- Eine WordPress-Website braucht monatliche Pflichtaufgaben (Updates, Backup-Check, Sicherheitsscan, Formular-Test) und jährliche Tiefenprüfungen (Performance, PHP-Version, Inhalte, defekte Links).
- Die meisten Angriffe auf WordPress nutzen bekannte Lücken in veralteten Plugins aus, für die es längst ein Update gibt. Wer nicht aktualisiert, sammelt gezielt Einfallstore.
- Ein Backup ist erst dann echt, wenn es sich erfolgreich wiederherstellen lässt. Sicherungen, die nie getestet werden, geben trügerische Sicherheit.
- Die monatliche Routine dauert bei einer typischen Unternehmens-Website meist um eine Stunde. Wer sie nicht hat, zahlt früher oder später dafür.
Eine Website läuft nicht einfach weiter, wenn niemand hinschaut. WordPress, Plugins und PHP erhalten fortlaufend Updates, Suchmaschinen verschieben ihre technischen Anforderungen, und Inhalte veralten. Wer keinen festen Wartungsrhythmus hat, merkt das meistens erst, wenn etwas schiefgeht: eine gehackte Seite, ein abgestürztes Formular, ein Performance-Einbruch. Dieser Ratgeber liefert den konkreten Fahrplan, welche Aufgaben monatlich, vierteljährlich und jährlich erledigt werden müssen, mit Begründung und klaren Schritten.
Warum Wartung kein optionales Extra ist
WordPress selbst ist solide. Das Risiko entsteht im laufenden Betrieb. In der Praxis laufen viele aktive WordPress-Installationen, die wir sehen, nicht auf der aktuellen Hauptversion. Das lässt sich auf der WordPress.org-Versionsübersicht grob nachvollziehen: Die Kurve zeigt regelmäßig, dass ein erheblicher Teil der aktiven Sites hinter der aktuellen Hauptversion zurückliegt. Jede dieser älteren Versionen trägt öffentlich dokumentierte Lücken, die automatisierte Angriffs-Scanner in Sekunden erkennen. Das Bundesamt für Sicherheit in der Informationstechnik hält Software-Updates sofort oder zeitnah nach Veröffentlichung für die wichtigste Einzelmaßnahme, weil Hersteller damit Lücken schließen, bevor Schaden im großen Maßstab entsteht.
Dazu kommt der technische Wandel. Googles Core Web Vitals sind kein einmaliges Prüfsiegel, sondern laufende Messung. Ein LCP-Wert, der beim Launch gut war, kann sechs Monate später im roten Bereich liegen, weil ein Plugin-Update die Ladereihenfolge verändert hat oder neue, unoptimierte Bilder in die Mediathek geladen wurden. Wer nicht misst, weiß es nicht.
Kurz: Diese Szenarien sind nicht theoretisch. Sie treten in der Praxis regelmäßig ein.
Was ohne Wartung passiert
Die Folgen einer ungepflegten WordPress-Installation treten selten sofort auf. Zunächst läuft alles scheinbar normal, während im Hintergrund Risiken wachsen. Was am Ende passiert, ist in der Praxis gut dokumentiert.
| Was passiert | Konkreter Schaden | Häufigkeit |
|---|---|---|
| Hacker nutzt bekannte Plugin-Lücke aus | Aufwändige Bereinigung, oft mehrere Stunden Facharbeit plus System-Wiederherstellung | Häufig |
| Kein aktuelles, getestetes Backup | Wochen oder Monate an Inhalten und Kundendaten verloren | Regelmäßig unterschätzt |
| Seite von Google als schädlich markiert | Sichtbarkeitsverlust in der Suche, der auch nach Bereinigung nachwirkt | Möglich nach Hack |
| Kundendaten abgegriffen | DSGVO-Meldepflicht nach Art. 33 DSGVO binnen 72 Stunden, mögliches Bußgeld | Sobald personenbezogene Daten betroffen |
| Formular nach Plugin-Update still kaputt | Anfragen gehen ins Leere, bis jemand es manuell testet | Sehr häufig, oft wochenlang unbemerkt |
| PHP-Version ausgelaufen, kein Support mehr | Kein Sicherheits-Update mehr, wachsende Inkompatibilität mit neuen Plugins | Schleichend, kaum sichtbar |
Viele Angriffe bleiben lange unbemerkt. Die Seite läuft nach außen scheinbar normal, während sie für Spam-Versand oder als Phishing-Infrastruktur genutzt wird. Das zeigt sich dann, wenn der Hosting-Anbieter gesperrte E-Mail-Kontingente meldet oder Browser eine Warnseite anzeigen.
