- Ein WordPress-Wartungsvertrag kostet je nach Umfang 50 bis 250 Euro im Monat und deckt Updates, Backups und Monitoring ab.
- Veraltete Plugins mit bekannten Lücken, für die es längst ein Update gibt, zählen zu den häufigsten Einfallstoren bei WordPress-Seiten, neben schwachen Passwörtern und Fehlkonfigurationen.
- Im Ernstfall kostet eine gehackte Seite ein Vielfaches des monatlichen Wartungspreises: Bereinigung, Datenverlust, Umsatzausfall, mögliche DSGVO-Meldepflicht.
- Ein seriöser Wartungspartner arbeitet transparent: monatliche Dokumentation, Updates auf Staging, klarer Reaktionszeitraum.
Wer eine WordPress-Website hat, kennt die Situation: Nach dem Launch läuft alles, und das Plugin-Update-Banner nervt etwas, also wird es auf morgen verschoben. Dann auf nächste Woche. Ein WordPress-Wartungsvertrag ist der Weg, dieses Aufschieben aus dem eigenen Alltag zu nehmen und in professionelle Hände zu geben. Dieser Ratgeber erklärt, was ein solcher Vertrag enthält, was er realistisch kostet und woran Sie erkennen, ob ein Anbieter wirklich liefert.
Was ein Wartungsvertrag ist und warum er nötig ist
WordPress ist das weltweit am weitesten verbreitete Content-Management-System und steckt hinter einem großen Teil aller Websites. Genau das macht es zum bevorzugten Ziel automatisierter Angriffe. Das eigentliche Problem ist dabei selten das System selbst, sondern die fehlende Aktualisierung. Das BSI empfiehlt ausdrücklich, Software-Updates sofort oder zeitnah nach ihrer Veröffentlichung einzuspielen, weil Hersteller damit bekannte Lücken schließen, bevor Schaden im großen Maßstab entsteht.
Für eine WordPress-Seite im laufenden Betrieb bedeutet das: WordPress-Kern, alle aktiven Plugins und das Theme müssen regelmäßig aktualisiert werden. Dazu kommen Backups, die im Ernstfall funktionieren, und ein Monitoring, das auffällt, bevor es der Besucher tut. Das gehört zum Grundbetrieb.
Ein Wartungsvertrag bündelt genau diese Aufgaben und übergibt sie an jemanden, der dafür ausgestattet ist. Das setzt Sie als Betreiber frei und stellt sicher, dass die Arbeit tatsächlich gemacht wird, und zwar regelmäßig und dokumentiert statt erst, wenn mal Zeit ist.
Was ein Wartungsvertrag typischerweise enthält
Ein seriöser Vertrag deckt mindestens drei Bereiche ab. Was darüber hinaus enthalten ist, unterscheidet die Preisstufen.
Updates
Updates umfassen den WordPress-Kern, alle aktiven Plugins und das Theme. Vor dem Einspielen prüft ein guter Dienstleister, ob Kompatibilitätsprobleme zu erwarten sind, und testet die Aktualisierungen auf einer Staging-Umgebung oder zumindest mit einem anschließenden Funktionscheck. Updates blind auf die Live-Seite einzuspielen ist zwar schneller, aber riskant, besonders wenn mehrere Plugins gleichzeitig aktualisiert werden und sich gegenseitig beeinflussen.
Backups
Backups sollten täglich erstellt und an einem vom Webserver getrennten Speicherort abgelegt werden. Bei einem WooCommerce-Shop mit laufenden Bestellungen ist täglich oft zu grob, dort sollten die Sicherungen häufiger oder ereignisbasiert laufen, damit kein ganzer Verkaufstag an Bestelldaten verloren geht. Entscheidend ist, dass eine Sicherung im Ernstfall auch wirklich eingespielt werden kann. Das prüft ein gewissenhafter Anbieter gelegentlich durch echte Wiederherstellungstests, nicht nur dadurch, dass die Backup-Datei existiert. Was eine vollständige Backup-Strategie ausmacht und warum externer Speicher zählt, erklärt der Ratgeber WordPress-Backup-Strategie: Der 3-2-1-Plan.
Monitoring
Monitoring bedeutet, dass jemand informiert wird, wenn die Seite nicht erreichbar ist, ein SSL-Zertifikat ausläuft oder der Malware-Scanner Auffälligkeiten meldet. Nicht Sie als Geschäftsführerin um 23 Uhr, sondern Ihr Dienstleister, der reagiert und Sie nur dann kontaktiert, wenn eine Entscheidung nötig ist.
