Website Wartung: was nötig ist und was du selbst kannst

Eine Website ist am Tag der Freischaltung fertig und ab dem Tag danach veraltet sie. Nicht sichtbar, nicht auf einmal, sondern still.

Genau deshalb gibt es Angebote für Website Wartung. Diese Lektion beantwortet zwei Fragen: Was davon brauchst du wirklich, und was kannst du ohne fremde Hilfe selbst erledigen?

01 ·

Was Website Wartung umfasst, und was davon Pflicht ist

Ein Satz vorweg, den kaum ein Anbieter schreibt: Es gibt keine Norm und keine amtliche Definition davon, was Website Wartung beinhaltet. Der Begriff ist ein Marktbegriff, festgelegt von denen, die ihn verkaufen. Jede Leistungsliste im Netz ist deshalb eine Setzung, auch die folgende.

Bausteine der Website Wartung, eingeordnet nach Verbindlichkeit

Baustein	Einordnung	Woran sich das festmacht
Backups inklusive Wiederherstellungstest	Pflicht	Das BSI formuliert Sicherung und Test als Muss-Anforderung (Sektion 02)
Updates für Plugins und Themes	Pflicht	Bekannte Lücken werden über Updates geschlossen. Sie laufen laut offizieller Dokumentation standardmäßig nicht automatisch. Der Handgriff, der das ändert, steht in Sektion 03
PHP-Version aktuell halten	Pflicht	Eine PHP-Version am Support-Ende bekommt keine Sicherheitspatches mehr
Rechtstexte und Einwilligung	Pflicht	Die Pflicht trifft den Seitenbetreiber, nicht den Dienstleister (Sektion 06)
Kern-Updates von WordPress	läuft weitgehend selbst	Sicherheits- und Nebenversionen des Kerns installieren sich seit Jahren automatisch im Hintergrund
Verfügbarkeitsprüfung	sinnvoll	Keine Norm. Ohne sie merkst du einen Ausfall, wenn ein Kunde anruft
Formular- und Funktionstest	sinnvoll	Keine Norm. Ein defektes Formular sieht aus wie eine ruhige Woche
Datenbankpflege, Broken Links	Komfort	Weder Sicherheits- noch Rechtsthema
Inhalte aktualisieren	Redaktion, nicht Wartung	Technisch keine Pflicht, geschäftlich oft das Wichtigste

Die mittlere Spalte ist eine Bewertung von Ostend Digital, keine Quellenangabe. Belegt sind die Einzelteile in der rechten Spalte, nicht das Wort “Pflicht”.

Zwei Punkte stehen bewusst am Rand. Die Datenbankpflege wirkt auf die Ladezeit und gehört damit in die Lektion zum Website optimieren, kaputte Links gehören zur Lektion über WordPress SEO.

Der Einstiegspunkt, den du bereits installiert hast

WordPress bringt ein eigenes Diagnosewerkzeug mit, zu finden unter “Werkzeuge, Website-Zustand”. Die offizielle Dokumentation beschreibt es als “a diagnosis of your site’s health”.

Als kritische Befunde nennt sie unter anderem wörtlich “Auto-updates for plugins and/or themes appear to be disabled […]”, “Background updates are not working as expected”, “Your site is running an outdated version of PHP” und “Could not reach WordPress.org”. Das sind vier der wichtigsten Fragen dieser Lektion, und du kannst sie ohne Zusatzwerkzeug beantworten.

02 ·

Backup heißt Wiederherstellung, nicht Sicherung

Der wichtigste Baustein der Website Wartung ist zugleich der am schlechtesten verstandene. Fast jeder hat Backups. Sehr wenige wissen, ob sie funktionieren.

Was das BSI dazu wörtlich schreibt

Das Bundesamt für Sicherheit in der Informationstechnik führt im IT-Grundschutz-Kompendium den Baustein CON.3 “Datensicherungskonzept”. Die Anforderung CON.3.A15 lautet dort im Wortlaut (Edition 2022):

“Es MUSS regelmäßig getestet werden, ob die Datensicherungen wie gewünscht funktionieren, vor allem, ob gesicherte Daten einwandfrei und in angemessener Zeit zurückgespielt werden können.”

Eine Anforderung desselben Bausteins gehört dazu. CON.3.A12 verlangt, dass Speichermedien “räumlich getrennt von den gesicherten IT-Systemen aufbewahrt” werden.