Wartungsfahrplan: alle Aufgaben auf einen Blick
Die folgende Tabelle ist der Kern dieses Ratgebers. Alle Aufgaben geordnet nach Rhythmus, mit Aufwandsschätzung und dem Grund, warum jede davon zählt.
| Aufgabe | Rhythmus | Warum | Aufwand |
|---|---|---|---|
| WordPress-Kern, Plugins und Theme aktualisieren | Monatlich | Schließt bekannte Lücken, verhindert Kompatibilitätsprobleme | 15-30 Min. |
| Backup prüfen und Wiederherstellung testen | Monatlich | Stichprobe zeigt, ob die Sicherung wirklich funktioniert | 10-15 Min. |
| Sicherheitsscan durchführen | Monatlich | Entdeckt eingeschleusten Schadcode früh | 5-10 Min. |
| Formulare und Conversion-Elemente testen | Monatlich | Updates brechen Formulare still; Anfragen gehen sonst wochenlang verloren | 5-10 Min. |
| SSL-Zertifikat und Erreichbarkeit prüfen | Monatlich | Ablauf setzt Warnseite vor alle Besucher | 2-5 Min. |
| Login-Protokoll und fehlgeschlagene Versuche auswerten | Monatlich | Frühwarnung auf Brute-Force-Angriffe | 5 Min. |
| Performance-Kurzcheck (PageSpeed / Lighthouse) | Vierteljährlich | Core Web Vitals können nach Updates abrutschen | 15-20 Min. |
| Nutzerkonten und Zugriffsrechte prüfen | Vierteljährlich | Ehemalige Mitarbeitende oder Test-Accounts schließen | 10 Min. |
| Inaktive Plugins und Themes prüfen | Vierteljährlich | Jedes installierte, auch deaktivierte Plugin ist potenzielles Angriffsziel | 10 Min. |
| Datenschutzerklärung auf Aktualität prüfen | Vierteljährlich | Neue Plugins oder Dienste lösen Anpassungspflicht aus | 10-15 Min. |
| Performance-Vollaudit (Core Web Vitals) | Jährlich | Googles Schwellen für LCP, INP, CLS gegen aktuellen Stand messen | 1-2 Std. |
| PHP-Version und Serverumgebung prüfen | Jährlich | Kein Sicherheits-Update mehr nach End-of-Life; Inkompatibilitäten wachsen | 15 Min. |
| Inhalts-Audit (statische Seiten) | Jährlich | Veraltete Angaben beschädigen Vertrauen und können rechtlich relevant sein | 1-3 Std. |
| Barrierefreiheit grundlegend prüfen | Jährlich | Neue Plugins können Barrieren einschleusen; BFSG-Pflicht seit 28.06.2025 | 1-2 Std. |
| Defekte Links und Weiterleitungen prüfen | Jährlich | Tote Links schaden SEO und Nutzererfahrung | 30-60 Min. |
| Relaunch-Entscheidung prüfen | Jährlich | Ab 5-7 Jahren überwiegen Pflege-Risiken oft den Aufwand eines Neuentwurfs | 30 Min. |
Die monatlichen Routinen im Detail
Updates sicher einspielen
Zuerst ein vollständiges Backup von Datenbank und Dateien, dann die Updates in dieser Reihenfolge: zuerst Plugins, dann Theme, dann WordPress-Kern. Der Gedanke dahinter: Bricht ein Plugin-Update etwas, fällt das auf, solange der Kern noch unverändert ist. Wichtiger als die genaue Reihenfolge ist ohnehin, dass davor ein Backup steht und danach ein Funktionstest folgt. Direkt auf der Live-Seite zu aktualisieren ist riskant, sobald mehr als eine Handvoll Plugins beteiligt sind. Wer eine Staging-Umgebung hat, spielt dort ein, prüft die wichtigsten Seiten und Funktionen und überträgt dann die Änderungen auf Live. Ohne Staging genügt wenigstens ein manueller Funktionstest unmittelbar nach den Updates: Startseite laden, Kontaktformular aufrufen, falls vorhanden Warenkorb und Checkout durchklicken.
