Die Agentur von damals gibt es nicht mehr. Oder der Neffe, der die Seite gebaut hat, wohnt längst woanders. Die Website läuft, aber wer hat eigentlich zuletzt etwas daran gemacht? Dieser Beitrag ist Teil 5 meiner Serie WordPress-Wartung verstehen. Ich zeige dir acht Warnzeichen, an denen du erkennst, ob deine WordPress-Website nicht gewartet wird. Du brauchst dafür kein Technik-Wissen. Am Ende gibt es eine Checkliste zum Abhaken, auch als PDF.
Woran du merkst, dass deine WordPress-Website nicht gewartet wird
Eine ungewartete Website ist eine Seite, um die sich niemand mehr regelmäßig kümmert. Updates bleiben liegen und niemand prüft die Sicherungen. Das Problem daran: Die Seite läuft meist einfach weiter. Sie sieht aus wie immer. Es zeigt sich erst, wenn etwas passiert. Ein Hack zum Beispiel. Oder ein Formular, das seit Wochen keine Anfragen mehr weiterleitet.
Deshalb lohnt sich ein Blick, bevor etwas passiert. Die meisten Warnzeichen siehst du selbst. Du musst dich nur in WordPress anmelden und wissen, wohin du schaust.
Woher das Wissen kommt
Zwei Quellen helfen beim Einordnen. Das Sicherheitsunternehmen Sucuri bereinigt gehackte Websites. Jedes Jahr wertet es aus, in welchem Zustand diese Seiten waren. Der Bericht für das Jahr 2023 ist der neueste, den ich geprüft habe.
Die zweite Quelle ist Patchstack. Das Unternehmen sammelt Sicherheitslücken in WordPress-Erweiterungen. Es hat 2023 auf ein Problem hingewiesen, das viele nicht kennen: WordPress zeigt nicht an, wenn ein installiertes Plugin aus Sicherheitsgründen aus dem offiziellen Verzeichnis entfernt wurde. Laut Patchstack waren davon bis zu 1,6 Millionen Installationen betroffen.
Was die Zahlen sagen
Laut Sucuri war bei 39,1 % der gehackten Websites das System zum Zeitpunkt des Angriffs veraltet. Es fehlte also das neueste Sicherheits-Update. Bei 13,97 % fand Sucuri mindestens ein Plugin oder Theme mit einer bekannten Lücke.
Dazu kommt eine Zahl aus dem Patchstack-Bericht 2025: Im Jahr 2024 wurden 1.614 Plugins und Themes aus dem offiziellen WordPress-Verzeichnis entfernt. Der Grund waren Sicherheitsprobleme, die nicht behoben wurden. Wer so ein Plugin installiert hat, bekommt keine Updates mehr. Und keinen Hinweis im Dashboard.
Die Grenzen dieser Zahlen solltest du kennen. Sucuri zählt nur Seiten, die zu Sucuri zur Bereinigung kamen. Das ist eine Auswahl gehackter Seiten, nicht das ganze Internet. Und Patchstack verkauft selbst Schutz-Software. Die Richtung ist trotzdem klar: Veraltete Software ist eines der häufigsten Einfallstore.
Die 8 Warnzeichen im Überblick
Geh die Punkte der Reihe nach durch. Für die meisten musst du dich nur in WordPress anmelden.
1. Viele offene Updates
Links im Menü steht bei „Aktualisierungen“ eine Zahl. Eine kleine Zahl ist normal, Updates kommen laufend. Steht dort aber seit Wochen eine zweistellige Zahl, kümmert sich niemand darum.
2. Plugins, die seit Jahren kein Update bekommen haben
Unter „Plugins“ findest du bei jedem Eintrag den Link „Details ansehen“. Dort steht, wann das Plugin zuletzt aktualisiert wurde. Liegt das mehr als ein Jahr zurück, hat der Hersteller es womöglich aufgegeben.
