Zum Hauptinhalt springen

Warum Website-Wartung jedes Jahr aufwendiger wird

Oktober 12, 2026 • Florian De Felice •
Lesedauer: 4 Minuten
Ein stilisiertes Browserfenster, daneben eine Treppe aus Update-Symbolen, die von links nach rechts immer höher wird.
Noch vor wenigen Jahren reichte es, eine WordPress- oder Joomla-Website ein- bis zweimal im Jahr zu aktualisieren. Heute erscheinen jeden Tag neue Sicherheitslücken, und die gefährlichsten davon werden innerhalb von Stunden ausgenutzt. Wie stark sich die Lage verändert hat, zeigen die Zahlen von Patchstack, das die Sicherheitslücken im WordPress-Ökosystem jedes Jahr auswertet – und sie erklären, warum hinter einer gepflegten Website heute deutlich mehr Arbeit steckt.

Fast 20-mal so viele Sicherheitslücken wie 2020

2020 zählte Patchstack 582 neue Sicherheitslücken im WordPress-Ökosystem, also in WordPress selbst, in Plugins und in Themes. 2025 waren es 11.334 – ein Plus von 42 % gegenüber dem Vorjahr. Rechnerisch sind das rund 31 neue Lücken an jedem Tag des Jahres; 2020 waren es 1,6.
Säulendiagramm: neue Sicherheitslücken im WordPress-Ökosystem pro Jahr. 2020: 582, 2021: 1.382, 2022: 4.528, 2023: 5.948, 2024: 7.966, 2025: 11.334, 2026 als Hochrechnung rund 15.500.
Neue Sicherheitslücken im WordPress-Ökosystem pro Jahr (Core, Plugins, Themes). Quelle: Patchstack, jeweils Bericht des Folgejahres; Patchstack korrigiert ältere Jahreswerte teils nachträglich. *2026: eigene Hochrechnung. Für WordPress gibt es noch keinen Jahreswert. Das FIRST-Konsortium erwartet über alle Software-Produkte hinweg rund 66.000 veröffentlichte Schwachstellen (CVEs), 2025 waren es 48.185 – ein Zuwachs von 37 %, den wir auf den WordPress-Wert 2025 übertragen haben.

Das Risiko steckt in den Plugins

Auffällig ist, wo die Lücken entstehen: 91 % der neuen Lücken 2025 betrafen Plugins, 9 % Themes. Im WordPress-Kern selbst meldete Patchstack nur sechs Lücken, alle mit geringer Priorität. Neu ist dieses Muster nicht: Schon 2020 stammten nur 22 der 582 Lücken aus WordPress selbst, rund 96 % aus Plugins und Themes. Neu ist die Menge. WordPress an sich ist also nicht das Problem – die Erweiterungen sind es. Für die Wartung heißt das: Jedes zusätzliche Plugin auf einer Website erhöht den Pflegebedarf, weil es eigene Updates braucht und eine eigene mögliche Schwachstelle mitbringt.

Gefährliche Lücken werden in Stunden ausgenutzt

Es werden nicht nur mehr Lücken, sie werden auch ernster. Die Zahl der gut ausnutzbaren Lücken stieg 2025 laut Patchstack um 113 %, und es wurden mehr schwerwiegende Lücken gefunden als in den beiden Vorjahren zusammen. Dazu kommt das Tempo: Bei den meistangegriffenen Lücken vergehen im gewichteten Median nur 5 Stunden bis zur ersten Ausnutzung. Rund die Hälfte der Lücken mit hoher Auswirkung wird innerhalb von 24 Stunden ausgenutzt.
Und nicht für jede Lücke gibt es sofort eine Lösung: Bei 46 % der Lücken lag zum Zeitpunkt der Veröffentlichung noch kein Update des Herstellers vor.

Und Joomla? Eine Welle von Lücken in Erweiterungen

Für Joomla gibt es keine Jahresberichte wie die von Patchstack. Unsere eigene Auswertung der US-Schwachstellendatenbank NVD zeigt aber für 2026 einen deutlichen Sprung: Bis Anfang Oktober wurden 371 Sicherheitslücken mit Joomla-Bezug veröffentlicht – fast doppelt so viele wie in den Jahren 2020 bis 2025 zusammen (194). Auch hier betreffen die Lücken vor allem Erweiterungen, nicht den Joomla-Kern. Vier Lücken in Joomla-Erweiterungen aus diesem Jahr führt die US-Behörde CISA bereits als aktiv ausgenutzt, darunter im Editor JCE und im SP Page Builder.
Dazu kommen feste Fristen: Joomla 3 erhält seit August 2023 keine Sicherheitsupdates mehr, Joomla 4 seit Oktober 2025. Für Joomla 5 endet der Sicherheitssupport am 12. Oktober 2027. Wer eine Joomla-Website betreibt, sollte den Wechsel auf Joomla 6 deshalb rechtzeitig einplanen – der Sprung auf eine neue Hauptversion ist kein gewöhnliches Update, sondern eine eigene Migration.