Sicherheitskritische Updates erkennbar an einem Hinweis wie „security release“ in der Beschreibung verdienen sofortiges Handeln, nicht das nächste monatliche Wartungsfenster. Solche Updates schließen aktiv ausgenutzte Lücken. Hier gilt: lieber heute mit einem kurzen Test als morgen mit einem Reinigungsproblem. Details dazu im Ratgeber WordPress-Updates ohne Risiko.
Backup prüfen und testen
Ein Backup, das nie wiederhergestellt wurde, ist kein verlässliches Backup. Das klingt selbstverständlich und wird doch regelmäßig übergangen. Die Mindest-Stichprobe: Dateigröße und Zeitstempel der letzten Sicherung ansehen und prüfen, ob sie plausibel sind. Ein paar Mal im Jahr einen echten Wiederherstellungstest auf einem lokalen System oder einer Staging-Umgebung durchführen. Viele Betriebe haben Backups, die seit Monaten still fehlschlagen, ohne dass es jemand bemerkt, weil nur die Backup-Software läuft, aber nie jemand hinschaut.
Was eine vollständige Backup-Strategie ausmacht, externer Speicher und die 3-2-1-Regel, erklärt der Ratgeber WordPress-Backup-Strategie: Der 3-2-1-Plan.
Sicherheitsscan
Ein Malware-Scan deckt auf, ob Schadcode eingeschleust wurde. Wichtig ist dabei, was das jeweilige Werkzeug überhaupt sehen kann: Sucuri SiteCheck (kostenlose Online-Version) ist ein externer Remote-Scanner, der eine Seite nur so prüft, wie ein Browser sie sieht (HTML, Skripte, Links, Weiterleitungen, Blacklisting), und kann KEINE Server-Dateien oder die Datenbank prüfen. Für eine Prüfung auf Datei- und Datenbankebene braucht es eine serverseitige Lösung wie ein Plugin à la Wordfence oder die kostenpflichtige Sucuri-Plattform. Mindestens genauso wichtig: ein Blick ins Zugriffsprotokoll. Viele fehlgeschlagene Login-Versuche auf wp-login.php sind ein Frühwarnsignal. Abhilfe schafft ein Login-Limit-Plugin oder, besser noch, Zwei-Faktor-Authentifizierung für alle Admin-Konten.
Formulare und Conversion-Elemente testen
Kontaktformulare, Terminbuchungen und Bewerbungsformulare brechen nach Plugin-Updates überproportional oft still. Ein Absenden-Test je Formular dauert zwei Minuten. Wer diese zwei Minuten nicht investiert, riskiert, dass Anfragen wochenlang ins Leere laufen. In der Praxis passiert das immer wieder: Das Formular zeigt keine Fehlermeldung, der Besucher glaubt, seine Nachricht sei angekommen, und wartet auf Antwort.
SSL und Erreichbarkeit
Ein abgelaufenes SSL-Zertifikat setzt jedem Besucher eine Browser-Warnseite vor, bevor er die eigentliche Seite zu sehen bekommt. Wer ein Monitoring-System nutzt, bekommt solche Ausfälle automatisch gemeldet. Wer keins hat, prüft einmal im Monat manuell: Seite aufrufen, Schloss-Symbol im Browser kontrollieren, Ablaufdatum des Zertifikats ansehen.
Login-Protokoll auswerten
Die WordPress-eigene Aktivitätsliste zeigt fehlgeschlagene Login-Versuche nicht direkt, dafür gibt es einfache Plugins wie Simple History oder WP Activity Log. Ein kurzer monatlicher Blick genügt. Auffällig ist nicht jeder einzelne fehlgeschlagene Versuch, sondern Muster: Hunderte Versuche in kurzer Zeit, unbekannte IP-Adressen, unbekannte Benutzernamen.
Vierteljährliche Aufgaben
Performance-Kurzcheck
Einmal pro Quartal lohnt eine schnelle Messung der Kernseiten mit PageSpeed Insights. Werte, die sich im Vergleich zum Vorquartal deutlich verschlechtert haben, zeigen oft, wo ein Plugin-Update oder ein neues Bild das Problem verursacht hat. Der vollständige Core-Web-Vitals-Audit gehört ins Jahresprogramm, der Kurzcheck ins Quartalsprogramm.
