„Wir haben einen Wartungsvertrag" ist einer der Sätze, die im Schadensfall am wenigsten wert sind. Nicht weil die Verträge schlecht wären, sondern weil in fast keinem steht, was genau geschuldet ist. WordPress-Wartung kann bedeuten: einmal im Monat auf „Aktualisieren" klicken. Sie kann auch bedeuten: Updates auf einem Testsystem prüfen, Sicherungen zurückspielen können und bei einem Vorfall innerhalb einer zugesagten Zeit reagieren. Zwischen beidem liegen Welten und ein Faktor fünf im Preis.
Dieser Beitrag beschreibt, was in einen Wartungsvertrag gehört und welche Fragen Sie Ihrem Dienstleister stellen sollten.
Warum Wartung bei WordPress unvermeidlich ist
Eine WordPress-Installation besteht aus drei Teilen: dem Kern, dem Design und den Erweiterungen. Eine durchschnittliche Firmenwebsite bringt zwischen fünfzehn und dreißig Erweiterungen mit. Jede davon wird von jemand anderem entwickelt, in eigenem Takt aktualisiert, und jede kann eine Lücke enthalten.
Das ist kein Vorwurf an WordPress. Es ist die Folge eines Baukastens: Was ihn flexibel macht, macht ihn auch pflegebedürftig. Eine Installation, an die ein Jahr niemand gerührt hat, ist mit hoher Wahrscheinlichkeit angreifbar – nicht über eine spektakuläre Lücke, sondern über eine seit Monaten bekannte in einem Formular-Plugin.
Wer das nicht dauerhaft leisten will oder kann, sollte die Frage stellen, ob eine statische Website die ehrlichere Lösung ist. Für Seiten, die sich selten ändern, ist sie es häufig.
Die sechs Punkte, die hineingehören
1. Updates – mit Prüfung, nicht blind
Der Unterschied zwischen guter und schlechter Wartung zeigt sich hier. Blind aktualisieren heißt: Knopf drücken, hoffen. Geht etwas schief, ist die Seite kaputt, und zwar live.
Was hineingehört: Sicherung vor dem Update, Einspielen auf einem Testsystem, Sichtprüfung der wichtigsten Seiten, dann live. Bei kritischen Sicherheitsupdates ist die Reihenfolge eine andere – da zählt Geschwindigkeit, und das Testsystem kommt hinterher.
Fragen Sie: Wird auf einem Testsystem geprüft? Wie schnell werden Sicherheitsupdates eingespielt, und was gilt als kritisch?
2. Sicherungen – mit nachgewiesener Rücksicherung
Fast jeder Vertrag nennt Backups. Kaum einer nennt den Test. Eine Sicherung, die nie zurückgespielt wurde, ist eine Vermutung.
Was hineingehört: tägliche Sicherung von Dateien und Datenbank, Aufbewahrung über mehrere Wochen, Ablage außerhalb des Webservers, und mindestens einmal im Jahr eine probeweise Wiederherstellung mit Protokoll.
Fragen Sie: Wo liegen die Sicherungen? Wie weit reichen sie zurück? Wann wurde zuletzt eine zurückgespielt?
Der Punkt „außerhalb des Webservers" ist nicht pedantisch. Wer die Website übernimmt, übernimmt auch alles, was auf demselben Server liegt – einschließlich der Sicherungen.
3. Überwachung – und eine Reaktion darauf
Dass die Seite erreichbar ist, merkt man im Betrieb auch ohne Werkzeug. Interessant ist das, was man nicht merkt: veränderte Dateien, neue Administratorkonten, ungewöhnlicher Datenverkehr.
Was hineingehört: Erreichbarkeitsprüfung, Prüfung auf Dateiänderungen, Meldung an einen Menschen, der etwas tut. Eine Überwachung, die nur eine Mail in ein Sammelpostfach legt, ist Dekoration.
4. Eine zugesagte Reaktionszeit
Hier trennt sich die Spreu. „Wir melden uns zeitnah" ist keine Zusage. Eine Zusage nennt eine Zeit, eine Erreichbarkeit und was in dieser Zeit passiert.
Fragen Sie: Was gilt außerhalb der Geschäftszeiten? Was passiert am Wochenende, wenn die Seite kompromittiert wird?
5. Aufräumen bei einem Vorfall – ist das drin?
Der Punkt, an dem die meisten Verträge still werden. Wartung heißt vorbeugen. Was gilt, wenn es trotzdem passiert?
Wird die Seite bereinigt, und zu welchen Konditionen? Wird untersucht, wie jemand hereinkam, oder nur die sichtbare Veränderung entfernt? Gibt es einen schriftlichen Bericht?
Es ist völlig in Ordnung, wenn das nicht im Pauschalpreis enthalten ist – Aufwand nach einem Vorfall lässt sich schlecht pauschalieren. Es ist nicht in Ordnung, wenn die Frage erst im Ernstfall gestellt wird.
6. Ein Bericht, den Sie verstehen
Einmal im Quartal eine Seite: Was wurde aktualisiert, gab es Auffälligkeiten, wann wurde die Rücksicherung zuletzt geprüft, was steht an. Ohne das wissen Sie nicht, ob Wartung stattfindet – Sie wissen nur, dass sie berechnet wird.
Woran Sie eine Lücke erkennen
Drei Anzeichen, die sich ohne technisches Wissen prüfen lassen.