Eine Einordnung gehört dazu, sonst wird daraus eine falsche Pflicht. Der IT-Grundschutz ist kein Gesetz für KMU-Websites, sondern der Standard des BSI für Institutionen, die ihn anwenden. Ein Handwerksbetrieb mit einer WordPress-Seite muss CON.3 nicht umsetzen.

Als fachlicher Maßstab taugt er trotzdem, und dieselbe Behörde sagt es im Verbraucherbereich noch direkter: “Zusätzlich müssen Sie sicherstellen, dass Sie die Daten auch ab- bzw. wiedereinspielen können. Das ist keineswegs selbstverständlich.”

Eine Website besteht aus zwei Teilen, ein Backup auch

Hier passiert ein häufiger handwerklicher Fehler. Die offizielle WordPress-Dokumentation trennt zwei Bestandteile: die Datenbank, die laut Doku “every post, every comment and every link” enthält, und die Dateien auf dem Server, also Kern, Theme, Plugins und Uploads. Der entscheidende Satz derselben Quelle lautet: “You need both to be able to fully restore a typical WordPress site.”

Wer nur die Dateien sichert, hat hinterher ein leeres Design. Wer nur die Datenbank sichert, hat Texte ohne Bilder. Genau hier sind Hoster-Backups manchmal unvollständig, deshalb lautet die richtige Frage nicht, ob dein Hoster sichert, sondern was er sichert.

Takt und Aufbewahrungsort

Die offizielle WordPress-Dokumentation empfiehlt für kleinere Websites wöchentliche Sicherungen und für Seiten mit viel Aktivität tägliche. Sie rät außerdem zu mindestens drei bis fünf aktuellen Sicherungen an verschiedenen Orten. Das ist eine Empfehlung des Projekts, keine Erhebung.

Das BSI nennt bewusst gar keinen Takt, sondern bindet ihn an die Frage, welche Daten man in jedem Fall benötigt. Deshalb ist die bessere Frage nicht “wie oft?”, sondern: Wie viel Arbeit darfst du verlieren? Wer täglich Bestellungen bekommt, verliert bei einer Wochensicherung im schlechtesten Fall sieben Tage davon, und die stehen in der Datenbank, nicht im Postfach.

Ebenso wichtig ist der Ort. Ein Backup, das nur beim Hoster liegt, ist bei dessen Ausfall, bei einem Zahlungsstreit oder bei einer Kontosperrung genauso weg wie die Seite selbst.

Wie aussagekräftig ein Test wirklich ist

Die folgende Staffelung leitet Ostend Digital daraus ab, belegt ist nur die Pflicht zum Test.

Vier Stufen der Backup-Prüfung und ihre Aussagekraft

Stufe	Was geprüft wird	Aussagekraft
0	Im Backup-Werkzeug steht ein Datum	keine
1	Die Datei existiert, hat plausible Größe und lässt sich öffnen	gering
2	Eine einzelne Datei wird zurückgespielt	mittel
3	Die gesamte Seite wird auf einer Testumgebung neu aufgebaut, mit Zeitmessung	hoch

Stufe 3 ist der eigentliche Test, weil nur er die Formulierung “einwandfrei und in angemessener Zeit” abdeckt. Alles darunter prüft die Sicherung, nicht die Wiederherstellung.

03 ·

Was du selbst machen kannst, und zwar ohne einen Cent

Jetzt der Teil, den Wartungsanbieter ungern schreiben. Ostend Digital verkauft Website Wartung. Was hier steht, kostet uns also Aufträge.

Der größte Hebel, den du selbst in der Hand hast, ist keine Dienstleistung, sondern eine Einstellung in WordPress, die nichts kostet. Sie dauert zwei Minuten.

Die Lücke, die eine Sammelaktion schließt

Eine der größten Lücken im Bestand ist strukturell und lässt sich ohne Hilfe schließen: Der Kern aktualisiert sich weitgehend selbst, Plugins und Themes tun das standardmäßig nicht. Wie diese Bausteine zusammenhängen, zeigt die Lektion zu den WordPress-Grundlagen.

Genau diese Lücke lässt sich schließen, ohne jemanden zu beauftragen. Die offizielle Dokumentation beschreibt es wörtlich so: “Since WordPress 5.5, websites Administrators can manually opt-in for automatic updates theme by theme and plugin by plugin.”

