Sie wachen morgens auf, öffnen das Admin-Panel und sehen einen weißen Bildschirm. Die Seite ist offline, der Hoster ist ratlos, und die Ursache ist banal: ein nächtliches Plugin-Auto-Update, das mit Ihrer PHP-Version oder dem aktiven Theme kollidiert.

WordPress-Entwickler empfehlen aus Sicherheitsgründen dringend, automatische Updates aktiviert zu lassen. Und für eine typische Website ist das der richtige Ansatz. Wenn Sie jedoch ein Produktivprojekt mit individuellen Anpassungen, einem Bündel von zwanzig Plugins und strengen Verfügbarkeitsanforderungen betreiben, wird der blinde Autopilot zum Risiko. Ein einziges inkompatibles Update, und der Verkauf stoppt, Formulare lassen sich nicht mehr absenden, Kunden springen ab.

WordPress gibt Ihnen die volle Kontrolle über automatische Updates. Sie können alles auf einmal deaktivieren oder selektiv vorgehen: nur das Core-System, nur Plugins oder nur Themes. Nachfolgend finden Sie drei funktionierende Methoden und eine ehrliche Aufschlüsselung, wann eine Deaktivierung gerechtfertigt ist und wann nicht.

💡 Kurzer Überblick:

• Fügen Sie die Konstante WP_AUTO_UPDATE_CORE mit dem Wert false in die wp-config.php ein, um automatische Core-Updates von WordPress zu deaktivieren
• Blockieren Sie alle automatischen Updates auf einmal mit der Konstante AUTOMATIC_UPDATER_DISABLED in derselben wp-config.php-Datei
• Deaktivieren Sie automatische Plugin- und Theme-Updates über die Filter auto_update_plugin und auto_update_theme in der functions.php
• Installieren Sie das kostenlose Plugin Easy Updates Manager für eine bereichsweise Konfiguration direkt aus dem Admin-Panel, ganz ohne Code

Wann Sie automatische Updates deaktivieren sollten

Automatische Updates wurden mit WordPress 3.7 eingeführt und sind inzwischen Standard. Laut offizieller WordPress-Statistik nutzen mehr als 60% der Installationen automatische Minor-Core-Updates. Das ist gut für die Sicherheit, aber es gibt Szenarien, in denen die Automatisierung Schaden anrichtet.

Die Deaktivierung automatischer Updates ist sinnvoll, wenn:

• Sie ein individuelles Theme oder Plugins mit manuellen Code-Änderungen haben und ein Update Ihre Anpassungen überschreiben würde,
• Die Seite mit einer bestimmten PHP-Version läuft und ein neues Plugin eine neuere Version voraussetzt und abstürzt,
• Sie ein Staging-System nutzen und Updates testen möchten, bevor Sie sie in der Produktivumgebung ausrollen,
• Ein kritisches Plugin in der Vergangenheit durch Releases mit Fehlern aufgefallen ist und Sie es nach Prüfung lieber manuell aktualisieren.

Wenn Ihre Seite typisch ist, das Theme Standard, die Plugins verbreitet und Backups eingerichtet sind, ist es sicherer, automatische Updates aktiviert zu lassen. Eine über eine Schwachstelle gehackte Website verliert schneller Geld als eine mit einem verzögerten Update.

Methode 1: Konstanten in der wp-config.php

Die Datei wp-config.php ist die zentrale Konfigurationsdatei von WordPress. Hier definierte Konstanten haben die höchste Priorität und setzen alle Einstellungen aus dem Admin-Panel außer Kraft.

Erstellen Sie vor der Bearbeitung der wp-config.php ein Backup. Ein Fehler in dieser Datei führt zu einem weißen Bildschirm. Für die Wiederherstellung benötigen Sie Zugriff auf die Dateien der Website per FTP. Falls das Backup noch nicht eingerichtet ist, finden Sie hier eine Anleitung zur Wiederherstellung von WordPress aus einem Backup.

Nur automatische Core-Updates deaktivieren

Verbinden Sie sich per FTP oder über den Dateimanager Ihres Hosting-Anbieters mit Ihrer Website, suchen Sie die wp-config.php im Wurzelverzeichnis und fügen Sie die folgende Zeile vor dem Kommentar /* That's all, stop editing! Happy publishing. */ ein:

1
define('WP_AUTO_UPDATE_CORE', false);

Diese Konstante blockiert alle automatischen Core-Updates: sowohl Minor-Updates (von 6.5.2 auf 6.5.3) als auch Major-Updates (von 6.5 auf 6.6). Auch Sicherheitsupdates werden nicht mehr durchgeführt. Wenn Sie diesen Weg wählen, gewöhnen Sie sich daher an, einmal im Monat im Admin-Panel nach neuen Versionen zu sehen.