Nutzerkonten und Zugriffsrechte
Ehemalige Mitarbeitende, Test-Accounts und Accounts von Freelancern, die für ein abgeschlossenes Projekt angelegt wurden, bleiben in WordPress oft unbegrenzt aktiv. Einmal im Quartal alle Benutzer durchsehen, Accounts ohne aktiven Hintergrund deaktivieren oder löschen, Passwörter für aktive Admin-Konten auf Aktualität prüfen.
Inaktive Plugins und Themes bereinigen
Deaktivierte Plugins sind nicht automatisch harmlos. Ihr Code liegt auf dem Server und ist weiterhin für Scans erreichbar. Wer Plugins und Themes installiert hat, die nicht mehr genutzt werden, löscht sie. Das gilt auch für Standard-Themes wie Twenty Twenty-Five, die WordPress bei der Installation mitbringt und die nie aktiviert werden.
Datenschutzerklärung prüfen
Jedes neu installierte Plugin, das Daten erhebt oder an externe Dienste überträgt, kann eine Anpassung der Datenschutzerklärung auslösen. Cookie-Banner, Analytics-Werkzeuge, Buchungs-Plugins, Chat-Widgets: alle davon werden typischerweise in der Datenschutzerklärung dokumentiert. Einmal pro Quartal prüfen, ob neue Dienste hinzugekommen sind, die dort noch nicht stehen.
Die jährlichen Tiefenprüfungen
Performance-Vollaudit: Core Web Vitals
Einmal im Jahr die eigene Seite systematisch gegen diese Schwellen messen, nicht nur die Startseite, sondern die wichtigsten Unterseiten. Ein Produktarchiv oder ein Leistungsbereich mit vielen Bildern verhält sich anders als die Startseite. PageSpeed Insights zeigt Felddaten aus dem Chrome User Experience Report, Lighthouse liefert Labordaten. Beide zusammen geben ein vollständiges Bild. Wer konkrete Optimierungen angehen will, findet im Ratgeber WordPress-Hosting und Performance Ansatzpunkte.
PHP-Version und Serverumgebung
PHP 8.1 hat sein Lebensende Ende 2025 erreicht, PHP 8.2 folgt Ende 2026, PHP 8.3 wird bis Ende 2027 mit Sicherheits-Updates versorgt. Wer noch auf einer End-of-Life-Version läuft, bekommt keine Sicherheits-Patches mehr. Das jährliche Wartungsfenster ist der richtige Moment, die PHP-Version beim Hoster zu prüfen und bei Bedarf zu aktualisieren. Dabei zuerst auf Staging testen, weil ältere Plugins gelegentlich mit neueren PHP-Versionen inkompatibel sind.
Ebenfalls jährlich prüfen: Ist der Hostingvertrag noch das Richtige für die aktuelle Nutzung? Reicht der Speicherplatz? Gibt es ein aktuelles SSL-Zertifikat mit ausreichend langer Laufzeit?
Inhalts-Audit
Veraltete Angaben beschädigen das Vertrauen genau bei den Besuchern, die gründlich lesen. Ehemalige Mitarbeitende auf der Team-Seite, geschlossene Standorte, nicht mehr gültige Preise oder Angebote. Besonders heikel: eine nicht mehr aktuelle Datenschutzerklärung oder ein veraltetes Impressum. Einmal jährlich die wichtigsten statischen Seiten durchgehen: Über uns, Leistungen, Impressum, Datenschutz, Kontakt.
Barrierefreiheit prüfen
Seit dem 28. Juni 2025 gilt das Barrierefreiheitsstärkungsgesetz für viele Anbieter digitaler Leistungen. Für den praktischen Wartungskontext heißt das: Jedes neue Plugin kann Barrieren einschleppen, die beim Einspielen nicht sofort auffallen. Der jährliche Barrierefreiheits-Check mit einem Werkzeug wie WAVE oder der axe-Browsererweiterung gibt einen schnellen Überblick. Kontrastverhältnisse, fehlende Alternativtexte, Tastatur-Zugänglichkeit. Eine automatische Prüfung gibt Orientierung, findet aber erfahrungsgemäß nur einen Teil der tatsächlichen Barrieren. Tastatur-Zugänglichkeit und sinnvolle Alternativtexte lassen sich kaum maschinell beurteilen, das braucht menschliches Urteil.
Defekte Links und Weiterleitungen
Interne und externe Links brechen mit der Zeit. Ein Crawl mit einem Werkzeug wie Screaming Frog (kostenlose Version bis 500 URLs) oder der kostenlosen Online-Version von Broken Link Check zeigt 404-Fehler und unnötige Weiterleitungsketten. Tote Links belasten nicht nur das Ranking, sie stören auch echte Besucher, die auf eine Seite klicken und ins Leere fallen.