Und zur Massenaktivierung, ebenfalls wörtlich: “Plugins auto-updates can be bulk enabled or disabled for several plugin at one time by using the bulk action selector.” Du gehst also in den Plugin-Bildschirm, markierst alles und wählst die Sammelaktion.

Zwei Angaben derselben Quelle machen das erst brauchbar. WordPress führt die automatischen Updates laut Dokumentation zweimal täglich aus, und es verschickt standardmäßig E-Mail-Benachrichtigungen an die Betreiber, wenn Plugins und Themes automatisch aktualisiert wurden. Damit hast du ohne Vertrag beides: die Aktualisierung und die Rückmeldung darüber.

Der Haken, den die Quelle selbst nennt

Einschalten allein reicht nicht, und das steht ausdrücklich in derselben Dokumentation. Fehlen die Bedienelemente trotz aktueller WordPress-Version, liegt das laut Doku wahrscheinlich daran, dass die Funktion “partially or completely deactivated by your hosting company or by a plugin” wurde.

Und selbst wenn sie da ist, kann die Planung stolpern. Automatische Updates hängen an den zeitgesteuerten Aufgaben von WordPress, und die Dokumentation verweist zur Prüfung ausdrücklich auf den Website-Zustand aus Sektion 01.

Damit schließt sich der Kreis. Die Automatik einzuschalten ist der erste Schritt, einmal nachzusehen, ob sie wirklich läuft, der zweite. Beides kostet nichts.

Was die Automatik nicht abfängt

Eine Sache erledigt die Automatik nie, und sie erzeugt auch keine Meldung. Ein Plugin kann im offiziellen Verzeichnis geschlossen werden, etwa wegen eines Sicherheitsproblems, eines Richtlinienverstoßes oder auf Wunsch des Autors.

Die offizielle Entwickler-FAQ beschreibt den Zustand so: “the page shows as closed and the zips are no longer generated. No one will be able to download the plugin via the website, nor will they be able to install it via the WordPress admin.”

Das Entscheidende dabei: Ein geschlossenes Plugin funktioniert weiter. Es verschwindet nicht, es zeigt keine Fehlermeldung, die Seite läuft. Es bekommt nur nie wieder ein Update.

Im Dashboard steht dann dauerhaft “Aktuell”, weil es nichts mehr gibt, wogegen verglichen werden könnte. Deshalb ist die bessere Frage nicht “sind meine Plugins aktuell?”, sondern: Wann wurde jedes einzelne zuletzt vom Hersteller aktualisiert? Diese Angabe steht auf jeder Plugin-Seite im offiziellen Verzeichnis; für die Auswahl ist unser Beitrag zu den beliebtesten WordPress-Plugins ein Ausgangspunkt.

Sicherungen, die du selbst planst und selbst abholst

Auch der zweite Pflichtbaustein ist ohne Vertrag machbar. Im offiziellen WordPress-Plugin-Verzeichnis finden sich Erweiterungen, die geplante Sicherungen an externe Ziele schreiben und die Wiederherstellung in der kostenlosen Fassung anbieten. Die Verzeichnisbeschreibung von UpdraftPlus etwa nennt als Ziele unter anderem “Dropbox, Google Drive, Amazon S3 (or compatible), Rackspace Cloud, FTP […]”.

Das ist ein Machbarkeitsbeleg und keine Empfehlung, zumal die Beschreibung vom Hersteller einer Bezahlversion stammt. Andere Werkzeuge leisten Vergleichbares.

Fünf Entscheidungen legst du beim Einrichten fest, unabhängig vom Werkzeug. Umfang, Ziel und Takt folgen aus Sektion 02, Aufbewahrung und Probelauf sind Setzungen von Ostend Digital:

1. Umfang: Datenbank UND Dateien, nicht eines von beiden.
2. Ziel: ein Speicher außerhalb deines Hostings.
3. Takt: nach der Frage, wie viel Arbeit du verlieren darfst, nicht nach Gefühl.
4. Aufbewahrung: so viele Versionen, dass ein still eingetretener Fehler nicht schon in allen Sicherungen steckt. Die offizielle Dokumentation nennt als Anhaltspunkt drei bis fünf aktuelle Sicherungen; bei den geprüften Anbietern reichte die Spanne von vier bis zwanzig Versionen.
5. Probelauf: eine Sicherung einmal herunterladen und öffnen. Mehr geht ohne Testumgebung nicht, und weniger ist nichts.

