Automatische Updates

Updates sind sehr wichtig für die Sicherheit einer Website. Sicherheitslücken werden geschlossen und veraltete Funktionen werden durch neue ersetzt. Aber man muss dran denken. Gut, dass es die Option der automatischen Updates gibt.

Neue Versionen für Plugins kommen relativ häufig, je nach Anzahl der in einer Website eingesetzten Plugins sind fast täglich Updates fällig. Der WordPress-Core, also das WordPress CMS selbst, bekommt etwa alle 1 bis 2 Monate kleine Updates, etwa zweimal im Jahr kommt eine neue Version. Auch Themes bekommen Updates, aber hier ist die Frequenz weniger hoch als bei Plugins. Updates sind häufig sicherheitsrelevant. Das heißt, bietet ein Plugin ein Update an, sollte man das nicht ignorieren.

Updates, die eine bekannte Sicherheitslücke schließen, sollten immer so schnell wie möglich ausgeführt werden.

Welche Plugins sollen automatisch aktualisiert werden?

Ich für mich teile Plugins grob in drei Gruppen ein:

• Plugins, die, indirekt oder direkt, wichtig sind für die SICHERHEIT der Website. Das kann eines der gängigen Sicherheitsplugins sein, Plugins, die Backups erstellen und vergleichbare Plugins. Ihnen gemein ist, dass sie mit der Darstellung der Website nichts zu tun haben. Gleichzeitig haben sie meistens weitreichende Befugnisse und können so schnell zum Risiko werden.
• Plugins, die essenziell sind für die DARSTELLUNG und FUNKTION der Website. Das wäre zum Beispiel WooCommerce für einen Shop, LearnDash für eine e-Learning Plattform, und natürlich die ganzen Ergänzungsplugins, die man rundherum braucht.
• Plugins, die die Darstellung und Funktion nicht beeinträchtigen, aber nützliche Tools sind. Hierzu gehören etwa „KoKo Analytics“, „Yoast SEO“, „Enable Media Replace“, Maintenance Plugins oder so etwas wie „Admin Columns“.

Bevor man für ein Plugin automatische Updates aktiviert, muss man sich folgende Fragen stellen:

• Wie hoch ist das Risiko, das entsteht, wenn dieses Plugin in einer veralteten Version läuft?
• Wie groß ist die Gefahr, dass durch das automatische Update etwas an der Website kaputtgeht? Also dass beispielsweise die Darstellung nicht mehr funktioniert, oder der Shop ein Problem bekommt?

Zusätzlich können immer Konflikte entstehen, wenn zwei Plugins sich nach einem Update in die Haare kriegen. Das kann man leider nicht völlig ausschließen.

Plugins, die ich in der Regel automatisch aktualisieren lasse

Die Plugins der ersten Gruppe, also sicherheitsrelevant, aber im Hintergrund arbeitend, stehen bei mir meist ganz oben auf der Liste für automatische Updates. Gerade, falls eine Sicherheitslücke bekannt wird, möchte ich, dass diese so schnell wie möglich geschlossen wird.

Auch für die Plugins der dritten Gruppe nutze ich häufig die automatische Aktualisierung. Das betrifft alle nützliche Tools, die aber nicht direkt mit der Darstellung der Website für Besucher:innen zu tun haben. In der Regel verursachen sie keine Fehler, die die Funktion der Website beeinträchtigen.

Plugins, bei denen ich die Aktualisierung von Hand anstoße

Alle Plugins, die essenziell sind für einen Webshop, eine E-Learning-Plattform oder beispielsweise auch ein Buchungssystem, lasse ich normalerweise nicht automatisch updaten. In der Regel lese ich mir vor dem Aktualisieren das Changelog durch. So erfahre ich, welche Veränderungen das Update mitbringt. Handelt es sich nur um ein kleines Update, ist die Liste entsprechend kurz.
Das hilft mir, potenzielle Fehlerquellen zu sehen. Sprich, ich weiß, wo ich nach dem Update genauer hinschauen muss.

Bei sehr komplexen Systemen, wie einem WooCommerce-Shop oder einer E-Learning-Plattform, muss ich genau hinschauen und gründlich testen. Diese Updates finden idealerweise zuerst in einer Staging-Umgebung statt, also in einer exakten Kopie der Website in derselben Umgebung wie die Live-Website. So kann man aktualisieren, ohne dass es ernste Folgen hat. Falls doch etwas schiefgeht, kann man in Ruhe nach dem Fehler suchen.

Wie aktiviere ich automatische Updates?

Seit der WordPress-Version 3.7 gibt es die Möglichkeit, auf der Plugin-Übersichtsseite zu wählen, dass Updates für ein Plugin automatisch installiert werden sollen. Für die kostenlosen Plugins kommen die Updates in der Regel über WordPress.org. Für Premium-Plugins, für die man über die Website des Plugins oder eine Plattform eine Lizenz gekauft hat, werden diese Updates in der Regel von diesen Websites ausgeliefert. In seltenen Fällen muss man sich die aktuellste Version auch als Datei herunterladen und neu installieren.

Wenn automatische Aktualisierungen aktiviert wurden, werden die in der Regel einmal am Tag durchgeführt. Manchmal steht auf der Plugin-Seite auch, dass eine Aktualisierung in x Stunden geplant ist. Sobald das Update erfolgt ist, sendet das System eine E-Mail an die Adresse des Administrators. Falls es Probleme beim Updaten gab, bekommt man ebenfalls eine Nachricht. Daher ist es wichtig, eine aktuelle E-Mail-Adresse als Admin-Adresse zu nutzen, sodass man diese E-Mails auch bekommt.

Auch die Core-Aktualisierungen vom WordPress-System kann man automatisch updaten lassen. Hier kann man unterscheiden, ob lediglich die „kleinen“ Updates gemacht werden sollen, die in der Regel Sicherheits-Patches enthalten, oder ob auch die „großen“ WordPress-Updates automatisch ausgeführt werden sollen.

Stille Warnsignale beachten

Ab und zu wird ein Plugin nicht mehr weiterentwickelt, das heißt, es gibt irgendwann keine Updates mehr. Das passiert ganz leise, man übersieht diesen Fall sehr leicht. Ein Hinweis ist, wenn die Option „Automatisch Aktualisieren“ verschwindet, sprich, das Plugin kann über das WordPress Repository nicht mehr abgerufen werden.
Meist funktioniert das alte Plugin noch, aber es ist nicht mehr auf dem Stand der Technik und potenziell unsicher. In dem Fall sollte man sich zügig nach Ersatz umschauen.

Eine Ausnahme wäre, wenn die Plugin-Autor:innen das Plugin bewusst aus dem WordPress-Repository nehmen. In diesem Fall würde aber ein Hinweis auftauchen, woher man in Zukunft die Aktualisierungen bekommt, und vor allem, wie man vorgehen muss, dass man sie bekommt.

Wenn ein Update schiefgeht

Es kommt immer mal wieder vor, dass ein Update die Website zum Umkippen bringt. Im schlimmsten Falle sieht man dann nichts mehr außer dem gefürchteten „White Screen of Death“. Dann muss man herausfinden, wer der Übeltäter ist, und nach Möglichkeit auf eine frühere Version des jeweiligen Themes oder Plugins zurückgehen. Sollte das nicht möglich oder sinnvoll sein, muss man überlegen, ob man das Plugin ersetzen oder sogar löschen kann.

---