Stackwatch und Patchstack: Was bei WordPress zählt

Das Wichtigste in drei Sätzen

Patchstack ist auf WordPress spezialisiert: ein Plugin auf jeder Seite, eine eigene Datenbank für Lücken in Plugins, Themes und Core und virtuelle Patches, die Angriffe auf bekannte Lücken auf der Seite blockieren, bis du aktualisierst. Stackwatch installiert nichts auf der Seite, liest nur die Plugin-Liste und meldet Lücken in WordPress-Plugins heute als Frühwarnung, nicht aus einer eigenen Plugin-Datenbank. Wer nur WordPress betreut, bekommt bei Patchstack für WordPress mehr; Stackwatch lohnt sich, wenn neben den Seiten auch Repos mit eigenem Code und eigenen Runtimes zu überwachen sind.

Was Patchstack macht

• Erkennen. Das Patchstack-Plugin meldet die Software der Seite an die Patchstack App: Plugins, Themes, WordPress-Core, dazu PHP- und Datenbank-Version. Die App zeigt, welche Komponenten verwundbar oder veraltet sind, und sortiert nach Patch-Priorität. Die Software-Daten synchronisiert das Plugin zweimal am Tag und bei jeder Änderung an Plugins oder Themes.
• Schützen. Auf bezahlten Plänen laufen auf der Seite Schutzmodule: vPatches gegen konkrete Lücken in Plugins, Themes und Core, ein Modul gegen typische WordPress-Angriffe und eine gemeinsame IP-Sperrliste. Ein vPatch blockiert gezielte Anfragen, ohne den Code zu ändern. Patchstack schreibt selbst dazu: abgesichert ist nicht behoben, das Update bleibt die eigentliche Lösung.
• Aktualisieren. Plugins, Themes und Core lassen sich aus der App aktualisieren, einzeln oder alle veralteten über alle Seiten. Automatische Updates macht Patchstack nicht mehr.
• Melden und berichten. Alerts gehen per E-Mail oder Slack. Ein PDF mit dem aktuellen Stand gibt es für alle Nutzer, regelmäßige Berichte im Developer- und Enterprise-Plan, das eigene Logo auf den Berichten nur im Enterprise-Plan.

Was Patchstack nicht macht: Dateien nach Malware durchsuchen. Dafür empfiehlt Patchstack Werkzeuge auf Server-Ebene.

Was Stackwatch bei WordPress macht

Du gibst in WordPress ein Application Password für Stackwatch frei. Stackwatch liest damit die Liste der installierten Plugins (Slug, Version, aktiv oder inaktiv) und nur diese, ändert nichts und installiert kein Plugin. Die WordPress-Version liest Stackwatch aus dem, was die Seite öffentlich zeigt (Generator-Angabe, Feed, readme.html); blendet die Seite sie aus, fehlt der Core. Themes liest Stackwatch nicht.

Beim Abgleich ist der Unterschied am größten. Für WordPress-Plugins nutzt Stackwatch keine eigene Lücken-Datenbank. Neue Plugin-Lücken kommen als Frühwarnung aus den Veröffentlichungen von WordPress.org, Wordfence, Patchstack, Sucuri, WPScan und weiteren Seiten, werden gegen Slug und Version deiner Plugins geprüft und erscheinen im Live-Feed als unbestätigter Hinweis. Eine E-Mail gibt es erst, wenn die Quellenlage bestätigt ist: durch die Sicherheitsmeldung von WordPress.org oder durch mindestens zwei unabhängige Quellen. Schutz auf der Seite gibt es bei Stackwatch nicht.

Ein Hinweis zur Freigabe: Das Application Password hat die Rechte des Kontos, mit dem du es freigibst, für die Plugin-Liste meist Administrator. Lege dafür am besten ein eigenes Konto an. Details stehen unter Sicherheit und Datenschutz.

Der Vergleich

Stand: 5. November 2026. Stackwatch-Angaben beziehen sich auf die Beta.

Wann Patchstack allein reicht

Wenn du nur WordPress-Seiten betreust und keinen eigenen Code in Repos pflegst, deckt Patchstack mehr ab als Stackwatch: Themes, eine eigene Lücken-Datenbank für WordPress und vor allem den Schutz auf der Seite, der Zeit verschafft, bis das Update eingespielt ist. Das zählt besonders bei Kundenseiten, auf denen du Updates nicht sofort einspielen kannst, weil erst getestet oder mit dem Kunden abgestimmt werden muss.

Wann Stackwatch dazukommt

• Du betreust neben WordPress-Seiten auch eigenen Code: Themes und Plugins im Git-Repo, Laravel- oder Node.js-Anwendungen, Dockerfiles mit fester PHP-Version. Dort meldet Stackwatch Lücken in Runtime und Paketen mit Beleg aus Datei und Zeile, zum Beispiel bei PHP2Shell.
• Du willst einen Kanal für Repos und Seiten statt zweier Dashboards.
• Du willst oder darfst auf einzelnen Kundenseiten kein zusätzliches Plugin installieren und nur von außen lesen.

Für Agenturen mit vielen Kundenseiten

Bei Patchstack installierst du das Plugin auf jeder Seite, per WP-CLI auch im Skript, und kannst eine Standard-Richtlinie für die Einstellungen hinterlegen, die bei der ersten Aktivierung greift. Seiten lassen sich in Gruppen ordnen, etwa nach Wartungspaket. Der Developer-Plan enthält 25 Seiten und 3 Plätze im Team, je 5 weitere Seiten kosten 12,50 US-Dollar im Monat, weitere Plätze 24 US-Dollar im Monat. Regelmäßige Berichte für Kunden gibt es ab dem Developer-Plan, mit eigenem Logo im Enterprise-Plan.

Bei Stackwatch gibst du jede Seite einzeln in WordPress frei. Auf der Kundenseite bleibt nichts installiert, und beim Trennen löscht Stackwatch die Zugangsdaten. Ein Nachweis über Meldungen und Reaktionen steht im Audit-Log. Berichte im Namen der Agentur bietet Stackwatch nicht. Welche Werkzeuge es außerhalb von WordPress gibt, zeigt die Übersicht Dependabot-Alternativen 2026.

Quellen

• Patchstack Docs: Start using Patchstack
• Patchstack Docs: Pricing plans
• Patchstack Docs: Does Patchstack have a free version?
• Patchstack Docs: Protection modules
• Patchstack Docs: Site packages (Mitigated is not fixed, automatische Updates)
• Patchstack Docs: Packages overview
• Patchstack Docs: How often does Patchstack sync with my site?
• Patchstack Docs: Alerts und Creating a trigger
• Patchstack Docs: Reports overview und Reports whitelabeling
• Patchstack Docs: Groups, Policy und WP CLI commands
• Patchstack Docs: Does Patchstack have a malware scanner?
• Patchstack Docs: Data Processing Agreement (DPA) and GDPR
• Patchstack: Pricing