Relaunch-Entscheidung prüfen
Eine Website, die älter als fünf bis sieben Jahre ist, auf einer End-of-Life-PHP-Version läuft, kein responsives Layout besitzt oder deren Theme nicht mehr weiterentwickelt wird, lässt sich durch Wartung allein langfristig nicht stabilisieren. Der jährliche Checkpunkt ist der richtige Moment, diese Frage ehrlich zu stellen. Die laufenden Pflege-Risiken und der technische Schuldenstand müssen gegen den Aufwand eines Neuentwurfs abgewogen werden. In vielen Fällen ist ein Relaunch nach fünf bis sieben Jahren günstiger als das Weiterflicken.
Schritt-für-Schritt: Monatliche Wartungsroutine
Diese sieben Schritte bilden die komplette monatliche Routine für eine typische WordPress-Unternehmens-Website. Realistischer Zeitaufwand: 45 bis 75 Minuten.
Schritt 1: Vollständiges Backup erstellen
Vor jedem Update ein Backup von Datenbank und allen Dateien anlegen. Extern speichern, d. h. nicht nur auf demselben Server. Sicherungsdatei auf plausible Größe und aktuellen Zeitstempel prüfen.
Schritt 2: Updates vorbereiten und einspielen
WordPress-Dashboard öffnen, verfügbare Updates sichten. Reihenfolge: zuerst Plugins, dann Theme, dann WordPress-Kern. Wer eine Staging-Umgebung hat, spielt dort ein und prüft, ob die Seite noch korrekt funktioniert, bevor die Änderungen auf Live übertragen werden.
Schritt 3: Funktionstest nach Updates
Startseite aufrufen, Navigation durchklicken, Kontaktformular absenden, falls vorhanden Warenkorb und Checkout durchlaufen. Fehlermeldungen oder Layoutbrüche im Browser notieren und beheben.
Schritt 4: Backup prüfen (Stichprobe)
Dateigröße und Zeitstempel der letzten Sicherung kontrollieren. Einmal im Quartal einen echten Wiederherstellungstest auf einem Testsystem durchführen, nicht nur monatlich ansehen.
Schritt 5: Sicherheitsscan starten
Wordfence-Scan oder Sucuri-SiteCheck starten, Ergebnis ansehen. Auffälligkeiten protokollieren und bei echtem Befund sofort handeln.
Schritt 6: Login-Protokoll auswerten
Fehlgeschlagene Login-Versuche der letzten vier Wochen ansehen. Muster erkennen und bei auffälliger Häufung Login-Limit oder Zwei-Faktor-Authentifizierung aktivieren.
Schritt 7: SSL und Erreichbarkeit bestätigen
Seite im Browser aufrufen, Zertifikat kontrollieren, Ablaufdatum notieren. Wer ein Monitoring-Tool nutzt, prüft dessen letzten Statusbericht.
⚙ Für Fortgeschrittene · überspringbar
Wartung effizienter machen: WP-CLI und zentrale Tools
Wer mehrere Websites pflegt oder die monatliche Routine beschleunigen will, automatisiert die wiederkehrenden Schritte. Die manuelle Klick-Routine bleibt richtig für eine einzelne Seite, skaliert aber schlecht.
WP-CLI. Über die Kommandozeile laufen die Standardschritte deutlich schneller: wp db export für ein schnelles Backup vor dem Update, wp plugin update --all und wp core update für die Aktualisierung, wp plugin list --update=available für den Vorab-Überblick. Ein kurzes Shell-Skript bündelt Backup, Update und einen Smoke-Test (wp option get blogname oder ein curl auf die Startseite) zu einem Befehl. Wichtig bleibt der manuelle Funktionstest der kritischen Seiten danach, den nimmt einem die Automatik nicht ab.
Zentrale Verwaltung. MainWP oder ManageWP führen Updates, Backups und Sicherheits-Checks für viele Sites in einem Dashboard zusammen und protokollieren jeden Lauf. Für eine Agentur oder ein Unternehmen mit mehreren Auftritten ist das der Hebel, der die Wartung von „wird meistens gemacht“ auf „ist dokumentiert erledigt“ hebt.
