Website-Wartung: Aufgaben, Vertrag und Aufwand

Was ist Website Wartung – und wo endet die Pflege?

Website Wartung bezeichnet alle technischen Arbeiten, die eine Website lauffähig, sicher und wiederherstellbar halten: Updates, Backups, Monitoring, Sicherheitsprüfung, TLS-Zertifikat und die eingesetzte PHP-Version. Die Website Pflege betrifft dagegen den Inhalt: neue Texte, aktuelle Öffnungszeiten, Fotos, Angebote.

Die Trennung ist praktisch wichtig, denn beide Aufgaben haben unterschiedliche Verantwortliche und Rhythmen. Eine Praxis oder ein Handwerksbetrieb pflegt die Inhalte meist selbst, die Technik soll dagegen „einfach laufen“. Wer das nicht ausdrücklich regelt, merkt es erst, wenn die Seite nach einem Update weiß bleibt oder das Kontaktformular keine Mails mehr verschickt.

Leverkruid ist ein unabhängiger Ratgeber und führt keine Wartung durch. Dieser Text hilft Ihnen, Wartung zu planen, einzukaufen oder selbst zu übernehmen.

Die Wartungs-Checkliste nach Intervall

Die folgende Tabelle ist eine Arbeitsgrundlage für WordPress-Seiten. Bei anderen Systemen entfallen einzelne Zeilen oder ändern ihre Bezeichnung.

Zwei Zeilen werden häufig vergessen: der Wiederherstellungstest und die Funktionsprüfung von Formularen. Beide scheitern leise, ohne Fehlermeldung.

WordPress Wartung im Detail

Core, Plugins und Themes

WordPress besteht aus drei Teilen, die jeweils eigene Updates bekommen: dem Kern (Core), den Plugins und dem Theme. Laut WordPress-Dokumentation sind automatische Updates des Kerns auf den meisten Sites standardmäßig aktiv, wobei kleine Versionen (Wartungs- und Sicherheitsreleases) automatisch eingespielt werden. Plugin- und Theme-Updates erfolgen standardmäßig nur in Sonderfällen automatisch.

Daraus folgt: Wer sich nur auf die Voreinstellung verlässt, hat einen aktuellen Kern, aber möglicherweise veraltete Plugins. Gerade Plugins sind in der Praxis die häufigste Einfallstür, weil sie von vielen verschiedenen Entwicklern stammen.

Automatische Updates oder manuell?

Beide Wege haben Vor- und Nachteile:

• Automatisch: schnell, kein Aufwand, aber ein fehlerhaftes Update kann unbemerkt Funktionen stören.
• Manuell mit Kontrolle: langsamer, dafür prüfbar. Sinnvoll bei Seiten mit Shop, Terminbuchung oder individuellen Anpassungen.
• Kombination: Sicherheits-Updates automatisch, größere Versionssprünge manuell nach Backup und Test.

Die WordPress-Dokumentation empfiehlt ein Backup vor jedem Update und weist bei manuellen Upgrades ausdrücklich darauf hin, die erstellten Sicherungen auf Vorhandensein und Nutzbarkeit zu prüfen.

Staging-Umgebung

Eine Staging-Umgebung ist eine Kopie der Website, auf der Updates zuerst getestet werden. Viele Hoster bieten sie an; ob und zu welchen Konditionen, unterscheidet sich je Tarif. Für Seiten mit Shop oder Buchungsfunktion ist Staging die einfachste Methode, Update-Risiken zu begrenzen. Für eine reine Visitenkarten-Website ist sie oft verzichtbar, wenn ein verlässliches Backup existiert.

PHP-Version und Support-Zeitplan

PHP ist die Programmiersprache, auf der WordPress läuft. Jede PHP-Version wird laut php.net zwei Jahre mit Fehlerbehebungen und Sicherheitskorrekturen versorgt, danach weitere zwei Jahre nur noch mit kritischen Sicherheitskorrekturen. Nach vier Jahren endet der Support; die Seite rät dann zum möglichst schnellen Umstieg.

Stand der Seite am 28.10.2026:

WordPress.org nennt in den Anforderungen aktuell PHP 8.3 oder höher als empfohlen und weist darauf hin, dass ältere Versionen wie 7.4 ihr offizielles Supportende erreicht haben und die Seite Sicherheitsrisiken aussetzen können. Wer noch PHP 8.2 nutzt, hat nach dem Stand der Seite nur noch bis Jahresende Sicherheits-Support. Prüfen Sie die PHP-Version Ihres Hostings also in jedem Fall jetzt und planen Sie bei Bedarf den Wechsel – inklusive Test, ob Theme und Plugins mit der neuen Version laufen.