Alle automatischen Updates auf einmal deaktivieren

Es gibt eine strengere Konstante, die den gesamten Mechanismus für automatische Updates abschaltet: Core, Plugins, Themes, Übersetzungen. Fügen Sie in dieselbe wp-config.php ein:

1
define('AUTOMATIC_UPDATER_DISABLED', true);

Hinweis: true bedeutet hier „automatische Updates sind deaktiviert". Das sorgt häufig für Verwirrung, da es scheint, als würde true aktivieren statt deaktivieren. Die Logik der Konstante ist aber genau diese: „automatic updater disabled = true".

Nur Sicherheitsupdates beibehalten

Eine Kompromissoption: Das Core-System aktualisiert sich nur bei kritischen Sicherheitskorrekturen. Minor- und Major-Releases erfordern manuelles Eingreifen:

1
define('WP_AUTO_UPDATE_CORE', 'minor');

Mit diesem Wert wird WordPress Sicherheitslücken automatisch schließen, jedoch keine neue Version mit ungetesteten Änderungen installieren. Für die meisten Websites ist dies die optimale Balance zwischen Sicherheit und Kontrolle.

Automatische Updates wieder aktivieren

Um alles wieder zu aktivieren, ersetzen Sie false durch true (oder minor durch true):

1
define('WP_AUTO_UPDATE_CORE', true);

Oder löschen Sie einfach die hinzugefügten Zeilen. Ohne die Konstante greift das Standardverhalten von WordPress: automatische Updates für Minor-Versionen des Cores, Major-Updates nach Ermessen des Administrators.

Methode 2: Filter in der functions.php

Konstanten in der wp-config.php wirken global: alles oder nichts. Benötigen Sie eine granulare Steuerung, getrennt für Plugins und Themes, verwenden Sie WordPress-Filter in der Datei functions.php Ihres aktiven Themes.

Warnung: Änderungen in der functions.php gelten nur, solange das Theme aktiv ist. Wechseln Sie das Theme, verschwinden die Filter. Benötigen Sie eine dauerhafte Lösung, verlagern Sie den Code in ein Must-Use-Plugin oder Ihr eigenes Mini-Plugin.

Automatische Updates für alle Plugins deaktivieren

1
add_filter('auto_update_plugin', '__return_false');

Automatische Updates für alle Themes deaktivieren

1
add_filter('auto_update_theme', '__return_false');

Automatische Core-Updates per Filter deaktivieren

Seit WordPress 5.5 funktioniert ein Filter auch für den Core:

1
add_filter('auto_update_core', '__return_false');

Dies dupliziert das Verhalten der Konstante WP_AUTO_UPDATE_CORE, jedoch auf Filterebene. Das ist praktisch, wenn Sie bereits die functions.php bearbeiten und alle Einstellungen an einem Ort bündeln möchten.

Granulare Steuerung: Dieses Plugin aktualisiert sich, jenes nicht

Die Filter auto_update_plugin und auto_update_theme akzeptieren zwei Parameter: das Flag $update und das Objekt $item mit Daten zum jeweiligen Plugin oder Theme. Damit können Sie eine „Whitelist" aufbauen: Nur verifizierte Elemente aktualisieren sich automatisch, der Rest wartet auf die manuelle Bestätigung.

Ein konkretes Beispiel, bei dem die automatische Aktualisierung nur für zwei Plugins erlaubt und für den Rest gesperrt wird:

1
add_filter('auto_update_plugin', function($update, $item) {
2
    $allowed = ['wordfence/wordfence.php', 'updraftplus/updraftplus.php'];
3
    return in_array($item->slug, $allowed);
4
}, 10, 2);

Für Themes ist die Logik identisch: Ändern Sie den Hook auf auto_update_theme und die Slugs in der Liste auf Theme-Identifikatoren.

Dieser Ansatz funktioniert gut, wenn Sie über 20 Plugins haben, aber nur 2 bis 3 davon nach Updates zu Problemen neigen. Der Rest aktualisiert sich automatisch und unproblematisch, während die kritischen Kandidaten nach einem Test auf der Staging-Umgebung manuell aktualisiert werden.

Methode 3: Easy Updates Manager Plugin für codefreie Verwaltung

Sie möchten keinen Code anfassen? Es gibt ein grafisches Werkzeug. Easy Updates Manager ist ein kostenloses Plugin mit mehr als 700.000 aktiven Installationen vom UpdraftPlus-Team. Es ersetzt sowohl Konstanten als auch Filter durch eine einzige Oberfläche direkt im Admin-Bereich.