Das Wartungs-Log. Aus meiner Sicht der unterschätzteste Baustein: ein schlichtes Protokoll mit Datum, erledigten Aufgaben und Auffälligkeiten. Es macht die Pflege nachvollziehbar, deckt schleichende Probleme auf (ein Backup, das seit Wochen klemmt) und ist im Streitfall der Nachweis, dass gearbeitet wurde.
Ein Beispiel aus der Praxis
Ein typischer Fall: Ein WooCommerce-Shop läuft seit Monaten ohne Wartungsroutine. Das Theme ist mehrere Versionen veraltet, ein Teil der aktiven Plugins hat öffentlich dokumentierte Sicherheitslücken. Der Betreiber weiß davon nichts, der Shop scheint zu funktionieren.
Beim ersten Versuch, die ausstehenden Updates einzuspielen, brach die Seite zusammen: Zwei veraltete Plugins waren inzwischen mit der aktuellen WordPress-Version inkompatibel. Die Wiederherstellung dauerte einen halben Arbeitstag. Dazu stellte sich heraus, dass die automatischen Backups seit drei Monaten still fehlschlugen, das Backup-Plugin hatte einen Konfigurations-Fehler, der nie aufgefallen war.
Die Kosten für diesen einen Tag können ein Jahresbudget für monatliche Wartung übertreffen. Bei monatlicher Pflege wären die Updates jeweils an einem gesunden System in kleinen Schritten eingespielt worden, die Inkompatibilität wäre früh aufgefallen, und der Backup-Fehler wäre beim nächsten monatlichen Stichproben-Check entdeckt worden.
Was sich delegieren lässt, was nicht
Eine klare Trennung hilft bei der Planung:
Intern machbar, wenn entsprechendes Grundwissen vorhanden ist: neue Texte und Bilder einpflegen, Blogartikel veröffentlichen, einfache Anpassungen an bestehenden Seiten. Bildgrößen und Dateinamen sollten dabei bekannt sein, sonst verschlechtert jedes hochgeladene, unkomprimierte Bild die Performance.
Nur mit Fachkenntnis angehen: PHP-Version wechseln, Server konfigurieren, SSL-Zertifikat erneuern, DNS-Einstellungen ändern, Updates auf einer Seite mit vielen ineinandergreifenden Plugins einspielen, eine Wiederherstellung nach Hack oder Datenverlust durchführen.
Viele Betriebe unterschätzen den internen Aufwand für eine verlässliche Routine. Nicht wegen der einzelnen Aufgabe, sondern wegen der Verbindlichkeit. Eine Routine, die meistens gemacht wird, ist keine Routine. Der entscheidende Unterschied zwischen interner und externer Pflege liegt oft nicht beim Können, sondern bei der Verbindlichkeit. Wer Wartung delegiert, sollte auf monatliche Dokumentation bestehen, also auf einen kurzen Bericht, was gemacht wurde und was dabei aufgefallen ist. Was ein professioneller Wartungsvertrag abdecken muss und wie man Angebote bewertet, erklärt der Ratgeber WordPress-Wartungsvertrag: Kosten und Leistungen.
Wartungs-Checkliste nach Rhythmus
Diese Checkliste lässt sich direkt als Vorlage für die eigene Wartungsroutine nutzen.
Monatlich
- Vollständiges Backup erstellt und auf externe Speicherung geprüft?
- Plugins, Theme und WordPress-Kern aktualisiert (ggf. auf Staging getestet)?
- Funktionstest nach Updates durchgeführt (Startseite, Formulare, ggf. Checkout)?
- Backup-Stichprobe: Dateigröße und Zeitstempel plausibel?
- Sicherheitsscan abgeschlossen und Ergebnis gesichtet?
- Login-Protokoll auf auffällige Muster geprüft?
- SSL-Zertifikat gültig, Ablaufdatum notiert?
Vierteljährlich
- Performance-Kurzcheck der Hauptseiten mit PageSpeed Insights gemacht?
- Nutzerkonten und Zugriffsrechte durchgesehen, inaktive Accounts bereinigt?
- Deaktivierte Plugins und Themes geprüft, nicht mehr benötigte gelöscht?
- Datenschutzerklärung auf neue Dienste oder Plugins geprüft?
- Backup-Wiederherstellungstest auf Testsystem durchgeführt?
Jährlich
- Core-Web-Vitals-Vollaudit (LCP, INP, CLS) der wichtigsten Unterseiten?
