Automatische Updates in WordPress - sollten sie aktiviert werden?

Die in PHP geschriebene Software WordPress stellt spätestens seit 2010 den unangefochtenen Marktführer unter allen Content Management Systemen (CMS) dar - lediglich ab 2005 gelang es Joomla, diese Position für einige Jahre zu übernehmen. Das auf die Überwachung und Analyse des Internets spezialisierte Portal w3techs.com ermittelt aktuell einen Anteil von über 40 Prozent (Stand: Oktober 2021) unter den zehn Millionen populärsten Webseiten auf der Welt und rund zwei Drittel bei allen verwendeten Shopping Systemen und CMS. Insofern stellt es eine bedeutende Frage dar, ob es sinnvoll und empfehlenswert ist, automatische Updates für WordPress zu aktivieren - resultieren daraus doch direkte Konsequenzen für eine Vielzahl von privaten, kommerziellen und öffentlichen Webseiten.

Inhalt:

Wie oft veröffentlicht WordPress Updates?
Welche Auswirkungen haben Updates auf das CMS?
Wie funktionieren automatische Updates bei WordPress?
Wo liegt der Vorteil von automatischen gegenüber manuellen Updates?
Sollten automatische Updates unter WordPress aktiviert werden?

Wie oft veröffentlicht WordPress Updates?

Im Vergleich zu anderen CMS wie Joomla oder Typo3 veröffentlicht WordPress seine Aktualisierungen in einem vergleichsweise kurzen Abstand - in der Regel sind es etwa drei im Jahr, wobei wirkliche Versionssprünge mit einer umfassenden Neugestaltung oder Optimierung des Codes relativ selten alle vier bis fünf Jahre erscheinen. Dieses Konzept unterscheidet sich von vielen anderen Anbietern, die stattdessen auf längere Entwicklungszeiten und umfangreiche Änderungen setzen, bietet jedoch einige konkrete Vorteile:

• Zahlreiche kleinere Änderungen reduzieren die Gefahr von Inkompatibilität
• Rasche Reaktion auf kritische Sicherheitslücken oder Bugs möglich
• Kontinuierliche Weiterentwicklung in kurzen Intervallen
• Weitläufige Verbreitung ermöglicht rasche Entwicklung und Fokussierung auf Schwachpunkte
• Enge Verzahnung und Kommunikation zwischen Entwicklern und Nutzern
• Weitgehende Kontrolle des Workflows und der individuellen Verantwortung einzelner Teams
• Konzentration von Ressourcen wie Arbeitskraft und -zeit auf signifikante Punkte
• Frühzeitige Implementation von neuen Funktionen für Nutzer und externe Programmierer

Auf der anderen Seite steht die Gefahr, dass diese Aktualisierungen nicht oder erst verspätet angewandt beziehungsweise eingespielt werden. Diesem Risiko begegnet WordPress allerdings, indem es alle bestehenden Versionen über einen sehr langen Zeitraum von teilweise bis zu zehn Jahren unterstützt. Dies bedeutet einen praktischen Mehraufwand in der Entwicklung und stellt in gewisser Weise eine Herausforderung für das hinter WordPress stehende Team dar - wegen seiner Popularität und der extrem großen Community ergeben sich allerdings ebenfalls zahlreiche Initiativen und Unterstützung durch außenstehende Programmierer.

Welche Auswirkungen haben Updates auf das CMS?

Vor der Veröffentlichung einer Aktualisierung durchläuft ein Update eine umfangreiche Prüfung in verschiedenen Testumgebungen und unterliegt einer umfassenden Begutachtung. Durch die kurzen Zyklen und die Konzentration auf kleinere Änderungen bewirken einzelne WordPress Updates häufig lediglich spezifische Effekte, die zum Beispiel die Performance verbessern, potenzielle Schwachstellen beseitigen oder neue Funktionen und grafische Nutzerinterfaces einführen. Allerdings zwingen sie diesen den Nutzern nicht in einem größeren Stil auf und ermöglichen es, sich durch langsame Veränderung besser an die eingeführten Optionen zu adaptieren.