Warum das den Wartungsaufwand erhöht

Aus diesen Zahlen ergeben sich vier ganz praktische Folgen für jede Website, die gepflegt wird:
Vier Symbole nebeneinander: ein Stapel Update-Karten, ein Prüfhäkchen auf einem Testfenster, eine Stoppuhr und ein Auge, das eine offene Lücke beobachtet.
  • Mehr Updates pro Termin: Mehr Lücken bedeuten mehr Sicherheitsupdates für Kern, Plugins und Themes, die bei jedem Wartungstermin eingespielt werden müssen.
  • Mehr Tests pro Update: Ein Update ist mehr als ein Klick. Bei uns wird vor jedem Update eine temporäre Datensicherung erstellt, damit sich die Website im Fehlerfall sofort auf den letzten funktionierenden Stand zurücksetzen lässt. Jedes Update wird vorab getestet statt direkt live eingespielt, danach folgt ein Funktionstest, ob die Website erreichbar ist und richtig dargestellt wird. Jedes zusätzliche Update durchläuft diese Schritte – mehr Updates heißt mehr Prüfaufwand.
  • Schnellere Reaktion: Wenn die Hälfte der besonders gefährlichen Lücken innerhalb eines Tages angegriffen wird, reicht ein fester Termin im Jahr dafür nicht aus.
  • Mehr Beobachtung: Fast jede zweite Lücke ist bei ihrer Veröffentlichung noch offen. Solche Lücken müssen verfolgt werden, bis der Hersteller ein Update liefert – und dann zeitnah geschlossen werden. Das muss zwischen den Wartungsterminen passieren, nicht erst beim nächsten.

Ein ehrlicher Einwand: Nicht jede Lücke ist gefährlich

Zur Einordnung gehört auch die Gegenrechnung. Das FIRST-Konsortium, das die weltweite Zahl veröffentlichter Schwachstellen prognostiziert, stellt fest: Filtert man über alle Software-Produkte hinweg nur die Lücken heraus, die nachweislich ausgenutzt werden (CISA-KEV-Katalog) oder eine erhöhte Ausnutzungswahrscheinlichkeit haben (EPSS-Wert über 10 %), dann gilt: „the actionable patching burden remains completely flat“ – der Aufwand für wirklich dringende Updates bleibt dort gleich. Für WordPress zeigen die Patchstack-Zahlen allerdings ein anderes Bild: Gerade der gut ausnutzbare Teil ist 2025 um 113 % gewachsen. Für WordPress-Websites wächst also nicht nur die Masse, sondern auch der Teil, der wirklich zählt.

Was das für Sie bedeutet

  • Den Wartungsrhythmus am Risiko ausrichten: Wer kritische Lücken schnell schließen will, kommt mit einem jährlichen Termin nicht aus. Entscheidend ist, wie schnell auf eine kritische Lücke reagiert wird.
  • Plugins kritisch prüfen: Jedes Plugin, das nicht wirklich gebraucht wird, ist zusätzliche Angriffsfläche und zusätzlicher Pflegeaufwand.
  • Updates nie ungetestet live einspielen: Ein Test vor dem Livegang fängt Fehler ab, bevor Ihre Besucher sie sehen – und eine Datensicherung vor jedem Update macht den Rückweg jederzeit möglich.
  • Wartung realistisch kalkulieren: Der gestiegene Aufwand ist der Grund, warum professionelle Wartung heute anders kalkuliert werden muss als noch vor wenigen Jahren.

Passende Leistung

WordPress- und Joomla-Wartung in zwei Paketen mit monatlichem Zeitkontingent – Updates im zweiwöchentlichen oder wöchentlichen Rhythmus, kritische Sicherheitsupdates automatisch innerhalb von 24 Stunden. Jedes Update wird vorab getestet.
„Update-Service“ ansehen

Quellen

Wie unsere Beiträge entstehen

Beim Recherchieren, Gliedern und Formulieren unserer Blogbeiträge nutzen wir KI-Werkzeuge als Unterstützung. Inhalt, Quellen und Aussagen prüfen wir selbst, bevor ein Beitrag erscheint – die redaktionelle Verantwortung liegt bei uns.