Das Plugin wird regelmäßig aktualisiert: Version 9.0.21 erschien im Mai 2026, schloss eine XSS-Schwachstelle und behebte mehrere Fehler bei der Zeitplanung. Die Codebasis ist aktiv und die Entwickler reagieren auf Sicherheitsmeldungen.

Installation und Konfiguration

Installieren Sie Easy Updates Manager auf dem üblichen Weg: Plugins → Installieren → „Easy Updates Manager" in die Suche eingeben → Installieren → Aktivieren.

Nach der Aktivierung erscheint ein Menüpunkt Updates-Optionen in der Admin-Seitenleiste. Öffnen Sie ihn und Sie befinden sich auf dem Tab Allgemein:

Dort stehen folgende Modi zur Verfügung:

• Alle Updates deaktivieren, vollständige Blockade, entspricht AUTOMATIC_UPDATER_DISABLED,
• Alle Updates aktivieren, alles eingeschaltet, normales WordPress-Verhalten,
• Standard, WordPress entscheidet selbst,
• Automatische Updates erlauben, alle Bereiche aktualisieren automatisch,
• Automatische Updates deaktivieren, automatische Updates überall deaktiviert,
• Benutzerdefiniert, Sie entscheiden für jeden Bereich.

Bereichsweise Konfiguration für Plugins und Themes

Der Tab Plugins zeigt eine Liste aller installierten Plugins mit einem Schalter neben jedem. Klicken Sie darauf und die automatische Aktualisierung wird blockiert. Der Tab Themes funktioniert für Themes genauso.

Der Tab Themes arbeitet identisch: eine Tabelle mit Schaltern neben jedem installierten Theme. Sie deaktivieren die automatischen Updates für das übergeordnete Theme, wenn Sie daran Änderungen vorgenommen haben, während das Child-Theme unverändert bleibt.

Dies ist die bequemste Methode für Websites mit einem gemischten Plugin-Bestand. Ein Sicherheits-Plugin wie Wordfence erhält automatische Updates aktiviert. Ein benutzerdefiniertes Versandkalkulations-Plugin, das ein Freelancer vor zwei Jahren geschrieben hat, bleibt manuell.

Ein zusätzlicher Vorteil: Easy Updates Manager führt ein Protokoll aller Updates. Sie können sehen, was wann auf welche Version aktualisiert wurde. Wenn Sie einem plötzlichen Fehler nachgehen, zeigt das Protokoll oft schneller auf den Verursacher als wahlloses Deaktivieren von Plugins.

🔗 Easy Updates Manager auf WordPress.org

Was nach dem Deaktivieren automatischer Updates zu tun ist

Deaktiviert? Die Verantwortung verschwindet nicht. Jetzt liegen die Updates bei Ihnen. Drei Regeln, damit Ihre Website nicht in sechs Monaten zum Kürbis wird:

• Prüfen Sie das Admin-Panel regelmäßig. Gehen Sie zu „Updates" und sehen Sie, was sich angesammelt hat. WordPress veröffentlicht kleinere Sicherheitsupdates etwa einmal im Monat. Verpassen Sie ein größeres Core-Release, sind Sie auf einer Version, die Ihr Hosting-Anbieter nicht mehr unterstützt.
• Testen Sie Updates auf einer Kopie. Erstellen Sie eine Staging-Umgebung, eine exakte Kopie der Website auf einer Subdomain, und führen Sie Updates dort aus. Ist etwas abgestürzt? Debuggen Sie in Ruhe, während die Produktivumgebung unberührt bleibt. Backup-Plugins wie UpdraftPlus können eine Website mit einem Klick klonen.
• Überwachen Sie Changelogs. Wenn ein Plugin aktualisiert wird, öffnen Sie den Changelog-Tab auf seiner Seite im WordPress.org-Repository. Wenn Sie „breaking change" oder „dropped support for PHP 7.x" sehen, bereiten Sie sich auf ein manuelles Update mit Kompatibilitätstests vor.

Und das Wichtigste: Deaktivieren Sie automatische Updates nicht „nur für alle Fälle". Wenn Ihre Website auf einem typischen Setup läuft und Sie nicht vorhaben, sie manuell zu warten, lassen Sie automatische Updates aktiviert. Eine gehackte Website verliert Traffic, Reputation und Suchmaschinen-Rankings. Das ist teurer als ein seltener Versionskonflikt.

⁉️🤔 Häufig gestellte Fragen

Kann ich automatische Updates nur für ein bestimmtes Plugin deaktivieren?

