen die Fehlalarme drastisch zurück und wir konnten wieder auf den visuellen Vergleich vertrauen.
Wie weit reicht die Analyse?
Wir haben uns auf das konzentriert, was am wichtigsten ist: die Seiten, die Ihre Besucher:innen tatsächlich sehen. In der Praxis deckt dies den Core der meisten Websites ab: die Homepage, die Hauptbereiche und die wichtigsten Seiten, die Besucher:innen durchsuchen.
Seiten, die auch indirekt nicht von der Homepage aus erreicht werden können, sind nicht Teil der Analyse. Das ist beabsichtigt: Wenn kein Link zu einer Seite führt, können Besucher:innen auch nicht durch das Durchsuchen der Website dorthin gelangen, also ist es nicht der Ort, an dem ein fehlerhaftes Update sie betreffen würde.
Die gleiche Logik gilt für Bereiche hinter einem Login, wie Kunden-Accounts oder das Admin-Dashboard. Jede Website behandelt die Authentifizierung auf ihre eigene Weise, daher haben wir uns entschieden, uns auf die öffentlich zugänglichen Seiten zu konzentrieren, auf denen wir zuverlässige, konsistente Prüfungen im großen Maßstab durchführen können.
Die Idee ist nicht, die Expertise einer Agentur zu ersetzen, sondern die sich wiederholenden Prüfungen, die sie ansonsten Website für Website vom Hand durchführen würde, zu übernehmen. Dadurch wird Zeit für die Arbeit frei, die nur das Team der Agentur erledigen kann.
Wenn ein Test bestanden oder nicht bestanden wird
Was passiert, wenn die Validierung fehlschlägt?
Auf der Live-Site passiert nichts, und genau das ist der Sinn der Sache. Wenn ein Kriterium nicht erfüllt ist, werden die Updates nicht angewendet. Die Website läuft genau wie zuvor.
Der Kunde bzw. die Kundin erhält dann eine E-Mail, in der die Gründe für die fehlgeschlagene Validierung erläutert werden. Es gibt vier mögliche Ursachen:
- Plug-ins oder Themes konnten auf der Testseite nicht vollständig aktualisiert werden.
- Die Homepage gab einen 4xx-Fehler zurück oder war nicht erreichbar, daher konnte der Test nicht durchgeführt werden.
- Die HTTP-Antworten der ursprünglichen Website und des Klons unterscheiden sich.
- Die Screenshots der beiden unterscheiden sich.
Die E-Mail enthält auch einen Link zur geklonten Website, auf der die Aktualisierungen vorgenommen wurden. Die Agentur kann das Problem sehen, es direkt auf dem Klon beheben und das Update dann selbst in der Produktion auslösen, sobald alles in Ordnung ist.
Dieser Punkt stand für uns von Anfang an fest: Die Automatisierung übernimmt die wiederkehrenden Aufgaben, aber sie trifft niemals eine risikoreiche Entscheidung im Namen der Agentur. Im Zweifelsfall behält ein Mensch die Kontrolle.
Wie wird ein validiertes Update live geschaltet?
Nach der Validierung wird das Update kurz darauf in die Produktion überführt und die Kund:innen werden benachrichtigt.
Ein automatisches Rollback als solches gibt es nicht, da das Update bereits vorab getestet wurde. Sollte dennoch ein Problem auftreten, können Kund:innen mit einem Klick im OVHcloud Kundencenter ein Backup wiederherstellen. Backups werden auf Website-Basis und nicht für das gesamte Hosting-Paket erstellt, sodass eine Agentur die Websites individueller Kund:innen wiederherstellen kann, ohne andere zu berühren.
Kann ich Plug-ins von Updates ausschließen?
Nein, und das ist eine bewusste Entscheidung. Wenn jemand ein Plugin ausschließen möchte, dann liegt das meistens daran, dass die Person befürchtet, dass ein Update die Website kaputt macht. Sicherzustellen, dass nichts kaputt geht, ist genau unsere Aufgabe.
Einige Fälle erfordern eine besondere Behandlung – das übernehmen wir. Nehmen wir WooCommerce: Wenn eine Website sowohl WooCommerce als auch eine Premium-WooCommerce-Erweiterung verwendet, deren Lizenz abgelaufen ist, erhält die Premium-Erweiterung keine Updates mehr. Die Aktualisierung von WooCommerce allein würde dann das Risiko bergen, dass die Seite kaputt geht, weil eine aktuelle Version von WooCommerce nicht mit einer veralteten Version der Erweiterung kompatibel ist. In dieser Situation aktualisieren wir WooCommerce nicht. Wenn Smart Automatic Updates weitere Fälle wie diesen aufdeckt, kümmern wir uns auch darum.
Was ist mit Premium-Plug-ins und -Themes?
Die Regel ist einfach: Wenn Sie in Ihrem WordPress-Admin-Dashboard für ein Plug-in oder Theme auf „Aktualisieren“ klicken können, aktualisieren wir es. Wenn Sie das nicht können, zum Beispiel, weil eine Lizenz abgelaufen ist, dann auch wir nicht. In diesem Fall informieren wir die entsprechenden Kund:innen in ihrem OVHcloud Kundencenter darüber, dass das Plug-in aktualisiert werden muss, damit das Update nicht übersehen wird.
Was ändert sich für Agenturen?
Ich würde sagen: drei Dinge.
Erstens: die Sicherheit. Updates häufen sich nicht mehr, weil niemand Zeit hatte, sie zu überprüfen. Jede Website wird regelmäßig aktualisiert, wodurch sich die Zeit verkürzt, in der eine bekannte Schwachstelle offen bleibt.
Zweitens: Sorgenfreiheit. Die Agentur muss sich nicht mehr fragen, ob ein Update eine Website kaputt macht. Entweder wurde das Update validiert und angewendet, oder die Produktion blieb unberührt und man wurde genau darüber informiert, warum das so ist. Und wenn etwas schief geht, kann die Website individueller Kund:innen mit einem Klick wiederhergestellt werden, ohne die anderen zu beeinflussen.
Drittens: Zeitersparnis. Eine Agentur teilte uns mit, dass die Wartung ihrer Websites bis zu 30 % ihrer Zeit in Anspruch nimmt. Smart Automatic Updates übernimmt die wiederholten Prüfungen, sodass Agenturen mehr Zeit für die Dinge haben, die ihren Kund:innen den größten Nutzen bringen.
Smart Automatic Updates ist in allen unseren Managed Hosting for WordPress Paketen enthalten. Damit wird jedes WordPress-Update getestet, bevor es auf die Websites Ihrer Kund:innen gelangt. Erfahren Sie mehr darüber, wie wir Agenturen und Freelancer bei der Verwaltung ihrer WordPress-Websites unterstützen, oder lesen Sie, warum wir das gemanagte WordPress-Hosting auf diese Weise entwickelt haben.
Die Dokumentation zu Managed Hosting for WordPress behandelt die Einrichtung und den Update-Prozess ausführlicher.