Die 72-Stunden-Regel: Warum WordPress-Sicherheitsupdates schnell rein müssen und wie Wartung das sichert

Stellen Sie sich vor, Sie veröffentlichen morgen früh eine neue Produktseite und jemand findet gleichzeitig eine kritische Lücke in einem Plugin, das Sie seit zwei Jahren verwenden. Was passiert als nächstes, passiert schneller, als die meisten Website-Betreiber ahnen: automatisierte Bots scannen innerhalb weniger Stunden das gesamte Internet nach genau dieser Lücke. Nicht weil jemand gezielt Ihre Website angreift, sondern weil der Angriff vollautomatisch abläuft und Skalierung kostenlos ist.

Die Zahlen dahinter sind nüchtern. Laut Patchstacks Sicherheitsbericht vergehen nach der öffentlichen Offenlegung einer Schwachstelle im Median nur 5 Stunden bis zum ersten gezielten Angriff. 2025 wurden 11.334 neue Schwachstellen im WordPress-Ökosystem entdeckt, 42 Prozent mehr als im Vorjahr, und 46 Prozent davon hatten zum Zeitpunkt der Veröffentlichung noch keinen fertigen Patch. Das ist kein theoretisches Risiko, das ist der Alltag jeder WordPress-Website, die nicht aktiv gewartet wird.

Was die 72-Stunden-Regel bedeutet

Die 72-Stunden-Regel ist keine offizielle Norm, sondern eine Praxis-Faustformel, die ich aus jahrelanger Arbeit an WordPress-Projekten für den deutschen Markt entwickelt habe. Die Idee dahinter ist einfach: Zwischen Schwachstellen-Offenlegung und dem Moment, in dem Ihr Update produktiv ist, dürfen maximal 72 Stunden liegen. Das klingt großzügig, ist aber eigentlich das absolute Maximum.

Warum 72 Stunden? Weil ein verantwortungsvoller Update-Prozess Zeit braucht. Ein sofortiges Einspielen ohne Test kann ein WooCommerce-Checkout brechen, eine Bezahlseite deaktivieren oder das gesamte Layout zerstören. Gleichzeitig darf der Test nicht so lange dauern, dass das Zeitfenster für Angreifer komfortabel wird. 72 Stunden ist der Kompromiss: genug Spielraum für einen Staging-Test, aber kein entspanntes Warten bis zum nächsten Routine-Termin.

Warum manuelle Quartals-Updates gefährlich sind

Ich bekomme regelmäßig Anfragen von Unternehmen, die ihre WordPress-Website einmal im Quartal manuell aktualisieren. Das klingt nach einem Plan, ist in der Praxis aber kaum besser als gar nichts tun. Zwischen dem Moment, in dem eine Schwachstelle bekannt wird, und dem nächsten geplanten Update-Termin können 89 Tage liegen. 89 Tage, in denen jeder Angreifer mit einem einfachen Scan auf Ihre Installation zugreifen kann.

Besonders kritisch wird es, wenn die Schwachstelle in einem weit verbreiteten Plugin liegt. Ein Beispiel aus der Praxis: Anfang Oktober 2025 wurden Lücken in den Plugins GutenKit und Hunk Companion aktiv ausgenutzt, die auf zehntausenden Websites installiert waren. Die Angriffswelle rollte los, bevor die meisten Betreiber überhaupt von der Schwachstelle gehört hatten. Wer auf einen geplanten Update-Termin gewartet hätte, wäre in diesem Fall kompromittiert worden.

Der Prozess, der die 72-Stunden-Regel überhaupt erst möglich macht

Sicher innerhalb von 72 Stunden zu patchen ist kein Hexenwerk, aber es braucht einen Prozess, der aus drei konkreten Schritten besteht. Ohne diesen Prozess hängt die Reaktionszeit davon ab, ob Sie zufällig gerade Zeit haben und gerade die richtigen Newsletter lesen.

Schritt 1: Monitoring-Feed für Schwachstellen

Der erste Schritt ist, überhaupt zu wissen, dass eine Schwachstelle existiert. Dafür gibt es spezialisierte Dienste wie Patchstack, Wordfence Intelligence oder ManageWP, die die offiziellen CVE-Feeds, die WPScan Vulnerability Database und eigene Forschung aggregieren und Sie in Echtzeit benachrichtigen, wenn ein Plugin oder Theme betroffen ist, das auf Ihrer Website installiert ist. Mehr dazu, wie genau dieses Monitoring funktioniert, erkläre ich in meinem Artikel über Plugin-Schwachstellen-Monitoring für WordPress.

Der entscheidende Unterschied zu manuellen Routinen: Sie erfahren von einer Schwachstelle nicht, weil Sie zufällig den richtigen Blog gelesen haben, sondern weil Ihr System Sie aktiv alarmiert, sobald etwas relevant wird.

Schritt 2: Staging-Test vor dem Produktiv-Update

Ein Sicherheitsupdate ist kein Selbstläufer. Jedes Plugin-Update kann Kompatibilitätsprobleme auslösen, besonders wenn mehrere Plugins miteinander interagieren oder ein Custom-Theme auf bestimmte Plugin-Funktionen angewiesen ist. Deshalb gehört ein Staging-System zum Standard-Setup jeder professionellen WordPress-Wartung.