Ja. Über Easy Updates Manager: Öffnen Sie den Tab Plugins und schalten Sie den Schalter neben dem gewünschten Plugin aus. Über Code: Verwenden Sie den auto_update_plugin-Filter mit einer Slug-Prüfung, wie im Abschnitt „Granulare Steuerung" oben gezeigt. Andere Plugins aktualisieren wie gewohnt.

Ist es sicher, automatische WordPress-Updates vollständig zu deaktivieren?

Es ist nur sicher, wenn Sie die Disziplin für manuelle Updates aufrechterhalten. Laut WPScan-Schwachstellenstatistik stammten 2025 96% der Sicherheitsverletzungen bei WordPress-Websites aus Plugin-Schwachstellen, nicht aus dem Core. Ein nicht aktualisiertes Plugin mit einer bekannten Lücke ist der Hauptangriffsvektor. Fazit: Wenn Sie Automatik deaktiviert haben, prüfen Sie mindestens einmal im Monat auf Updates.

Was ist der Unterschied zwischen WP_AUTO_UPDATE_CORE und AUTOMATIC_UPDATER_DISABLED?

WP_AUTO_UPDATE_CORE steuert nur WordPress-Core-Updates. Plugins und Themes aktualisieren unabhängig von dieser Konstante. AUTOMATIC_UPDATER_DISABLED legt den gesamten Mechanismus für automatische Updates still: Core, Plugins, Themes, Übersetzungsdateien. Die erste Konstante dient der Feinabstimmung, die zweite der kompletten Abschaltung.

Was soll ich tun, wenn die Website nach der Deaktivierung automatischer Updates trotzdem aktualisiert wurde?

Prüfen Sie, ob Ihr Hosting-Anbieter Einstellungen überschreibt. Einige Managed-Hoster (Kinsta, WP Engine, SiteGround) erzwingen automatische Sicherheitsupdates auf Serverebene. Gehen Sie in Ihr Hosting-Panel und suchen Sie nach einem Bereich „WordPress-Updates" oder „Automatische Updates". Wenn Anbieter-Einstellungen mit Ihren kollidieren, gewinnt der Anbieter.

Wie überprüfe ich, dass automatische Updates tatsächlich deaktiviert sind?

Die zuverlässigste Methode ist, auf eine Sicherheitsupdate-Veröffentlichung zu warten (diese erscheinen etwa einmal im Monat). Wenn das Plugin oder der Core 48 Stunden nach der Veröffentlichung nicht aktualisiert wurde, funktioniert der Schutz. Eine schnelle Methode für Plugins: Gehen Sie zu Plugins → Installierte Plugins und sehen Sie in die Spalte „Automatische Updates", wo der Status für jedes Plugin sichtbar ist.

Muss ich WP-Cron deaktivieren, um automatische Updates zu blockieren?

Nein. DISABLE_WP_CRON deaktiviert WordPress-Cron-Aufgaben vollständig, nicht nur automatische Updates. Ohne Cron funktionieren geplante Beitragsveröffentlichungen, die Papierkorb-Leerung, E-Mail-Newsletter und andere Hintergrundaufgaben nicht mehr. Deaktivieren Sie WP-Cron nicht, um Updates zu blockieren; verwenden Sie die oben beschriebenen Konstanten und Filter.

Deaktivieren oder nicht: die abschließende Übersicht

Automatische WordPress-Updates sind keine „für immer aktivieren oder deaktivieren"-Entscheidung. Es ist ein Spektrum: vom vollständigen Autopiloten bis zur strikten manuellen Kontrolle. Wählen Sie die Stufe, die zu Ihrer Situation passt.

Eine typische Website ohne benutzerdefinierten Code? Lassen Sie automatische Updates aktiviert, denn Sicherheit überwiegt das Risiko. Ein individuelles Theme, ein Bündel von 30 Plugins und hohe Verfügbarkeitsanforderungen? Deaktivieren Sie selektiv: Der Core und kritische Plugins können auf Automatik bleiben, während der Rest manuell mit Staging-Tests behandelt wird.

Die Regel ist einfach: Je weniger automatische Updates Sie zulassen, desto strenger muss Ihre persönliche Disziplin beim Prüfen sein. Wenn Sie nicht bereit sind, einmal im Monat das Admin-Panel aufzurufen, deaktivieren Sie nichts.

Und wenn Sie Ausgewogenheit brauchen, beginnen Sie mit WP_AUTO_UPDATE_CORE, 'minor' für den Core und Easy Updates Manager für Plugins. Die Sicherheit leidet nicht und die Kontrolle bleibt in Ihren Händen.