Sicherheit und TLS

Zur technischen Grundsicherung zählen ein gültiges TLS-Zertifikat (HTTPS), starke und individuelle Passwörter mit Zwei-Faktor-Anmeldung für Administratoren, nicht benötigte Konten und Plugins entfernen sowie aktuelle Software. Das Zertifikat sollte ein Mal jährlich kontrolliert werden, auch wenn der Hoster es automatisch erneuert; eine abgelaufene Erneuerung zeigt Besuchern eine Browser-Warnung statt Ihrer Seite.

Die Backup-Regel: 3-2-1 und der Wiederherstellungstest

Eine verbreitete Faustregel lautet 3-2-1: drei Kopien der Daten, auf zwei verschiedenen Medien, davon eine an einem anderen Ort. Das BSI nennt diese Formel auf der geprüften Seite nicht ausdrücklich, empfiehlt aber, Sicherungen auf mindestens einem externen Speichermedium abzulegen, das Backup räumlich getrennt aufzubewahren und sicherzustellen, dass sich die Daten auch wieder einspielen lassen.

Für WordPress gilt zusätzlich: Laut WordPress-Dokumentation besteht eine Website aus Datenbank und Dateien, und beides wird für eine vollständige Wiederherstellung benötigt. Kleine, selten geänderte Seiten kommen demnach mit etwa wöchentlichen Backups aus, aktive Seiten sollten täglich gesichert werden. Die Dokumentation empfiehlt, mehrere aktuelle Sicherungen an verschiedenen Orten vorzuhalten.

Praktisch heißt das:

1. Die Backups des Hosters allein sind eine Kopie, nicht die ganze Regel. Legen Sie mindestens eine weitere Kopie außerhalb des Hosters ab.
2. Legen Sie fest, wie lange Backups aufbewahrt werden (etwa die letzten 30 Tage plus monatliche Stände).
3. Testen Sie vierteljährlich eine Wiederherstellung und notieren Sie, wie lange sie gedauert hat. Diese Zeit ist Ihre reale Ausfallzeit im Ernstfall.

Wer personenbezogene Daten in Backups speichert, sollte außerdem Löschfristen bedenken; auch das sollte der Wartungsplan benennen.

Was ein Wartungsvertrag regeln sollte

Ein Wartungsvertrag (auch Website Wartungsvertrag oder WordPress Wartungsvertrag genannt) schafft Verbindlichkeit. Prüfen Sie jedes Angebot anhand dieser Punkte:

• Leistungsumfang: Welche Systeme, welche Aufgaben aus der Checkliste, welche ausdrücklich nicht (z. B. Inhaltsänderungen, Fehlerbehebung nach Fremdeingriffen)?
• Update-Rhythmus: Wie schnell werden Sicherheits-Updates eingespielt, wie oft übrige Updates? Werden sie vorher getestet?
• Reaktionszeiten: Bis wann wird auf eine Störungsmeldung reagiert, und zu welchen Zeiten? Reaktionszeit ist nicht Behebungszeit; beides sollte getrennt stehen.
• Backups mit Wiederherstellungstest: Wo liegen die Sicherungen, wie lange, und wann wird die Wiederherstellung getestet und dokumentiert?
• Monitoring: Was wird überwacht, und wer wird wie benachrichtigt?
• Auftragsverarbeitung: Siehe unten.
• Laufzeit und Kündigung: Mindestlaufzeit, Kündigungsfrist, Verfahren bei Beendigung.
• Zugangsdaten und Übergabe: Wer besitzt Domain, Hosting und Admin-Zugänge? Bei Vertragsende muss eine vollständige Übergabe samt Dokumentation geregelt sein.
• Haftung und Verantwortlichkeiten: Wer trägt welche Risiken, etwa bei Update-Schäden oder Plugin-Lücken?
• Vergütung: Pauschale mit definiertem Stundenkontingent oder Abrechnung nach Aufwand; was passiert bei Überschreitung?