Darüber hinaus reduziert die vergleichsweise niedrige Zahl der Änderungen erheblich den Aufwand, bei einem Problem oder einer Inkompatibilität den Ursprung zu suchen und zu finden. Die schnelle Eingrenzung beschleunigt ebenfalls den Entwicklungszyklus bei den Anwendern, weil sie auch hier eine Konzentration auf das Wesentliche zulässt. Um die Benutzung zusätzlich zu erleichtern, unterstützt WordPress zudem automatische Updates weitgehend - dies gilt sowohl für das Basissystem wie für eine Vielzahl der verfügbaren Plug-ins. Selbstverständlich steht allerdings bei letzteren der externe Entwickler in der Verantwortung, diese einzuspielen und für seine Anwender zur Verfügung zu stellen.

Obwohl die einzelnen Fortschritte bei WordPress in der Regel eher "klein" ausfallen, können sie dennoch fundamentale Änderungen an einem laufenden System bewirken. Zu unterscheiden sind in diesem Zusammenhang einfache Aktualisierungen, die innerhalb einer Version erfolgen und lediglich einzelne Teile betreffen, und die sogenannten Versionssprünge etwa von 4.0 "Benny" aus dem Jahr 2014 auf 5.0 "Bebo" im Dezember 2018. Sie stehen als Kennzeichen für einen umfassenderen Eingriff und bedeuten dadurch ein erhöhtes Risiko, dass technische Schwierigkeiten auftreten oder sich die Aktualisierung inkompatibel mit individuellen Erweiterungen wie Templates oder Plug-ins zeigt.

Wie funktionieren automatische Updates bei WordPress?

Die Funktion für automatische Updates bei Plug-ins und Themes führte WordPress erst mit der im August 2020 veröffentlichten Version "Eckstine" ein und entsprach dem Wunsch vor allem privater Nutzer, die sich im Alltag nicht um eine aktive Betreuung und Aktualisierung ihrer Webseite bemühen, gleichzeitig jedoch ein schnelles Schließen etwa von Sicherheitslücken und eine optimale Performance anstreben. Sie operiert wie die bereits vorher existierende Option für manuelle Updates, kontaktiert jedoch die von den Entwicklern hinterlegten Adressen und überprüft dadurch in regelmäßigen Abständen, ob eine neue Version publiziert wurde. Findet es eine solche, startet ein automatisierter Prozess für deren Installation, der die Gefahr einer Fehlfunktion bei der Umstellung minimieren und gleichzeitig eine zeitnahe, unbetreute Aktualisierung ermöglichen soll. Dieser beinhaltet mehrere Schritte, die nacheinander durchgeführt werden:

• Überprüfung auf neue Versionen mit dem von den Entwicklern angegebenen Servern
• Vergleich der installierten mit der zur Verfügung gestellten Variante auf Version und Status (z. B. stabil oder experimentell)
• Herunterladen eines mit Zip oder Gzip komprimierten Pakets mit der neuen Version
• Installation durch die in WordPress integrierten Routinen für manuelle Updates
• Automatische Antwort auf Bestätigungen oder Fragen mit den vorgegebenen Standards oder Einstellungen
• Optional: Rückmeldung an den Administrator über automatische Updates durch E-Mail oder SMS

In den meisten Fällen verläuft eine solche Aktualisierung unauffällig im Hintergrund, ohne dass ein manuelles Eingreifen erforderlich wäre. Allerdings können gerade bei Versionssprüngen in Ausnahmen Probleme auftreten, weil zum Beispiel Informationen wie Verzeichnispfade fehlen, die nicht automatisch ermittelt werden können, oder sich Plug-ins und Themes als inkompatibel mit dem installierten System erweisen.

Wo liegt der Vorteil von automatischen gegenüber manuellen Updates?

