Am 17. Juli 2026 hat WordPress eine neue Sicherheitsversion veröffentlicht. WordPress 7.0.2 schliesst eine kritische und eine hochriskante Lücke im Kern. Die offizielle Empfehlung ist eindeutig: Betroffene Websites sollen sofort aktualisiert werden. Für betroffene Installationen wurden zudem erzwungene automatische Updates aktiviert.
Das ist dringlich, aber kein Grund für Alarmismus. Für ein Schweizer KMU zählt jetzt nicht die Frage, ob irgendwo ein grünes Update-Symbol erscheint. Entscheidend ist ein belegter Status: Welche Version läuft? Gibt es eine aktuelle Sicherung? Wurde die Website nach dem Update geprüft? Und ist klar, wer im Störungsfall handeln kann?
Der folgende 45-Minuten-Check liefert genau diese vier Nachweise. Er enthält keine Anleitung zum Ausnutzen der Lücken. Er konzentriert sich auf sichere Aktualisierung, Funktionsprüfung und Verantwortlichkeit.
Was am 17. Juli 2026 geändert wurde
Die offizielle Mitteilung nennt zwei Sicherheitsprobleme im WordPress-Kern. Eines ist als kritisch, das andere als hochriskant eingestuft. WordPress nennt folgende korrigierte Versionen:
- WordPress 7.0.2 für die aktuelle Reihe
- WordPress 6.9.5 für die Reihe 6.9
- WordPress 6.8.6 für die Reihe 6.8
Die Reihe 6.9 ist laut Mitteilung von beiden Lücken betroffen. Die Reihe 6.8 ist von einer der beiden Lücken betroffen. Versionen vor 6.8 sind gemäss der Veröffentlichung nicht betroffen. Wer eine Beta-Version von 7.1 testet, benötigt 7.1 Beta 2.
Wichtig ist die Unterscheidung zwischen Update und Nachweis. Ein automatisches Update reduziert den manuellen Aufwand. Es bestätigt aber nicht, dass Kontaktformular, Anmeldung und weitere zentrale Funktionen danach geprüft wurden. Genau diese Lücke schliesst der dokumentierte Check.
Der 45-Minuten-Plan im Überblick
Reservieren Sie einen ungestörten Termin und bestimmen Sie eine verantwortliche Person. Der Ablauf ist bewusst knapp:
| Zeit | Prüfung | Nachweis |
|---|---|---|
| 5 Minuten | Installierte Kernversion erfassen | Version, Website, Zeitpunkt, Person |
| 10 Minuten | Sicherung kontrollieren | Datenbank, Dateien, Speicherort, Datum |
| 15 Minuten | Update und zentrale Funktionen prüfen | Update-Status und Prüfergebnis |
| 10 Minuten | Ergebnis dokumentieren | Vorher, nachher, offene Punkte |
| 5 Minuten | Notfallkontakte bestätigen | Webhoster, Zugang, Vertretung |
Die Zeitangaben sind ein Arbeitsrahmen. Bei mehreren Websites, individuellen Erweiterungen oder einem fehlerhaften Update braucht die Prüfung länger.
1. Kernversion in fünf Minuten erfassen
Öffnen Sie den Verwaltungsbereich und notieren Sie die installierte WordPress-Version. Erfassen Sie dabei nicht nur die Versionsnummer, sondern auch:
- vollständige Website-Adresse
- Datum und Uhrzeit der Prüfung
- Name der verantwortlichen Person
- erkannte WordPress-Reihe
- angezeigter Update-Status
Vergleichen Sie die installierte Version mit der korrigierten Version der jeweiligen Reihe. Wenn 7.0.2, 6.9.5 oder 6.8.6 angezeigt wird, ist der Kern auf dem in der Sicherheitsmitteilung genannten Patchstand. Ist die Version älter, planen Sie das Update sofort ein.
Ein Screenshot kann den Eintrag ergänzen. Er ersetzt aber nicht die schriftliche Zuordnung zu Website, Zeitpunkt und verantwortlicher Person.
2. Sicherung in zehn Minuten kontrollieren
Vor einem manuellen Update empfiehlt die offizielle WordPress-Anleitung eine Sicherung. Eine typische WordPress-Website besteht dabei aus zwei Teilen: der Datenbank und den Dateien. Die Datenbank enthält unter anderem Beiträge, Kommentare und Konfigurationen. Zu den Dateien gehören der Kern, Erweiterungen, Gestaltungsvorlagen und hochgeladene Medien.
Prüfen Sie deshalb vier Punkte:
- Wann wurde die letzte Datenbanksicherung erstellt?
- Wann wurden die Website-Dateien gesichert?
- Wo liegt die Sicherung, und wer hat Zugriff?
- Ist der Wiederherstellungsweg dokumentiert?