Sie bekommen nie etwas zu lesen. Keine Berichte, keine Hinweise, keine Rückfragen. Entweder passiert nichts, oder es wird nichts dokumentiert. Beides ist ein Problem.
Niemand weiß, welche PHP-Version läuft. Diese Frage sollte Ihr Dienstleister ohne Nachsehen beantworten können. Dass sie am 21. Oktober 2026 plötzlich alle beschäftigte, hat gezeigt, wie viele es nicht konnten – siehe unseren Beitrag zur PHP-Sicherheitslücke PHP2Shell.
Die letzte Rücksicherung ist nie passiert. Wenn auf die Frage „wann wurde zuletzt eine Sicherung zurückgespielt" ein Zögern kommt, haben Sie Ihre Antwort.
Was nicht im Wartungsvertrag steht, aber geklärt gehört
Drei Punkte, die regelmäßig zwischen den Stühlen landen, weil sie weder Wartung noch Hosting sind.
Auf wen ist die Domain registriert? Nicht auf die Agentur, sondern auf Ihr Unternehmen. Das klingt selbstverständlich und ist es nicht. Wer die Domain nicht besitzt, kann im Streitfall seine eigene Adresse verlieren – und damit E-Mail und Website gleichzeitig.
Wer hat Zugänge, und sind die noch aktuell? Administratorkonten ehemaliger Mitarbeiter und ehemaliger Dienstleister bleiben oft jahrelang bestehen. Einmal im Jahr durchzählen kostet zehn Minuten.
Wo liegt die Website eigentlich? Beim Dienstleister, bei einem Hoster, auf einem eigenen Server? Und wer zahlt die Rechnung? Bei Websites, die über zwei Agenturwechsel hinweg bestehen, weiß das manchmal niemand mehr genau.
Diese drei Punkte gehören in dieselbe Akte wie der Wartungsvertrag, auch wenn sie nicht darin stehen.
Was Wartung nicht leisten kann
Auch das gehört zur Ehrlichkeit. Kein Wartungsvertrag verhindert eine Lücke, die noch niemand kennt. Am 21. Oktober 2026 war die beste WordPress-Wartung der Welt wirkungslos, bis der Patch da war – weil die Lücke nicht in WordPress saß, sondern in PHP darunter.
Was Wartung leistet, ist die Verkürzung des Zeitfensters: Updates kommen schnell, Sicherungen sind brauchbar, jemand sieht hin. Das ist viel. Unverwundbarkeit ist es nicht.
Checkliste: erste Schritte
- Vertrag heraussuchen und nachsehen, welche der sechs Punkte benannt sind
- Nach dem Datum der letzten erfolgreichen Rücksicherung fragen
- Ort der Sicherungen klären – liegen sie auf demselben Server?
- Zugesagte Reaktionszeit und Erreichbarkeit außerhalb der Geschäftszeiten prüfen
- Klären, was bei einem Vorfall im Preis enthalten ist
- Nach der laufenden PHP-Version fragen
- Einen Quartalsbericht vereinbaren, wenn es keinen gibt
- Prüfen, ob die Seite den Aufwand überhaupt braucht
Wie DAVINCI unterstützt
Wir betreuen Firmenwebsites mit den hier genannten sechs Punkten, einschließlich geprüfter Rücksicherung und Quartalsbericht. Und wir sagen Ihnen, wenn Ihre Seite den Aufwand gar nicht braucht – dann ist die Umstellung auf eine statische Fassung die günstigere Antwort. Mehr zum Rahmen unter Webdesign und SEO, Kontakt über die Kontaktseite.
Häufige Fragen
Was kostet WordPress-Wartung üblicherweise?
Das hängt vom Umfang ab und reicht von einem kleinen Monatsbetrag für reine Updates bis zu einem Vielfachen für Betreuung mit Überwachung und zugesagter Reaktionszeit. Vergleichen Sie nicht Preise, sondern Leistungen – sonst vergleichen Sie Unterschiedliches.
Reicht ein Sicherheits-Plugin nicht aus?
Es hilft, ersetzt aber keine Wartung. Ein Plugin kann bekannte Angriffsmuster abwehren und auf Dateiänderungen hinweisen. Es spielt keine Updates ein, prüft keine Rücksicherung und ruft niemanden an.
Wir ändern unsere Website fast nie. Brauchen wir trotzdem Wartung?
Ja – solange sie auf WordPress läuft. Der Pflegebedarf entsteht nicht durch Ihre Änderungen, sondern durch die Updates der Hersteller. Genau bei solchen Seiten lohnt aber die Frage, ob eine statische Fassung sinnvoller ist.
Kann ich die Updates selbst machen?
Technisch ja, die Knöpfe sind beschriftet. Die Arbeit liegt woanders: Sicherung vorher, Prüfung nachher, Einschätzung bei kritischen Lücken, Handlungsfähigkeit, wenn etwas schiefgeht. Wer das abdecken kann, braucht keinen Vertrag.
Was ist mit der Domain und dem Hosting?
Gehört geklärt, steht aber oft nicht im Wartungsvertrag. Wichtig ist vor allem, auf wen die Domain registriert ist – nicht auf den Dienstleister, sondern auf Ihr Unternehmen.
Verwandte Themen: Wer hier weiterdenkt, liest bei WordPress-Sicherheit, WordPress-Alternative und TYPO3 ablösen weiter.
