Betreiber von WordPress-Seiten konzentrieren sich oft auf Plugin- und Core-Updates, doch das aktive Theme erhält weniger Aufmerksamkeit. Die Plugin-Liste ist im Admin-Bereich gut sichtbar. Das Theme dagegen ist häufig etwas, das vor Jahren installiert und seither nicht mehr beachtet wurde. Das Problem ist: Themes sind ebenfalls Code. Sie bergen dieselben Risiken wie Plugins, und ein veraltetes Theme kann genauso gefährlich sein wie jedes ungepatchte Plugin auf Ihrer Seite.
Das Sicherheitsrisiko
Themes enthalten PHP. Sie laufen bei jedem Seitenaufruf. Sie bringen ihre eigene functions.php mit, oft mit individuellem Hilfscode, der Formulare, AJAX-Anfragen und Integrationen verarbeitet. Jeder Fehler in diesem Code ist aus dem öffentlichen Web erreichbar – genauso wie ein Fehler in einem Plugin.
Zu den häufigen Theme-Schwachstellen zählen nicht authentifizierte AJAX-Endpunkte, die Benutzereingaben ohne Validierung akzeptieren, Datei-Upload-Funktionen ohne ordentliche Bereinigung sowie Kontaktformulare oder Kommentar-Handler, die nicht auf Cross-Site-Scripting geprüft wurden. Premium-Themes mit gebündelten Plugins sind ebenfalls ein Risiko, weil die mitgelieferten Plugin-Versionen meist festgeschrieben sind und selten aktualisiert werden, wenn das ursprüngliche Plugin einen Fehler behebt.
Wenn Ihr Theme seit über einem Jahr nicht aktualisiert wurde, werten Sie das als Warnung. Wenn es seit über zwei Jahren nicht aktualisiert wurde, betrachten Sie es als faktisch aufgegeben.
Das Kompatibilitätsrisiko
Themes werden für eine bestimmte WordPress-Core-Version, eine PHP-Version und einen Satz zugehöriger Plugins entwickelt. Während sich diese weiterentwickeln, beginnt ein nicht gepflegtes Theme auf subtile Weise zu versagen. Der Block-Editor wird anders dargestellt. Moderne Blöcke werden nicht korrekt angezeigt. PHP-Warnungen erscheinen im Fehlerprotokoll. Mobile Layouts verhalten sich auf neueren Browsern fehlerhaft. Die Core-Web-Vitals-Werte sinken, weil das Theme Layoutverschiebungen erzeugt, die aktuelle Browser strenger messen.
Nichts davon ist am ersten Tag dramatisch. Es ist die langsame Erosion einer Seite, die früher gut funktioniert hat.
Das Performance-Risiko
Alte Themes laden häufig mehr Assets, als sie benötigen. Mehrere jQuery-Versionen. Font-Awesome-Icons, selbst wenn die Seite nur wenige davon verwendet. Slider-Bibliotheken aus Themes, die für ein bestimmtes Startseiten-Banner gekauft und nie optimiert wurden. Diese Assets tauchen bei jedem Seitenaufruf auf und ziehen die Core-Web-Vitals-Werte nach unten.
Moderne, für den Block-Editor gebaute Themes sind in der Regel schlanker; Assets werden nur dann geladen, wenn die entsprechenden Blöcke auf der Seite vorhanden sind. Der Performance-Unterschied zwischen einem Theme von 2020 und einem aktuellen, gut gebauten Block-Theme ist erheblich.
Das Problem raubkopierter Themes
Ein gesondertes Risiko, das Erwähnung verdient, ist das Herunterladen von Premium-Themes aus inoffiziellen Quellen. Eine kostenlose Kopie eines hundert Dollar teuren Themes auf einer Torrent- oder Sharing-Seite ist fast immer mit Hintertüren durchsetzt. Der Betreiber installiert das Theme, die Hintertür wird bei der ersten Anfrage aktiv, und der Angreifer erhält vollen Zugriff auf die Seite.