Grundsätzlich stellt es eigentlich keinen Unterschied dar, ob Aktualisierungen automatisch oder manuell eingespielt werden, weil ihre Auswirkungen sich selbstverständlich nicht aufgrund der Methode unterscheiden. Allerdings sind einige Aspekte zu berücksichtigen, um das ideale Verfahren zu wählen und dabei das Risiko von technischen Schwierigkeiten zu minimieren und gleichzeitig eine maximale Sicherheit, Stabilität und Performance zu gewährleisten. Konkret sprechen folgende Punkte für oder gegen automatische Updates:

Vorteile:

• Schnelle Aktualisierung von WordPress, Plug-ins und Themes
• Unmittelbares Einspielen von Updates für höhere Performance, Funktionalität oder Sicherheit
• Keine manuelle Überprüfung auf Updates erforderlich
• Dauerhaft aktuelles System ohne zusätzlichen Zeit- oder Arbeitsaufwand
• Integrierte Kontrolle von Zugriffsrechten, Nutzern und Gruppen
• Protokollierung von Aktionen in den entsprechenden Log-Dateien

Allerdings existieren ebenfalls einige mögliche Konflikte und Schwierigkeiten, die berücksichtigt werden sollten, bevor automatische Updates generell zugelassen werden:

• Automatische Updates können individuell angepassten Code überschreiben
• Keine explizite Kontrolle über Einstellungen zum Beispiel bei neuen Berechtigungen
• Antworten auf Rückfragen werden von den Entwicklern vorgegeben
• Inkompatibilität zwischen System und Komponenten wie Plug-ins oder Themes möglich
• Fehler und eingeschränkte Funktionalität bei Erweiterungen und deren Anbindung

Prinzipiell ist festzuhalten, dass technische Probleme in Folge von Updates eine seltene Ausnahme darstellen und lediglich bei einem kleinen Bruchteil aller Installationen auftreten. Sie lassen sich wegen der Vielzahl der möglichen Kombinationen aus WordPress, Templates, Themes und Plug-ins jedoch niemals vollständig ausschließen. Problematisch zeigt sich in diesem Zusammenhang, dass sie erhebliche Auswirkungen auf die Erreichbarkeit, Darstellung oder Sicherheit einer Webseite haben können.

Sollten automatische Updates unter WordPress aktiviert werden?

Für die Entscheidung, ob es sinnvoll ist, automatische Updates für WordPress zu aktivieren, müssen unterschiedliche Faktoren berücksichtigt werden. Einer der wichtigsten darunter ist der Charakter einer Webseite - während zum Beispiel bei einem reinen privaten Blog oder einer persönlichen Präsentation ein kurzweiliger Ausfall keine gravierenden Folgen zeigt, kann dies bei einer kommerziellen Internetpräsenz zu einem erheblichen Umsatz- oder Vertrauensverlust führen. Aus diesem Grund ist es bei solchen produktiven Systemen generell ratsam, alle Updates zunächst in einer experimentellen Testumgebung zu überprüfen, um eine vollständige Kompatibilität und Funktionsfähigkeit im laufenden Betrieb zu gewährleisten. Dies kann zum Beispiel aus einem identischen Basissystem von WordPress mit den entsprechenden Plug-ins und Einstellungen auf einem virtuellen Server bestehen, auf dem keine sicherheitskritischen oder datenschutzrechtlich relevanten Daten gespeichert sind. Ein einfaches Vorgehen besteht darin, auf diesem die automatischen Updates zu aktivieren und sie erst nach einer ausführlichen Überprüfung manuell auf dem produktiven System einzuspielen. Spezielles WordPress Webhosting bietet diese Möglichkeit meistens schon an.

Bei Webseiten mit privaten Inhalten oder solchen, die ausschließlich der Information von Besuchern dienen, aber keinerlei kommerzielles oder gewerbliches Interesse verfolgen, spricht hingegen wenig dagegen, automatische Updates bei WordPress zu aktivieren. Hier stellt es nicht selten sogar einen positiven Einfluss auf die Sicherheit dar, weil diese oft nicht regelmäßig gepflegt werden und sich in alten Versionen bereits öffentlich publizierte Schwachstellen oder Sicherheitslücken verbergen können. Aus diesem Grund und wegen des begrenzten Schadenspotenzials durch Fehlfunktionen - in der Regel besteht dieser aus der Anzeige eines Fehlercodes wie HTTP Error 500 Internal Server Error - empfiehlt es sich hier durchaus, Aktualisierungen automatisch vornehmen zu lassen.

Foto: Werner Moser auf Pixabay