Was darüber hinaus dazugehören kann
Viele Verträge enthalten zusätzlich einen vereinbarten Reaktionszeitraum bei Störungen, eine monatliche Statusmeldung, ein Kontingent für kleinere inhaltliche Änderungen oder technischen Support. Genau dieses Leistungspaket unterscheidet einen Wartungsvertrag von einem reinen Hosting-Tarif.
| Leistung | Basis-Paket | Mittel-Paket | Premium-Paket |
|---|---|---|---|
| WordPress-Kern, Plugins, Theme aktualisieren | Ja | Ja, mit Staging-Test | Ja, mit Staging-Test |
| Tägliche Backups, externer Speicher | Ja | Ja, inkl. Restore-Test | Ja, inkl. Restore-Test |
| Erreichbarkeits-Monitoring | Einfach | Ja | Ja |
| Malware-Scan | Nein | Ja | Ja |
| SSL-Zertifikat überwachen | Nein | Ja | Ja |
| Monatliche Dokumentation | Nein | Ja | Ja |
| Kontingent für kleinere Änderungen | Nein | Oft 30 bis 60 Min. | Ja, größeres Kontingent |
| Reaktionszeitraum bei Störung | Nicht definiert | Werktage | Wenige Stunden |
| Sicherheits-Audit, Performance-Check | Nein | Nein | Ja |
Was konkret in den laufenden Betrieb einer WordPress-Seite gehört, beschreibt der Ratgeber Website-Wartung: was monatlich, was jährlich zu tun ist im Detail.
Was ohne Wartung passiert
Eine ungepflegte WordPress-Seite wird zum Sicherheitsrisiko. Veraltete Plugins mit bekannten Schwachstellen, für die es seit Wochen ein Update gibt, zählen zu den häufigsten Einfallstoren, neben schwachen Passwörtern und Fehlkonfigurationen. Das BSI nennt Patchmanagement als eine der wichtigsten Sicherheitsmaßnahmen für Betreiber von Webanwendungen.
Was viele unterschätzen: Viele Angriffe bleiben lange unbemerkt. Die Seite läuft nach außen scheinbar normal weiter, während sie im Hintergrund für Spam-Versand, Phishing oder das Verbreiten von Schadsoftware genutzt wird. Oft fällt das erst auf, wenn Google die Seite als gefährlich einstuft und aus den Suchergebnissen nimmt oder Browser eine Warnseite anzeigen.
| Was passiert | Konkreter Schaden |
|---|---|
| Hacker nutzt bekannte Plugin-Lücke aus | Aufwändige Bereinigung, oft mehrere Stunden Facharbeit plus Systemwiederherstellung |
| Kein aktuelles Backup vorhanden | Wochen oder Monate an Inhalten und Daten verloren |
| Google markiert Seite als schädlich | Sichtbarkeitsverlust in der Suche, der auch nach Bereinigung nachwirkt |
| Kundendaten betroffen | DSGVO-Meldepflicht nach Art. 33 DSGVO (nur bei Risiko für Betroffene), mögliches Bußgeld |
| Onlineshop ist tagelang offline | Umsatzausfall, verlorene Anfragen, Vertrauensschaden |
Zur DSGVO-Meldepflicht: Wurden personenbezogene Daten aus Kontaktformularen, Kundendaten oder ähnlichem abgegriffen, sind Unternehmen nach Art. 33 Abs. 1 DSGVO verpflichtet, die zuständige Aufsichtsbehörde unverzüglich, möglichst binnen 72 Stunden, zu informieren, sofern die Verletzung voraussichtlich ein Risiko für die Rechte und Freiheiten der Betroffenen bedeutet. Das ist ein bürokratischer Aufwand, der in einem Krisenmoment hinzukommt.
Was ein Wartungsvertrag kostet
Der Preis hängt vor allem von zwei Faktoren ab: dem Leistungsumfang und der Komplexität der Website. Drei Stufen lassen sich gut unterscheiden.
Basis, 50 bis 100 Euro im Monat: Für eine überschaubare Unternehmenswebsite mit wenigen Plugins. Updates werden eingespielt, täglich gesichert, einfaches Erreichbarkeits-Monitoring läuft. Gut für Seiten, bei denen ein Ausfall unangenehm, aber nicht geschäftskritisch ist.
Mittel, 120 bis 250 Euro im Monat: Für einen umfangreicheren Auftritt mit WooCommerce-Shop, Buchungssystem oder mehrsprachigem Setup. Der Mehraufwand entsteht durch die höhere Zahl an Abhängigkeiten, das aufwendigere Testen der Updates und den größeren Schaden bei einem Ausfall. Monatliche Dokumentation und Malware-Scan sind hier Standard.