Dieses Muster ist erschreckend verbreitet. Die Ersparnis bei den Lizenzkosten des Themes ist nur ein Bruchteil der Bereinigungskosten, wenn das Unvermeidliche eintritt. Kaufen Sie Themes immer beim offiziellen Anbieter oder nutzen Sie das Theme-Verzeichnis von WordPress.org.
Probleme bei der Theme-Anpassung
Der größte Einzelfehler, den wir sehen, ist das direkte Bearbeiten der Theme-Dateien. Ein Entwickler ändert die header.php, um ein Layout-Problem zu beheben, oder fügt der functions.php eine Funktion für etwas Individuelles hinzu. Bei einem Theme-Update werden diese Änderungen gelöscht.
Der richtige Ansatz ist ein Child-Theme. Ein Child-Theme erbt alles vom übergeordneten Theme und erlaubt es Ihnen, einzelne Dateien zu überschreiben oder einzelne Funktionen hinzuzufügen, ohne das übergeordnete Theme anzutasten. Wenn das übergeordnete Theme aktualisiert wird, bleiben Ihre Anpassungen erhalten.
Wenn Ihr aktuelles Theme direkt bearbeitet wurde, ist jetzt der richtige Zeitpunkt, das zu korrigieren. Übertragen Sie die Änderungen in ein Child-Theme. Danach können Sie das übergeordnete Theme gefahrlos aktualisieren.
So bewerten Sie Ihr Theme
Öffnen Sie die Theme-Seite in Ihrem WordPress-Admin. Notieren Sie Name, Version, Autor und das Datum der letzten Aktualisierung des Themes. Schlagen Sie das Theme auf WordPress.org oder der Website des Anbieters nach. Wenn die neueste Version mehr als ein paar Minor-Releases vor Ihrer liegt, planen Sie ein Update. Wenn das letzte Update über ein Jahr zurückliegt, planen Sie eine Migration weg davon.
Prüfen Sie, ob das Theme für den Block-Editor gebaut ist. Ältere Themes setzen den klassischen Editor voraus und wirken im modernen WordPress zunehmend sperrig. Ein Block-Theme ist zukunftskompatibel mit der Richtung, in die sich die Plattform entwickelt.
Ein Theme sicher aktualisieren
Das sichere Vorgehen ist dasselbe wie bei jeder wesentlichen WordPress-Änderung. Zuerst ein Backup. Auf einer Staging-Umgebung testen. Das Changelog auf kompatibilitätsbrechende Änderungen prüfen. Auf Staging aktualisieren, die Seite durchgehen, alles Verschobene korrigieren und die Änderung dann in einem verkehrsarmen Zeitfenster in die Produktion überführen.
Bei Major-Version-Updates mit Designänderungen sollten Sie etwas Zeit einplanen, um die Überschreibungen Ihres Child-Themes anzupassen. Bei Minor-Updates ist es in der Regel unsichtbar. Die Disziplin bleibt dieselbe: Staging, Test, Deployment.
Wann eine Migration die richtige Antwort ist
Manchmal ist ein altes Theme so weit zurück, dass ein Update mühsamer ist als eine Migration. Der ursprüngliche Entwickler ist weg, das Theme wird nicht mehr gepflegt, der Code ist voll von jQuery aus einer anderen Ära, und ein frisches Block-Theme würde der Seite ein besseres Fundament geben als das fortwährende Flicken des alten.
Eine geplante Migration zu einem aktuellen Block-Theme kann das Erscheinungsbild der Seite meist bewahren und zugleich das Fundament darunter ersetzen. Die Kosten fallen vorab an, doch die Einsparungen summieren sich über jedes künftige Wartungsjahr.
Brauchen Sie Unterstützung?
Wenn Sie Ihr WordPress-Theme prüfen lassen, eine Empfehlung zu Update oder Migration erhalten und einen der beiden Wege sicher umsetzen möchten, kann Ihnen das Team von Defyn helfen. Das Theme ist das Fundament. Es lohnt sich, es richtig zu machen.