Auftragsverarbeitung nach Art. 28 DSGVO

Greift der Dienstleister bei der Wartung auf personenbezogene Daten zu – etwa auf Formularanfragen, Kundenkonten oder die Datenbank –, handelt er in der Regel als Auftragsverarbeiter. Art. 28 DSGVO verlangt dann einen Vertrag oder ein anderes Rechtsinstrument. Dieses muss unter anderem Gegenstand und Dauer, Art und Zweck der Verarbeitung, Datenarten und betroffene Personen festlegen. Weitere Pflichten sind Verarbeitung nur auf dokumentierte Weisung, Vertraulichkeit der eingesetzten Personen, Maßnahmen zur Datensicherheit, Regeln für Unterauftragsverarbeiter, Unterstützung bei Betroffenenrechten sowie Löschung oder Rückgabe der Daten nach Ende der Leistung. Der Vertrag muss schriftlich vorliegen, was das elektronische Format einschließt.

Das ist ein allgemeiner Überblick und keine Rechtsberatung. Ob in Ihrem Fall eine Auftragsverarbeitung vorliegt, sollten Sie mit Ihrer Datenschutzberatung klären.

Was Wartung kostet: Aufwand statt Pauschale

Eine seriöse Zahl für „die“ Wartungskosten gibt es nicht, weil der Aufwand je Website stark schwankt. Leverkruid nennt deshalb keine Marktpreise. Rechnen Sie stattdessen mit zwei Variablen:

Monatliche Kosten = Stunden pro Monat × Stundensatz

Der Aufwand hängt vor allem von diesen Faktoren ab:

• Zahl der Plugins und Zusatzfunktionen (Shop, Buchung, Mitgliederbereich)
• Individuelle Anpassungen am Theme, die Updates riskanter machen
• Anforderungen an Reaktionszeit und Verfügbarkeit
• Backup-Umfang, Testumgebung und Wiederherstellungstest
• Reifegrad: Wird eine vernachlässigte Seite erst aufgeholt, ist der erste Monat aufwendiger

Beispielrechnung (illustrativ, mit angenommenen Werten): Angenommen, eine kleine WordPress-Seite verursacht 1,5 Stunden Wartung pro Monat, und der vereinbarte Stundensatz betrage 80 €. Dann ergeben sich 1,5 × 80 € = 120 € im Monat. Beide Zahlen sind bloße Annahmen für die Rechnung, keine Marktpreise. Setzen Sie Ihre eigenen Angebotswerte ein.

Der wichtigste Prüfstein beim Vergleich zweier Angebote: Enthalten beide dieselben Aufgaben aus der Checkliste, und ist der Wiederherstellungstest dabei? Ein niedriger Preis ohne Test kann teurer werden als ein höherer mit.

Die Kosten der Erstellung selbst behandelt der Ratgeber zur Homepage-Erstellung ausführlicher.

Selbst warten oder auslagern?

Selbst warten funktioniert gut, wenn die Seite klein ist, Sie Zugriff auf Backups und Hosting haben und die Aufgaben fest im Kalender stehen. Auslagern lohnt sich, sobald die Seite Umsatz oder Terminbuchungen trägt oder niemand im Betrieb die Verantwortung übernehmen kann. Ein Mittelweg: Technik auslagern, Inhalte selbst pflegen – dann gehört die Trennung aus dem ersten Abschnitt in den Vertrag.

Statische Websites brauchen weniger Wartung

Eine statische Website ohne Datenbank und Plugins hat deutlich weniger Wartungsfläche, weil Updates von Core und Plugins entfallen; mehr dazu im Ratgeber zu WordPress oder Alternativen bei der Website-Erstellung.

Wartung und Geschwindigkeit

Veraltete Plugins und überfüllte Datenbanken können die Ladezeit verschlechtern. Wie Sie Ladezeit messen und verbessern, erklärt der Ratgeber zu den Core Web Vitals; hier genügt der Hinweis, dass regelmäßiges Aufräumen Teil der Wartung ist.

Das Wichtigste in Kürze – und Ihr nächster Schritt

Wartung ist Technik, Pflege ist Inhalt; beides braucht einen Verantwortlichen. Ein Backup gilt erst nach getestetem Wiederherstellen, und die PHP-Version hat ein Ablaufdatum. Kosten entstehen aus Stunden mal Satz.

Nächster Schritt: Schreiben Sie heute auf, wer Domain, Hosting und Admin-Zugang besitzt, welche PHP-Version läuft und wann das letzte Backup erfolgreich wiederhergestellt wurde. Fehlt eine dieser Antworten, ist das Ihre erste Wartungsaufgabe – und Ihre Gesprächsgrundlage für jedes Angebot.