Premium, ab 250 Euro im Monat: Pakete mit regelmäßigen Sicherheits-Audits, Performance-Optimierung, fester Staging-Umgebung und einem garantierten Reaktionszeitraum von wenigen Stunden. Relevant für Shops mit nennenswertem Tagesumsatz oder Dienstleister, die rund um die Uhr erreichbar sein müssen.
Beim Vergleich gilt: Achten Sie nicht nur auf den Preis, sondern auf den tatsächlichen Leistungsumfang. Ein Angebot von 30 Euro im Monat, das lediglich automatische Plugin-Updates ohne anschließenden Funktionscheck umfasst, ist kein Wartungsvertrag, der Sie im Ernstfall schützt. Die laufenden Kosten einer WordPress-Seite insgesamt, also Hosting, Lizenzen und Wartung, beschreibt der Ratgeber Die wahren laufenden Kosten einer Website.
Ein Beispiel aus der Praxis
Ein typischer Fall bei einer Website-Übernahme: Ein WooCommerce-Shop läuft seit Monaten ohne Wartung. Das Theme ist mehrere Versionen veraltet, ein Teil der aktiven Plugins hat offene Sicherheitslücken. Der Betreiber weiß davon nichts, der Shop scheint zu funktionieren. Beim ersten Versuch, die ausstehenden Updates einzuspielen, bricht die Seite zusammen, weil zwei veraltete Plugins inzwischen inkompatibel mit der aktuellen WordPress-Version sind.
Die Wiederherstellung kostet dann schnell einen halben Arbeitstag. Mit regelmäßigen Tests auf einer Staging-Umgebung wäre es eine Sache von einer Stunde. Die Reparatur kostet den Betreiber am Ende mehr als ein Jahr der pauschalen Wartungsgebühr, die er sich gespart hat.
Aufgeschobene Updates sammeln sich an: je länger nichts passiert, desto wahrscheinlicher sind Konflikte, wenn das erste Update kommt.
Woran Sie einen guten Wartungspartner erkennen
Ein guter Wartungspartner arbeitet transparent. Er legt offen, was er monatlich konkret tut, dokumentiert Updates und Prüfungen und meldet sich, wenn etwas Ungewöhnliches aufgefallen ist. Auch dann, wenn er es selbst lösen konnte.
Für das erste Gespräch helfen konkrete Fragen, etwa wie und wo Backups gespeichert und getestet werden, ob Updates erst auf einer Staging-Umgebung laufen und welcher Reaktionszeitraum vertraglich gilt. Die vollständige Liste zum Mitnehmen finden Sie gleich im Anschluss.
Konkrete, ruhige Antworten zeigen, ob jemand das Handwerk versteht. Ausweichende oder sehr allgemeine Antworten sind ein Warnsignal.
Einen Punkt lassen viele Verträge offen: die Haftung. Klären Sie vorab, was geschuldet ist und was nicht. Ein Wartungsvertrag schuldet das fachgerechte Einspielen und Testen von Updates, keine Garantie, dass die Seite nie ausfällt oder nie angegriffen wird. Seriöse Anbieter grenzen das offen ab und regeln, wer in welchem Rahmen haftet, wenn trotz Wartung etwas schiefgeht. Achten Sie dabei auf den Unterschied zwischen Reaktionszeit, also wann sich jemand meldet, und Wiederherstellungszeit, also wann die Seite wieder läuft.
Was WordPress-Updates technisch bedeuten und warum man sie nicht einfach ignorieren sollte, erklärt der Ratgeber WordPress-Updates ohne Angst.
⚙ Für Fortgeschrittene · überspringbar
Wartung selbst stemmen: das technische Minimal-Setup
Wer die Wartung im Haus behalten will, kommt mit drei Bausteinen weit. Die Werkzeuge sind nicht das Problem, die Disziplin ist es.
Zentrale Verwaltung. Dienste wie MainWP oder ManageWP bündeln mehrere WordPress-Seiten in einem Dashboard: Updates, Backups und Status auf einen Blick. Für eine einzelne Seite reicht das WordPress-Backend, ab der zweiten Seite spart ein solches Werkzeug spürbar Zeit.
Staging und Backups. Ein Staging-Klon, den viele Hoster per Klick anbieten, sonst über ein Plugin wie WP Staging, ist die Versicherung gegen Update-Schäden: erst dort testen, dann live. Dazu ein Backup-Plugin wie UpdraftPlus oder BackWPup, das automatisch an ein externes Ziel sichert. Auf denselben Server zu sichern bringt im Ernstfall nichts. Wie eine belastbare Sicherung aufgebaut ist, zeigt der Ratgeber WordPress-Backup-Strategie: Der 3-2-1-Plan.
