Jede zweite WordPress-Seite, die bei uns zur Betreuung ankommt, sieht ähnlich aus: dreißig Plugins, von denen zehn seit Jahren kein Update bekommen haben, drei inaktive Themes, eine PHP-Version, die der Hoster längst abgekündigt hat, und ein Admin-Konto mit dem Benutzernamen „admin“. Die Seite läuft noch, aber langsam, und irgendwann läuft sie nicht mehr. So räumen Sie das in einem Nachmittag auf.
Vorher: Backup
Bevor Sie irgendetwas anfassen, sichern Sie Dateien und Datenbank. Die meisten Hoster bieten dafür einen Knopf im Kundenmenü, sonst tut es ein Plugin wie UpdraftPlus. Laden Sie das Backup herunter, ein Backup auf demselben Server hilft nicht, wenn der Server das Problem ist. Prüfen Sie, dass die Datei nicht null Byte groß ist. Das klingt übertrieben, bis man es einmal gebraucht hat.
Schritt 1: Plugins ausmisten
Gehen Sie die Liste durch und stellen Sie bei jedem Plugin drei Fragen: Wird es wirklich benutzt? Wann war das letzte Update? Gibt es die Funktion inzwischen in WordPress selbst? Inaktive Plugins löschen, nicht nur deaktivieren, sie sind ein Einfallstor. Plugins, deren letztes Update älter als zwei Jahre ist, ersetzen. Und Funktionen, die WordPress seit Version 6 selbst kann, etwa einfache Spalten, Galerien oder Buttons im Block-Editor, brauchen kein Plugin mehr.
Besonders häufige Kandidaten zum Löschen: ein zweites Caching-Plugin, drei verschiedene SEO-Plugins, Slider, die niemand mehr benutzt, Social-Media-Buttons, die nur Daten an Facebook schicken, und Sicherheits-Plugins, die mehr Probleme verursachen als lösen. Als Richtwert: Eine normale Unternehmensseite kommt mit acht bis zwölf Plugins aus.
Schritt 2: Themes aufräumen
Behalten Sie das aktive Theme und, falls Sie eines nutzen, sein Eltern-Theme. Alles andere löschen. Wenn Sie Anpassungen direkt im Theme gemacht haben, prüfen Sie, ob es ein Child-Theme gibt. Ohne Child-Theme überschreibt das nächste Theme-Update alle Änderungen, und das ist der häufigste Grund, warum Leute keine Updates mehr einspielen. Ein Child-Theme anzulegen dauert zehn Minuten.
Schritt 3: Updates in der richtigen Reihenfolge
- PHP-Version beim Hoster prüfen. WordPress empfiehlt inzwischen PHP 8.0 oder neuer. Viele Seiten laufen noch auf 7.4, das seit diesem Jahr keine Sicherheitsupdates mehr bekommt. Vor dem Umstellen prüfen, ob alle Plugins mit PHP 8 zurechtkommen; die Hersteller geben das an.
- WordPress selbst aktualisieren. Auf die aktuelle Version 6.0, in einem Schritt, nicht über Zwischenversionen.
- Plugins aktualisieren, eins nach dem anderen, und nach jedem die Seite kurz anschauen. Bei dreißig Plugins auf einmal weiß man nachher nicht, welches die Seite zerlegt hat.
- Theme aktualisieren, wenn ein Child-Theme da ist.
- Automatische Updates einschalten für kleine WordPress-Versionen und für Plugins, denen Sie vertrauen. Für große Versionen lieber manuell.
Schritt 4: Sicherheit herstellen
- Benutzer „admin“ löschen und durch ein Konto mit anderem Namen ersetzen. Bots probieren „admin“ zuerst.
- Für alle Konten lange Passwörter, am besten aus einem Passwortmanager. Konten von ehemaligen Mitarbeitern und Agenturen entfernen.
- Zwei-Faktor-Anmeldung einrichten. Das ist der eine Schritt, der die meisten Einbrüche verhindert.
- Anmeldeversuche begrenzen, damit niemand tausend Passwörter pro Minute durchprobieren kann.
- Datei-Bearbeitung im Backend abschalten (eine Zeile in der wp-config.php), damit ein gekapertes Konto nicht gleich Code einschleusen kann.
- Die XML-RPC-Schnittstelle abschalten, wenn Sie sie nicht brauchen. Die meisten brauchen sie nicht.
- Backups automatisch, täglich, an einen anderen Ort.
Schritt 5: Datenbank und Medien
Nach Jahren liegen in der Datenbank hunderte Revisionen alter Beiträge, Spam-Kommentare und Tabellen von längst gelöschten Plugins. Ein Aufräum-Plugin entfernt das in einer Minute und macht die Seite spürbar schneller. In der Mediathek sammeln sich Bilder mit 5.000 Pixeln Breite und 4 MB Größe, die als Vorschaubild dienen. Die vorhandenen Bilder lassen sich nachträglich komprimieren, für neue sollte die Seite automatisch verkleinern und ins WebP-Format wandeln, das WordPress seit Version 5.8 unterstützt.
Danach: messen
Rufen Sie vor und nach dem Aufräumen Google PageSpeed Insights auf und vergleichen Sie. Erfahrungsgemäß halbiert sich die Ladezeit am Handy nach so einem Durchgang, ohne dass sich am Aussehen etwas ändert. Das merken Besucher, und das merkt Google.
Wenn es zu viel wird
Manchmal ist das Fundament nicht mehr zu retten: ein Theme, das es nicht mehr gibt, Plugins, die niemand mehr pflegt, Anpassungen, die keiner versteht. Dann ist ein sauberer Neuaufbau mit einem schlanken Theme oft günstiger als das Flicken. Wir schauen uns das an und sagen ehrlich, welcher Weg sinnvoll ist. Wer das Aufräumen lieber abgibt, bucht es als einmalige Arbeit oder als laufende Wartung. Mehr dazu auf der Seite Webentwicklung und WordPress aus Bonn.
Passend dazu: WordPress-Programmierung und Wartung aus Bonn
Über den Autor
Oliver Misch
Geschäftsführer der medienplus GmbH, Online-Marketing seit 2006
Oliver baut seit 2006 Webseiten und sorgt dafür, dass sie gefunden werden. Er führt webplusmedia in Bonn-Bad Godesberg, macht die Erstgespräche selbst und schreibt hier über das, was in Projekten mit Betrieben aus der Region wirklich passiert.
