Betreiber von WordPress-Seiten konzentrieren sich oft auf Plugin- und Core-Updates, doch das aktive Theme erh\u00e4lt weniger Aufmerksamkeit. Die Plugin-Liste ist im Admin-Bereich gut sichtbar. Das Theme dagegen ist h\u00e4ufig etwas, das vor Jahren installiert und seither nicht mehr beachtet wurde. Das Problem ist: Themes sind ebenfalls Code. Sie bergen dieselben Risiken wie Plugins, und ein veraltetes Theme kann genauso gef\u00e4hrlich sein wie jedes ungepatchte Plugin auf Ihrer Seite.<\/p>
Themes enthalten PHP. Sie laufen bei jedem Seitenaufruf. Sie bringen ihre eigene functions.php mit, oft mit individuellem Hilfscode, der Formulare, AJAX-Anfragen und Integrationen verarbeitet. Jeder Fehler in diesem Code ist aus dem \u00f6ffentlichen Web erreichbar \u2013 genauso wie ein Fehler in einem Plugin.<\/p>
Zu den h\u00e4ufigen Theme-Schwachstellen z\u00e4hlen nicht authentifizierte AJAX-Endpunkte, die Benutzereingaben ohne Validierung akzeptieren, Datei-Upload-Funktionen ohne ordentliche Bereinigung sowie Kontaktformulare oder Kommentar-Handler, die nicht auf Cross-Site-Scripting gepr\u00fcft wurden. Premium-Themes mit geb\u00fcndelten Plugins sind ebenfalls ein Risiko, weil die mitgelieferten Plugin-Versionen meist festgeschrieben sind und selten aktualisiert werden, wenn das urspr\u00fcngliche Plugin einen Fehler behebt.<\/p>
Wenn Ihr Theme seit \u00fcber einem Jahr nicht aktualisiert wurde, werten Sie das als Warnung. Wenn es seit \u00fcber zwei Jahren nicht aktualisiert wurde, betrachten Sie es als faktisch aufgegeben.<\/p>
Themes werden f\u00fcr eine bestimmte WordPress-Core-Version, eine PHP-Version und einen Satz zugeh\u00f6riger Plugins entwickelt. W\u00e4hrend sich diese weiterentwickeln, beginnt ein nicht gepflegtes Theme auf subtile Weise zu versagen. Der Block-Editor wird anders dargestellt. Moderne Bl\u00f6cke werden nicht korrekt angezeigt. PHP-Warnungen erscheinen im Fehlerprotokoll. Mobile Layouts verhalten sich auf neueren Browsern fehlerhaft. Die Core-Web-Vitals-Werte sinken, weil das Theme Layoutverschiebungen erzeugt, die aktuelle Browser strenger messen.<\/p>
Nichts davon ist am ersten Tag dramatisch. Es ist die langsame Erosion einer Seite, die fr\u00fcher gut funktioniert hat.<\/p>
Alte Themes laden h\u00e4ufig mehr Assets, als sie ben\u00f6tigen. Mehrere jQuery-Versionen. Font-Awesome-Icons, selbst wenn die Seite nur wenige davon verwendet. Slider-Bibliotheken aus Themes, die f\u00fcr ein bestimmtes Startseiten-Banner gekauft und nie optimiert wurden. Diese Assets tauchen bei jedem Seitenaufruf auf und ziehen die Core-Web-Vitals-Werte nach unten.<\/p>
Moderne, f\u00fcr den Block-Editor gebaute Themes sind in der Regel schlanker; Assets werden nur dann geladen, wenn die entsprechenden Bl\u00f6cke auf der Seite vorhanden sind. Der Performance-Unterschied zwischen einem Theme von 2020 und einem aktuellen, gut gebauten Block-Theme ist erheblich.<\/p>
Ein gesondertes Risiko, das Erw\u00e4hnung verdient, ist das Herunterladen von Premium-Themes aus inoffiziellen Quellen. Eine kostenlose Kopie eines hundert Dollar teuren Themes auf einer Torrent- oder Sharing-Seite ist fast immer mit Hintert\u00fcren durchsetzt. Der Betreiber installiert das Theme, die Hintert\u00fcr wird bei der ersten Anfrage aktiv, und der Angreifer erh\u00e4lt vollen Zugriff auf die Seite.<\/p>