Der eigentliche Aufwand. Aus meiner Sicht unterschätzen die meisten nicht das Klicken der Updates, sondern zwei andere Dinge: das saubere Testen vor dem Live-Gang und die Reaktionsbereitschaft, wenn am Wochenende der Malware-Scanner anschlägt. Genau deshalb wird Wartung im Alltag aufgeschoben. Wer diesen Aufwand ehrlich für sich kalkuliert, weiß schnell, ob selbst machen oder abgeben am Ende günstiger ist.
Checkliste: Was ein guter Wartungsvertrag regeln muss
Vor dem Unterzeichnen sollten diese Punkte geklärt sein. Ein Vertrag, der wichtige Fragen offen lässt, schützt Sie im Streitfall nicht.
- Sind Updates, Backups und Monitoring als konkrete Leistungen beschrieben, nicht nur als Sammelbegriffe?
- Werden Updates auf einer Staging-Umgebung getestet, bevor sie auf die Live-Seite gehen?
- Ist der Backup-Speicherort vom Webserver getrennt, und werden Wiederherstellungen getestet?
- Gibt es einen definierten Reaktionszeitraum bei Störungen?
- Ist eine monatliche Dokumentation oder ein Statusbericht enthalten?
- Sind Laufzeit und Kündigungsfrist klar geregelt?
- Ist beschrieben, was beim Vertragsende mit Backups und Zugangsdaten passiert?
- Sind Zusatzkosten für Notfalleinsätze oder Mehraufwand transparent aufgeführt?
- Ist das Modell klar: Pauschale, Stundensatz oder Mischung?
- Ist die Haftung geregelt und die Wartung klar von einer Erfolgsgarantie abgegrenzt (Reaktionszeit gegenüber Wiederherstellungszeit)?
- Ein Wartungsvertrag kostet 50 bis 250 Euro im Monat, eine Notfallbereinigung nach einem Angriff fast immer mehr.
- Updates ohne Staging-Test sind riskant: bei komplexen Sites mit vielen Plugins kommen Inkompatibilitäten regelmäßig vor.
- Ein Backup, das nie wiederhergestellt wurde, ist kein sicheres Backup.
- Transparenz ist das wichtigste Qualitätssignal: monatliche Dokumentation zeigt, ob wirklich gearbeitet wird.
Häufige Fragen
Brauche ich einen Wartungsvertrag, wenn meine Website kaum Besucher hat?
Ja. Angriffe auf WordPress-Seiten laufen automatisiert und prüfen vorher nicht, wie viel Verkehr eine Seite hat. Auch eine kaum genutzte Website kann für Spam-Versand oder als Phishing-Infrastruktur missbraucht werden, mit demselben Aufwand zur Bereinigung.
Was ist der Unterschied zwischen Hosting und Wartungsvertrag?
Hosting stellt die Serverkapazität bereit, auf der Ihre Website läuft. Ein Wartungsvertrag umfasst die aktive Pflege: Updates einspielen, Backups prüfen, das Monitoring auswerten und bei Störungen eingreifen. Beides ist nötig, keines ersetzt das andere.
Kann ich die Wartung nicht selbst übernehmen?
Technisch ist das möglich. In der Praxis fehlt in den meisten Unternehmen entweder die Zeit oder das Fachwissen, um Updates zuverlässig zu testen, Sicherheitsprotokolle auszuwerten und im Ernstfall schnell zu reagieren. Was auf dem Papier einfach klingt, wird im Alltag oft aufgeschoben, bis etwas schiefgeht.
Was passiert, wenn ich den Vertrag kündigen möchte?
Das hängt vom Vertrag ab. Seriöse Anbieter arbeiten mit monatlichen oder jährlichen Laufzeiten und klaren Kündigungsfristen. Jahresverträge sind meist günstiger, aber weniger flexibel. Klären Sie vor Vertragsschluss, was beim Vertragsende mit Ihren Daten, Backups und Zugangsdaten geschieht.
Wie oft werden bei WordPress wirklich Sicherheitslücken gefunden?
Regelmäßig, vor allem in Plugins. Das WordPress-Sicherheitsteam verfolgt Schwachstellen aktiv und versorgt einen begrenzten Kreis älterer Hauptversionen noch mit kritischen Sicherheitsupdates, nicht jedoch unbegrenzt jede veraltete Installation. Das häufigste Einfallstor bleiben ohnehin veraltete Plugins, weil dort keine automatische Rückwärtsabsicherung greift.
Muss ein Wartungsvertrag immer mit einer Agentur sein?
Nein. Es gibt spezialisierte Freelancer und dedizierte Pflegedienste. Wichtiger als die Größe des Anbieters ist, ob er transparent arbeitet, zuverlässig dokumentiert und im Ernstfall erreichbar ist.