Ein Takt, der ohne Entwickler funktioniert

Die folgende Aufstellung ist eine praktische Setzung von Ostend Digital für kleine Websites, kein Standard und keine Norm. Zeitangaben stehen bewusst keine dabei, weil belastbare Messungen dazu fehlen.

Ein Wartungstakt zum Selbermachen, als Setzung für kleine Websites

Takt	Was zu tun ist
Einmalig	Sicherungsplan mit externem Speicherort einrichten, danach automatische Updates per Sammelaktion einschalten, Verfügbarkeitsprüfung aufsetzen, Website-Zustand einmal komplett durchgehen
Wöchentlich	Postfach prüfen: Sind die Benachrichtigungen über automatisch aktualisierte Plugins und Themes gekommen? Seite einmal selbst aufrufen und ein Formular abschicken
Monatlich	Website-Zustand öffnen und kritische Befunde durchsehen, Plugin-Liste auf verwaiste Erweiterungen prüfen, nachsehen ob eine aktuelle Sicherung existiert und beide Teile enthält
Quartalsweise	Rechtstexte durchsehen: Stimmen Firmierung, Anschrift und Vertretung? Sind Dienste hinzugekommen, die im Banner fehlen? Inhalte prüfen: Preise, Team, Öffnungszeiten
Jährlich	PHP-Version prüfen und gegebenenfalls beim Hoster anheben lassen. Dazu der vollständige Wiederherstellungstest mit Zeitmessung, der als Einziger eine Testumgebung braucht: genau hier endet der eigene Pfad

Wochen- und Monatstakt folgen aus den belegten Mechanismen, etwa dem zweimal täglichen Update-Lauf und den Benachrichtigungen. Beim Quartals- und Jahrestakt gibt es nichts abzuleiten: Das BSI schreibt “regelmäßig” und nennt keine Frist.

Die Verfügbarkeitsprüfung ist der einzige Punkt, für den du ein zusätzliches Werkzeug brauchst, und auch dafür existieren kostenlose Stufen. Bei UptimeRobot etwa nennt die Preisseite in der kostenlosen Stufe 50 Monitore und ein Prüfintervall von fünf Minuten, abgelesen am 16.08.2026 und ohne Empfehlung.

04 ·

Updates und ihr Risiko: der Weg mit Rückfahrkarte

Wer gerade die Automatik eingeschaltet hat, bekommt an dieser Stelle meist den Einwand zu hören: “Updates können die Seite kaputtmachen.” Das ist das meistgenutzte Argument im Wartungsvertrieb. Wie oft es zutrifft, weiß niemand.

Es existiert keine belastbare Erhebung dazu, weder unabhängig noch von einem Anbieter mit offengelegter Methodik. Deshalb steht in dieser Lektion keine Prozentzahl. Das fehlende Maß wirkt in beide Richtungen: Weder “Updates sind gefährlich” noch “Updates sind harmlos” ist belegt.

Was WordPress selbst zum Risiko sagt

Interessanterweise braucht es für die Vorsicht gar keine Agenturquelle. Die offizielle Update-Anleitung des Projekts ist erkennbar von der Annahme geschrieben, dass etwas schiefgehen kann.

• Sie verlangt ein Backup vorher. Wörtlich: “Before you get started, it’s a good idea to back up your website. This means if there are any issues you can restore your website.”
• Sie beschreibt den Rückweg. Wörtlich: “If you experience problems after the upgrade, you can always restore your backup and replace the files with ones from your previous version from the release archive.”

Beides steht dort, bevor überhaupt ein Update angestoßen wird. Die Vorsicht ist also im offiziellen Weg schon eingebaut.

Woher das Risiko strukturell kommt

Eine WordPress-Seite ist kein Produkt eines Herstellers, sondern ein Zusammenbau aus Software vieler unabhängiger Anbieter. Kern, Theme, jedes einzelne Plugin, dazu PHP und die Datenbank auf dem Server.

Jeder dieser Anbieter aktualisiert nach seinem eigenen Zeitplan. Ein Update verändert also einen Baustein in einem Gefüge, das niemand als Ganzes getestet hat.

Drei Hebel, die das Risiko senken

Der erste steht schon in Sektion 02: vorher sichern, und zwar so, dass du das Zurückspielen bereits geübt hast. Ein ungetestetes Backup ist als Sicherheitsnetz vor einem Update genauso wenig wert wie sonst.