Dieses Muster ist erschreckend verbreitet. Die Ersparnis bei den Lizenzkosten des Themes ist nur ein Bruchteil der Bereinigungskosten, wenn das Unvermeidliche eintritt. Kaufen Sie Themes immer beim offiziellen Anbieter oder nutzen Sie das Theme-Verzeichnis von WordPress.org.<\/p>
Der gr\u00f6\u00dfte Einzelfehler, den wir sehen, ist das direkte Bearbeiten der Theme-Dateien. Ein Entwickler \u00e4ndert die header.php, um ein Layout-Problem zu beheben, oder f\u00fcgt der functions.php eine Funktion f\u00fcr etwas Individuelles hinzu. Bei einem Theme-Update werden diese \u00c4nderungen gel\u00f6scht.<\/p>
Der richtige Ansatz ist ein Child-Theme. Ein Child-Theme erbt alles vom \u00fcbergeordneten Theme und erlaubt es Ihnen, einzelne Dateien zu \u00fcberschreiben oder einzelne Funktionen hinzuzuf\u00fcgen, ohne das \u00fcbergeordnete Theme anzutasten. Wenn das \u00fcbergeordnete Theme aktualisiert wird, bleiben Ihre Anpassungen erhalten.<\/p>
Wenn Ihr aktuelles Theme direkt bearbeitet wurde, ist jetzt der richtige Zeitpunkt, das zu korrigieren. \u00dcbertragen Sie die \u00c4nderungen in ein Child-Theme. Danach k\u00f6nnen Sie das \u00fcbergeordnete Theme gefahrlos aktualisieren.<\/p>
\u00d6ffnen Sie die Theme-Seite in Ihrem WordPress-Admin. Notieren Sie Name, Version, Autor und das Datum der letzten Aktualisierung des Themes. Schlagen Sie das Theme auf WordPress.org oder der Website des Anbieters nach. Wenn die neueste Version mehr als ein paar Minor-Releases vor Ihrer liegt, planen Sie ein Update. Wenn das letzte Update \u00fcber ein Jahr zur\u00fcckliegt, planen Sie eine Migration weg davon.<\/p>
Pr\u00fcfen Sie, ob das Theme f\u00fcr den Block-Editor gebaut ist. \u00c4ltere Themes setzen den klassischen Editor voraus und wirken im modernen WordPress zunehmend sperrig. Ein Block-Theme ist zukunftskompatibel mit der Richtung, in die sich die Plattform entwickelt.<\/p>
Das sichere Vorgehen ist dasselbe wie bei jeder wesentlichen WordPress-\u00c4nderung. Zuerst ein Backup. Auf einer Staging-Umgebung testen. Das Changelog auf kompatibilit\u00e4tsbrechende \u00c4nderungen pr\u00fcfen. Auf Staging aktualisieren, die Seite durchgehen, alles Verschobene korrigieren und die \u00c4nderung dann in einem verkehrsarmen Zeitfenster in die Produktion \u00fcberf\u00fchren.<\/p>
Bei Major-Version-Updates mit Design\u00e4nderungen sollten Sie etwas Zeit einplanen, um die \u00dcberschreibungen Ihres Child-Themes anzupassen. Bei Minor-Updates ist es in der Regel unsichtbar. Die Disziplin bleibt dieselbe: Staging, Test, Deployment.<\/p>
Manchmal ist ein altes Theme so weit zur\u00fcck, dass ein Update m\u00fchsamer ist als eine Migration. Der urspr\u00fcngliche Entwickler ist weg, das Theme wird nicht mehr gepflegt, der Code ist voll von jQuery aus einer anderen \u00c4ra, und ein frisches Block-Theme w\u00fcrde der Seite ein besseres Fundament geben als das fortw\u00e4hrende Flicken des alten.<\/p>
Eine geplante Migration zu einem aktuellen Block-Theme kann das Erscheinungsbild der Seite meist bewahren und zugleich das Fundament darunter ersetzen. Die Kosten fallen vorab an, doch die Einsparungen summieren sich \u00fcber jedes k\u00fcnftige Wartungsjahr.<\/p>