Veraltete Software ist eine offene Tür
Unter fast jeder Website läuft Software, die regelmäßig Sicherheitsupdates braucht. Bleiben sie aus, findet früher oder später jemand die Lücke.
Von Leif SandenStand 21.10.20263 Minuten Lesezeit
Inhalt
Das ist kein Problem großer Firmen. Angreifer suchen nicht nach Ihnen, sondern nach Schwachstellen, und zwar automatisch und massenhaft. Eine kleine Praxisseite wird genauso gefunden wie ein großer Shop.
Was auf Ihrer Website alles Updates braucht
Eine typische Website besteht aus mehreren Schichten. Ganz unten läuft auf dem Server eine Programmiersprache, meistens PHP. Darauf sitzt ein System wie WordPress oder Joomla, dazu ein Theme für das Aussehen und eine Handvoll Plugins für Formulare, Galerien oder Terminbuchung.
Für jede dieser Schichten erscheinen Updates. Fehlt eines, nützen die anderen wenig. Am häufigsten veraltet sind die Plugins, weil sie niemand im Blick hat.
Ein Beispiel aus diesem Herbst
Am 21.10.2026 hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) vor kritischen Lücken in PHP gewarnt. Betroffen waren nach damaligem Stand alle Versionen bis mindestens PHP 5. Angreifer hätten aus der Ferne Schadcode auf Webservern ausführen können.
Das BSI rechnete damit, dass die Lücken schon wenige Stunden nach Erscheinen der Updates ausgenutzt werden. Wer seinen Server nicht zeitnah aktualisiert, ist in solchen Fällen ein leichtes Ziel. Was in diesem Fall zu tun ist, steht im Artikel Kritische Lücke in PHP.
Was passieren kann
- Über Ihr Kontaktformular wird Spam in großen Mengen verschickt, Ihre Domain landet auf Sperrlisten.
- Auf Ihren Seiten taucht Schadcode auf, der Ihre Besucher angreift.
- Kundendaten aus Formularen oder einem Shop werden abgegriffen.
- Google warnt vor Ihrer Seite oder nimmt sie aus den Suchergebnissen.
Werden personenbezogene Daten abgegriffen, müssen Sie das in vielen Fällen innerhalb von 72 Stunden der Datenschutzaufsicht melden. Nach Art. 32 DSGVO müssen Sie solche Daten angemessen schützen, aktuelle Software gehört dazu.
Alte PHP-Versionen bekommen gar keine Updates mehr
Jede PHP-Version wird nur einige Jahre gepflegt. PHP 8.1 und alle älteren Versionen bekommen seit Ende 2025 keine Sicherheitsupdates mehr, PHP 8.2 nur noch bis Ende 2026. Läuft Ihre Seite auf einer solchen Version, hilft kein Patch. Dann muss die Seite auf eine aktuelle Version umziehen, und dabei zeigt sich oft, dass auch Theme und Plugins nicht mehr mitspielen.
So prüfen Sie es selbst
- Melden Sie sich in WordPress an und öffnen Sie „Dashboard“ und dann „Aktualisierungen“. Steht dort etwas, ist es überfällig.
- Unter „Werkzeuge“ und „Website-Zustand“ zeigt WordPress die PHP-Version und warnt, wenn sie zu alt ist.
- Schauen Sie bei den Plugins, wann sie zuletzt aktualisiert wurden. Ein Plugin ohne Update seit über einem Jahr sollte ersetzt werden.
- Fragen Sie Ihren Hoster, wer die Server-Updates einspielt und wie schnell.
Wenn Sie keinen Zugang haben oder nicht wissen, wer Ihre Seite betreut, ist das der wichtigste Befund.
Wie ich das löse
Ich spiele Updates für die Websites ein, die ich betreue, und prüfe danach, ob alles noch funktioniert. Die Seiten, die ich selbst baue, kommen ganz ohne PHP und ohne Plugins aus. Dadurch gibt es dort deutlich weniger, das veralten kann. Was die Betreuung umfasst, steht bei der Website-Wartung.
Häufige Fragen
Reicht es, automatische Updates in WordPress einzuschalten?
Wie oft sollte jemand nach Updates schauen?
Meine Website ist nur eine Visitenkarte. Betrifft mich das trotzdem?
Was kostet es, eine alte Seite auf Stand zu bringen?
Mehr aus dem Ratgeber
Sicherheit und Betrieb
Kritische Lücke in PHP: Was Websitebetreiber jetzt tun sollten
Das BSI warnt vor zwei kritischen Lücken in PHP. Was das für WordPress und andere Websites bedeutet, welche Versionen sicher sind und was Sie heute tun sollten.
Stand 21.10.2026
Recht und Datenschutz
Cookie-Banner: Deko oder gültig?
Wann Ihre Website ein Cookie-Banner braucht, welche Fehler häufig sind und warum die beste Lösung oft eine Website ohne Banner ist. Mit Check zum Selbermachen.
Stand 21.10.2026
Recht und Datenschutz
Google Fonts: Schriften, die Ärger machen können
Warum extern geladene Google Fonts die IP-Adresse Ihrer Besucher weitergeben, was das Landgericht München dazu entschieden hat und wie Sie es selbst prüfen.
Stand 21.10.2026
// Kontakt
Website-Check anfragen
Schicken Sie mir die Adresse Ihrer Website. Ich sehe nach, welche Software darunter läuft und wie alt sie ist, und sage Ihnen, was zu tun ist.