Ein aktuelles Dateipaket ohne Datenbank ist für eine typische Wiederherstellung unvollständig. Das Gleiche gilt umgekehrt für eine reine Datenbanksicherung. Behandeln Sie beide Teile als zusammengehörigen Sicherungssatz.
Fehlt ein Teil oder ist der Speicherort unklar, halten Sie das als offenen Punkt fest. Starten Sie kein riskantes manuelles Vorgehen, solange kein verlässlicher Rückweg vorhanden ist.
3. Update und Funktionen in fünfzehn Minuten prüfen
WordPress kann die Sicherheitsversion automatisch installiert haben. Die Veröffentlichung weist ausdrücklich darauf hin, dass für betroffene Versionen erzwungene automatische Updates aktiviert wurden. Prüfen Sie trotzdem die tatsächlich installierte Version.
Falls ein manuelles Update erforderlich ist, verwenden Sie den vorgesehenen Aktualisierungsweg im Verwaltungsbereich. Die offizielle Anleitung beschreibt dafür den Bereich für Aktualisierungen. Laden Sie WordPress nicht aus einer unbekannten Quelle herunter.
Prüfen Sie nach dem Update mindestens diese Funktionen:
- Startseite und eine wichtige Unterseite laden
- Kontaktformular bis vor dem Versand testen
- Anmeldung im Verwaltungsbereich prüfen
- zentrale Navigation auf Mobilgerät und Desktop öffnen
- eine geschäftskritische Funktion testen, etwa Anfrage, Termin oder Bestellung
Kontrollieren Sie danach erneut die Kernversion. Notieren Sie, ob das Update automatisch oder manuell erfolgte und welche Funktionen geprüft wurden.
4. Nachweis in zehn Minuten abschliessen
Ein brauchbarer Prüfvermerk ist kurz, aber eindeutig. Er enthält:
- Version vor und nach dem Update
- Zeitpunkt der letzten Sicherung
- geprüfte Seiten und Funktionen
- Ergebnis jeder Prüfung
- offene Punkte mit verantwortlicher Person
- Termin für die nächste Kontrolle
Vermeiden Sie unklare Einträge wie «Update erledigt». Besser ist: «Kernversion 7.0.2 am 20. Juli 2026 bestätigt. Startseite, Kontaktformular und Anmeldung geprüft. Keine sichtbaren Fehler. Wiederherstellungsweg beim Webhoster dokumentiert.»
So kann eine Vertretung später nachvollziehen, was tatsächlich geprüft wurde. Der Eintrag wird ausserdem zur Grundlage für den nächsten Wartungstermin.
5. Notfallkontakte in fünf Minuten bestätigen
Zum Abschluss beantworten Sie vier Fragen:
- Wer darf beim Webhoster ein dringendes Ticket eröffnen?
- Wer besitzt den Verwaltungszugang?
- Wer kann die Sicherung zurückspielen?
- Wer entscheidet über Wartungsmodus oder vorübergehende Abschaltung?
Halten Sie Namen, Telefonnummern und Vertretung fest. Prüfen Sie, ob die Zugänge erreichbar sind, ohne Passwörter im Protokoll zu speichern. Wenn nur eine Person alle Schritte ausführen kann, dokumentieren Sie mindestens eine Stellvertretung.
Was tun, wenn der Check rot bleibt?
Stoppen Sie weitere Änderungen, wenn die Website nach dem Update Fehler zeigt oder die Sicherung unvollständig ist. Dokumentieren Sie den letzten bekannten Zustand und kontaktieren Sie die zuständige technische Person oder den Webhoster. Spielen Sie keine unbekannten Pakete ein und testen Sie keine Anleitungen aus unklaren Quellen.
Der Check ist kein Sicherheitszertifikat. Er ist eine belastbare Momentaufnahme. Er zeigt, welche Punkte geprüft sind und wo noch Handlungsbedarf besteht.
Vom Akut-Check zum Wartungsprozess
Eine einmalige Prüfung löst den akuten Fall. Ein Wartungsprozess verhindert, dass der nächste Sicherheitshinweis wieder bei null beginnt. Legen Sie dafür einen festen Rhythmus, eine verantwortliche Person und dieselben vier Nachweise fest: Version, Sicherung, Funktionsprüfung und Notfallweg.
Wiederkehrende Kontrollen lassen sich teilweise automatisieren. Verantwortlichkeit und Freigabe bleiben trotzdem wichtig. Ein passendes Praxisbeispiel finden Sie im Beitrag AI-Automatisierung für KMU im Büro.
Wenn Sie den aktuellen Zustand gemeinsam prüfen und als nachvollziehbaren Bericht festhalten möchten, können Sie den Website-Sicherheitscheck für Ihr KMU anfragen. eluma.ch prüft Version, Sicherung, zentrale Funktionen und Notfallweg sachlich und dokumentiert.