3. Plugins ohne jede Update-Info
Normalerweise steht bei jedem Plugin ein Link wie „Automatische Updates aktivieren“. Fehlt dieser Link, findet WordPress keine Quelle für Updates. Das kann ein harmloses Eigenbau-Plugin sein. Es kann aber auch ein Plugin sein, das aus dem Verzeichnis entfernt wurde. Patchstack beschreibt genau dieses Zeichen als Hinweis auf verwaiste Plugins.
4. Dein Hoster meldet sich wegen alter Software
Hast du eine Mail bekommen, dass deine PHP-Version ausläuft? PHP ist die Programmiersprache, in der WordPress läuft. Auch WordPress selbst zeigt unter Werkzeuge › Website-Zustand an, wenn sie veraltet ist. Was du dann tust, erklärt Teil 8 dieser Serie: PHP-Version: Warum dein Hoster dich zum Update drängt.
5. Fremde Seiten bei Google
Gib bei Google site: und deine Domain ein, ohne Leerzeichen dazwischen. Google zeigt dann alle Seiten, die es von deiner Website kennt. Tauchen dort Seiten auf, die du nie angelegt hast? Etwa in fremder Sprache? Das ist ein ernstes Zeichen. Die Seite ist dann vermutlich schon gehackt und braucht schnell Hilfe.
6. Ein altes Jahr ganz unten auf der Seite
Unten auf der Seite steht oft „© 2019“ oder ähnlich. Das allein ist kein Sicherheitsproblem. Es ist aber ein Hinweis, dass länger niemand an der Seite gearbeitet hat.
7. Niemand hat mehr einen Admin-Zugang
Kannst du dich heute selbst als Administrator anmelden? Oder liegen die Zugänge nur bei der Person, die die Seite gebaut hat? Ohne eigenen Zugang kannst du im Notfall nichts tun. Und du weißt nicht, wer sonst noch Zugriff hat.
8. Anfragen aus dem Formular kommen nicht an
Schick dir selbst eine Anfrage über dein Kontaktformular. Kommt sie nicht an, verlierst du womöglich seit Wochen Kunden. Das ist der teuerste Fehler auf dieser Liste, weil ihn niemand bemerkt.
Was die Anzahl der Warnzeichen bedeutet
Zähl, wie viele Punkte bei dir zutreffen. Die folgende Einteilung ist eine Faustregel aus der Praxis, keine Norm.
Ein wichtiger Hinweis bei vielen Warnzeichen: Klick nicht einfach überall auf „Aktualisieren“. Bei einer lange vernachlässigten Seite kann das mehr kaputt machen als reparieren. Erst sichern, dann Schritt für Schritt aktualisieren und nach jedem Schritt testen. Warum das so ist, erklärt der erste Teil der Serie: Was bei einer WordPress-Wartung jeden Monat passiert.
Was das Recht dazu sagt
Sammelt deine Seite Daten, etwa über ein Kontaktformular, gilt in Deutschland und Österreich die DSGVO. Ihr Artikel 32 verlangt Schutzmaßnahmen, die dem Risiko angemessen sind. In der Schweiz verlangt Artikel 8 des Datenschutzgesetzes „eine dem Risiko angemessene Datensicherheit“ (Gesetzestext als PDF). Eine Seite mit vielen offenen Lücken passt schlecht zu diesen Vorgaben. Das ist keine Rechtsberatung, sondern eine Einordnung.
Wann der Selbstcheck Sinn macht und wann nicht
Der Selbstcheck passt, wenn du eine Seite übernommen hast oder länger nicht hineingeschaut hast. Mach ihn auch, wenn dein Betreuer gewechselt hat. Danach reicht es, ihn einmal im Quartal zu wiederholen.
Der Selbstcheck ersetzt keine Prüfung durch einen Fachmann. Er zeigt dir nur, ob du genauer hinschauen solltest. Bei Warnzeichen 5, also fremden Seiten bei Google, solltest du nicht selbst herumprobieren. Dann hilft die WordPress-Notfallhilfe. Was du nach einem Hack sofort tun solltest, steht in der Soforthilfe-Checkliste für gehackte WordPress-Seiten.
Wenn deine Seite sauber ist und du sie besser schützen willst, findest du Anregungen im Beitrag WordPress absichern: 12 Härtungsmaßnahmen. Ob deine Seite wichtige Sicherheits-Einstellungen im Browser setzt, zeigt der Security Headers Generator.