- PHP-Version geprüft und ggf. aktualisiert (End-of-Life beachten)?
- Hostingvertrag, Speicherplatz und SSL-Laufzeit bewertet?
- Inhalts-Audit der statischen Seiten: Über uns, Leistungen, Impressum, Datenschutz?
- Barrierefreiheit geprüft (WAVE oder axe, manuelle Kurzprüfung)?
- Defekte Links und Weiterleitungsketten per Crawl geprüft?
- Relaunch-Frage gestellt: Ist die Seite noch zukunftsfähig zu pflegen?
- Monatliche Pflicht: Updates (mit Test), Backup-Stichprobe, Sicherheitsscan, Formular-Test. Das sind 45 bis 75 Minuten, die teure Ausfälle verhindern.
- Ein Backup ist erst dann echt, wenn es wiederhergestellt wurde. Einmal im Quartal testen, nicht nur erstellen lassen.
- PHP-Version und Core Web Vitals gehören ins Jahres-Programm, nicht ins Vergessen. End-of-Life bedeutet: keine Sicherheits-Updates mehr.
- Verbindlichkeit schlägt Können: Eine Wartung, die nur meistens passiert, schützt auch nur manchmal. Dokumentation vom Dienstleister ist der einfachste Qualitätsnachweis.
Häufige Fragen
Wie oft sollte ich WordPress und Plugins aktualisieren?
Monatlich reicht für die reguläre Wartungsroutine der meisten Unternehmens-Websites. Sicherheitskritische Updates, zu erkennen an einem Hinweis wie „security release“ im Changelog, sollten sofort eingespielt werden, idealerweise nach einem kurzen Backup und einem anschließenden Funktionstest.
Muss ich Plugins wirklich löschen, wenn ich sie nur deaktiviert habe?
Ja. Deaktivierte Plugins liegen als Dateien auf dem Server und sind für automatisierte Schwachstellen-Scanner erreichbar. Wer ein Plugin nicht mehr braucht, löscht es, nicht nur deaktiviert es.
Was ist der Unterschied zwischen einem Backup und einem funktionierenden Backup?
Ein Backup ist eine Sicherungsdatei, die auf einem Server liegt. Ein funktionierendes Backup ist eine Sicherungsdatei, die sich erfolgreich wiederherstellen lässt und getestet wurde. Viele Backup-Konfigurationen schlagen still fehl, die Datei wird erzeugt, aber ist unvollständig oder beschädigt. Deshalb gehört ein Wiederherstellungstest mindestens einmal pro Quartal zur Routine.
Wie erkenne ich, ob meine PHP-Version noch aktuell ist?
Im WordPress-Dashboard unter „Werkzeuge > Zustand der Website“ wird die aktive PHP-Version angezeigt. Den aktuellen Support-Status aller PHP-Versionen zeigt php.net/supported-versions.php. Versionen mit dem Status „End of Life“ bekommen keine Sicherheits-Updates mehr.
Kann ich die Wartung komplett selbst übernehmen?
Technisch ist das möglich, wenn das nötige Fachwissen vorhanden ist. Der häufigere Engpass in der Praxis ist nicht das Können, sondern die Verbindlichkeit. Updates werden auf morgen verschoben, das Backup-Protokoll wird nicht geöffnet, der Formular-Test fällt aus, wenn viel los ist. Wer die Wartung auslagert, sollte auf monatliche Dokumentation bestehen, die zeigt, was wirklich gemacht wurde. Was ein guter Wartungsvertrag konkret regeln muss, beschreibt der Ratgeber WordPress-Wartungsvertrag.
Wie lange dauert die monatliche Wartung?
Bei einer typischen Unternehmens-Website ohne Shop 45 bis 75 Minuten, wenn eine klare Routine besteht. Ein WooCommerce-Shop mit vielen Plugins braucht mehr Zeit, weil der Funktionstest aufwändiger ist und Kompatibilitätsprobleme häufiger auftreten.
Wann lohnt sich ein Relaunch statt weiterer Wartung?
Als Richtwert gilt: fünf bis sieben Jahre, End-of-Life-PHP, kein responsives Layout oder ein nicht mehr gepflegtes Theme sind Anzeichen, dass laufende Pflege teurer wird als ein Neuaufbau. Der jährliche Wartungscheck ist der richtige Moment, diese Frage ehrlich zu stellen und den technischen Schuldenstand zu bewerten.