Der beste Weg Module zu aktualisieren?

Das kommt natürlich sehr stark auf die Art der Webseite drauf an.

Ich unterscheide da einmal danach, ob es eigene Projekte sind oder Kunden-Seiten.
Und dann kommt's darauf an, wie komplex die Seite ist.

Bei allen Projekten steht natürlich das Backup am Anfang.

Wenn sie einfach strukturiert sind, dann mache ich das Modul-Update nach dem Wer-nichts-wagt-der-nichts-gewinnt-Prinzip.
D.h. ich mache erst das Update und klicke dann die wichtigen Seiten einmal durch.
Derweil ist die Seite im Wartungsmodus und die Kunden sind angehalten, keine Änderungen zu machen, damit man im Notfall auf das Backup zurück könnte.

Bei eigenen Projekten ohne Besucher-Interaktion schalte ich nur kurz in Wartungsmodus. Da weiß ich ja, wer Inhalte ändert

Wenn es eine Kunden-Seite ist, dann bespreche ich vorher, welches Rundum-Sorglos-Paket der Kunde wünscht.
Manche Kunden sagen, ich soll einfach das Update machen und sie gucken dann selbst, ob alles noch passt und melden sich bei Bedarf.
Da geht's ja - wie üblich - darum, wie viel Aufwand sie bereit sind zu zahlen.

Wenn es Formulare gibt und Webform aktualsiert wurde, dann versende ich hinterher eine Testmail, weil ich da mal schlechte Erfahrungen gemacht hatte unter Drupal 6 und weil das Kontaktformular natürlich sehr wichtig ist.

Dann haben wir komplexe Webseiten mit Bestellfunktionen.
Da mache ich dann tatsächlich das Update zuerst auf einem Testsystem, weil es natürlich ein Katastrophen-Szenario wäre, wenn keine Bestellungen mehr funktionieren.

Bei eigenen Projekten habe ich einen Update-Rhythmus von 1-3 Monaten.
Bei Kundenprojekten gibt es unterschiedliche Modelle, entweder nach Vereinbarung oder auf Zuruf des Kunden.

Ich informiere die Kunden natürlich darüber, daß ein Risiko besteht, wenn Sicherheits-Updates nicht sofort eingespielt werden, aber letztendlich muß das jeder Kunde selbst wissen, wie viel ihm die Webseite wert ist.

Bei kritischen Sicherheitsproblemen - wie letzten Oktober - informiere ich alle Kunden und lehne auch mal weitere Zusammenarbeit ab, wenn der Kunde meint, da sei kein Handlungsbedarf.

Eine große Vereinfachung ist natürlich das Update auf der Konsole mit Drush, statt im Backend, aber das geht nicht bei allen Kundenprojekten.

Du siehst - es gibt nicht den Königsweg...

Danke für den ausführlichen Erfahrungsbericht!

Du spielst dann aber erst Modul-Updates ein, wenn es Sicherheitsupdates sind? Hab ich das richtig verstanden?

Wenn ich sowieso Updates einspiele (in der Regel Core + Module), dann spiele ich natürlich alle Module aktuell ein, unabhängig davon, ob es sicherheitsrelevante Änderungen gibt.
Aber wenn KEINE sicherheitsrelevante Änderungen vorliegen und auch kein störender Bug in der alten Version ist, bzw. in der neuen ein gewünschtes Feature, dann sehe ich keinen Grund für die ganze Aktion.