Checkliste: Acht Warnzeichen zum Abhaken
Hake ab, was bei dir schon passt. Dein Stand bleibt in diesem Browser gespeichert.
- Im Dashboard stehen kaum offene Updates. Melde dich an und schau auf die Zahl bei „Aktualisierungen“. Mehr als eine Handvoll über Wochen ist ein Warnzeichen.
- Jedes Plugin hat im letzten Jahr ein Update bekommen. Klick bei Plugins auf „Details ansehen“. Dort steht, wann es zuletzt aktualisiert wurde.
- Jedes Plugin zeigt eine Update-Info an. Fehlt bei einem Plugin der Link für automatische Updates, kann es verwaist sein. Frag nach, woher es stammt.
- Mein Hoster hat sich nicht wegen alter Software gemeldet. Such im Postfach nach Mails des Hosters mit „PHP“ oder „Version“.
- Bei Google erscheinen unter meiner Domain keine fremden Seiten. Gib bei Google site:deinedomain.at ein. Siehst du Seiten, die du nicht kennst?
- Ich habe selbst einen Admin-Zugang. Kannst du dich heute als Administrator anmelden? Ohne fremde Hilfe?
- Testmails aus dem Kontaktformular kommen an. Schick eine Anfrage über dein eigenes Formular. Kommt sie in deinem Postfach an?
- Ich weiß, wer zuletzt an der Seite gearbeitet hat. Hast du Name und Kontakt der Person oder Firma? Hat sie noch Zugang?
Häufige Fragen
Wie finde ich heraus, wann meine Seite zuletzt aktualisiert wurde?
Melde dich an und öffne „Aktualisierungen“. Dort siehst du, was offen ist. Bei den Plugins zeigt „Details ansehen“, wann der Hersteller zuletzt ein Update veröffentlicht hat. Wann bei dir zuletzt aktualisiert wurde, weiß am besten dein Betreuer. Frag nach einem Bericht.
Kann eine Seite gehackt sein, ohne dass ich es merke?
Ja. Angreifer wollen oft gar nicht, dass du etwas merkst. Sie nutzen die Seite für Spam oder leiten nur Besucher von Google um. Die site:-Suche aus Warnzeichen 5 ist ein einfacher erster Test.
Was mache ich, wenn ich keinen Admin-Zugang mehr habe?
Frag zuerst die Person oder Firma, die die Seite gebaut hat. Klappt das nicht, hilft oft der Hoster weiter. Über den Kundenbereich des Hosters lässt sich ein neuer Zugang anlegen. Dafür brauchst du die Zugangsdaten zum Hoster-Konto.
Übernimmst du auch Seiten, die jemand anderer gebaut hat?
Ja. Vor der Übernahme mache ich einen technischen Check. Falls nötig, wird die Seite zuerst bereinigt und abgesichert. Erst dann beginnt die laufende Wartung. Wie das abläuft, steht auf der Seite zur WordPress-Wartung.
Mehr als zwei Warnzeichen gefunden? Dann schau ich mir deine Seite an, egal, wer sie gebaut hat. Den Sicherheits-Check gibt es auch einzeln, bevor du dich für ein Wartungspaket entscheidest. Alles dazu findest du bei der WordPress-Wartung. Weiter in der Serie geht es mit dem Thema Backups: wie eine Sicherung aussieht, die im Notfall wirklich funktioniert. Alle Teile findest du auf der Übersichtsseite der Serie.
Quellen
- Sucuri: 2023 Hacked Website & Malware Threat Report
- Patchstack (2025): State of WordPress Security in 2025. Daten für 2024
- Patchstack (2023): The WordPress Zombie Plugins Pandemic Affects 1.6 Million Websites
- Patchstack: How to find potentially abandoned plugins in your WordPress site
- DSGVO Art. 32: Sicherheit der Verarbeitung (Text auf dsgvo-gesetz.de)
- Schweiz, Bundesgesetz über den Datenschutz (DSG), Schlussabstimmungstext, Art. 8 Datensicherheit