Der Test auf Staging dauert bei einem unkritischen Update 10 bis 20 Minuten: Update einspielen, kritische Seiten aufrufen, Checkout testen, Formular absenden, Darstellung prüfen. Bei einem WooCommerce-Shop kommen Bezahlprozess und Bestellbestätigung dazu. Wenn alles passt, geht das Update auf Produktion.

Wie ein sauberer Staging-und-Rollback-Prozess technisch aufgesetzt wird, habe ich ausführlich in meinem Artikel über WordPress-Updates ohne Ausfall beschrieben.

Schritt 3: Schnelle Produktiv-Freigabe

Nachdem der Staging-Test grünes Licht gibt, sollte die Freigabe für Produktion nicht am nächsten Werktag nach einem langen Meeting stattfinden, sondern umgehend. Wer einen Wartungsvertrag hat, der diesen Prozess professionell abdeckt, weiß: Der Engpass ist selten der Test, sondern die organisatorische Freigabe. Deshalb funktioniert ein Wartungsprozess nur, wenn die Entscheidungswege kurz sind und der Dienstleister die Freigabe für Standard-Updates eigenständig durchführen darf.

Warum das keine Kleinigkeit ist: der rechtliche Hintergrund

Ich bin Webentwickler, kein Rechtsanwalt, und das Folgende ist kein Rechtsrat, sondern der Hinweis auf einen Zusammenhang, den Betreiber kennen sollten.

Unter der DSGVO muss ein Datenschutzvorfall, der ein Risiko für natürliche Personen darstellt, innerhalb von 72 Stunden an die zuständige Aufsichtsbehörde gemeldet werden. Wenn eine kompromittierte WordPress-Website Kundendaten preisgibt und nachweisbar ist, dass der Betreiber seit Wochen kein verfügbares Sicherheitsupdate eingespielt hatte, ist das eine relevante Frage für Haftung und Bußgeld. Das Datenschutzrecht verlangt keine Sicherheit, die es nicht gibt, aber es verlangt angemessene technische und organisatorische Maßnahmen. Bekannte Schwachstellen nicht zu patchen fällt kaum darunter.

Für verbindliche Auskunft zu Ihrer konkreten Situation wenden Sie sich bitte an einen Datenschutzanwalt.

Was ein Wartungsvertrag konkret abdeckt

Ein professioneller WordPress-Wartungsservice deckt im Kern genau diese drei Schritte ab: Monitoring, Test, Freigabe. Aber er geht darüber hinaus. Zu einem vollständigen Leistungsumfang gehören täglich automatisierte externe Backups, Uptime-Monitoring mit Alarmierung bei Ausfall, Performance-Tracking und ein klar definiertes Service-Level für die Reaktionszeit bei kritischen Schwachstellen.

Mehr dazu, was ein solcher Service konkret umfasst und was er kostet, habe ich in meinem Überblicksartikel über WordPress-Wartung als Service zusammengefasst.

Für kleine Unternehmenswebsites beginnen seriöse Angebote in Deutschland bei rund 50 EUR pro Monat. WooCommerce-Shops, bei denen ein Ausfall direkt Umsatz kostet, liegen typischerweise bei 100 bis 200 EUR. Im Vergleich zu den Kosten einer kompromittierten Website mit Wiederherstellung, Datenschutz-Meldung und Reputationsschaden ist das ein klares Rechenbeispiel.

Was passiert, wenn Sie jetzt gerade keine Wartung haben

Das ist eine ehrliche Frage, die ich Kunden oft stelle, wenn sie sich nach einem Sicherheitsvorfall melden. Die typische Situation: Die Website läuft seit Monaten ohne Update, das Plugin-Verzeichnis zeigt 12 ausstehende Updates, darunter mindestens zwei mit bekannten CVEs.

Der erste Schritt ist nicht Panik, sondern ein strukturierter Audit. Welche Plugins sind betroffen? Gibt es aktive Exploits? Dann Updates in der richtigen Reihenfolge, beginnend mit den kritischsten Schwachstellen, gefolgt von einem vollständigen Malware-Scan. Wenn Sie sich nicht sicher sind, ob Ihre Website bereits kompromittiert wurde, ist ein sauberer Neuaufbau aus einem vertrauenswürdigen Backup oft die bessere Option als ein Update auf eine möglicherweise bereits verseuchte Installation.

Die eigentliche Botschaft hinter der 72-Stunden-Regel

Die Zahl 72 ist nicht das Wichtigste an dieser Regel. Das Wichtigste ist die Erkenntnis dahinter: Sicherheitsupdates sind keine Wartungsaufgabe, die sich auf einen geplanten Termin verschieben lässt. Sie sind zeitkritische Reaktionen auf ein aktives Bedrohungsbild. Wer das ernst nimmt, braucht einen Prozess, der diese Reaktion auch bei 30 anderen Aufgaben auf dem Schreibtisch verlässlich innerhalb von 72 Stunden liefert.

Ein Wartungsvertrag ist kein Luxus für große Agenturen. Er ist die einzige Möglichkeit, diese Reaktionszeit systematisch zu garantieren, und nicht dem Zufall zu überlassen, ob gerade jemand Zeit hat, einen Newsletter zu lesen. Wenn Sie für Ihre WordPress-Website eine verlässliche Lösung suchen, sprechen Sie mich gerne über meine WordPress-Betreuung für KMU an.