Der zweite ist eine Empfehlung aus der Fehlersuchlogik, keine Quelle, und er gilt für den Fall, dass du von Hand nachziehst. Wer dann zehn Erweiterungen in einem Rutsch aktualisiert und danach eine kaputte Seite hat, weiß nicht, welche es war.

Der dritte ist der wirksamste und zugleich der, den man am seltensten selbst hat: eine Testumgebung, oft Staging genannt. Sie ist eine zweite, nicht öffentliche Kopie der Seite, auf der Updates zuerst eingespielt werden. Warum sie die eigentliche Grenze dieser Lektion markiert, steht in Sektion 07.

05 ·

Wenn niemand etwas tut: ein datierter Fall statt Angstzahlen

Zu diesem Thema kursieren viele große Zahlen. “Alle X Sekunden ein Angriff”, “Millionen Attacken täglich”. Diese Zahlen stammen aus den Firewall-Netzen von Firmen, die Schutz davor verkaufen, und sie zählen in aller Regel automatisierte Scan-Versuche, keine erfolgreichen Übernahmen.

Hier steht deshalb keine davon, sondern ein Vorgang, der datiert, behördlich belegt und nachprüfbar ist.

Der 17. Juli 2026

WordPress veröffentlichte an diesem Tag die Sicherheitsversion 7.0.2. Die Release-Ankündigung des Projekts nennt “one critical and one high severity security issue”, konkret eine SQL-Injection und eine Verwechslung von Sammelrouten in der Programmierschnittstelle, die zur Ausführung fremden Codes führen konnte.

Betroffen waren laut Ankündigung die Zweige 7.0, 6.9 und für eine der beiden Lücken 6.8. Und dann steht dort der Satz, um den es hier geht: “Due to the severity, the WordPress.org team have enabled forced updates via the auto-update system for sites running affected versions.”

Vier Tage später, am 21.07.2026, nahm die US-Cyberbehörde CISA beide Lücken in ihren Katalog der nachweislich ausgenutzten Schwachstellen auf. Dieser Katalog listet ausdrücklich nur Lücken, für die eine tatsächliche Ausnutzung belegt ist, und genau darin unterscheidet er sich von jeder Anbieterzählung gemeldeter Schwachstellen.

Die beiden WordPress-Kern-Lücken im CISA-Katalog, Stand 16.08.2026

Kennung	Bezeichnung im Katalog	Aufgenommen	Frist für US-Bundesbehörden
CVE-2026-60137	WordPress Core SQL Injection Vulnerability	21.07.2026	04.08.2026
CVE-2026-63030	WordPress Core Interpretation Conflict Vulnerability	21.07.2026	24.07.2026

Drei Tage Umsetzungsfrist für die zweite Lücke. Das ist eine Behördenfrist mit Fundstelle, keine Werbezahl, und sie sagt mehr über Dringlichkeit als jede Sekundenstatistik.

Was dieser eine Fall zeigt und was nicht

Er korrigiert zunächst eine bequeme Erzählung. In den Schwachstellen-Meldungen, die Sicherheitsanbieter zusammentragen, entfällt der weit überwiegende Teil auf Erweiterungen, nicht auf den Kern; das sind gemeldete Lücken, keine gezählten Übernahmen. Diese Struktur-Aussage bleibt richtig, aber sie ist keine Garantie.

Ein Fall bleibt trotzdem ein Fall, und belegt ist genau das, was oben steht.

Der eigentliche Lehrsatz liegt woanders. WordPress hat das Update erzwungen, kostenlos und ohne Zutun der Betreiber. Die Frage war nur, wer es abholen konnte.

Die Folge in der Google-Suche

Google Search Central definiert gehackte Inhalte als Inhalte, die ohne Erlaubnis aufgrund von Sicherheitslücken auf einer Seite platziert werden. Nach der allgemeinen Spam-Regel derselben Dokumentation können betroffene Seiten schlechter ranken oder gar nicht mehr in den Ergebnissen erscheinen.

Für die Praxis zählt ohnehin ein anderer Punkt, und das ist eine Einschätzung, keine Erhebung: Teurer als die Reparatur ist meist der Zeitraum, in dem die Seite nicht auffindbar ist oder mit einer Warnung angezeigt wird.

06 ·

Die rechtliche Seite: veraltet, ohne dass sich etwas ändert

Der unangenehme Teil der Website Wartung ist der, bei dem nichts kaputtgeht. Die Seite läuft, sieht aus wie immer, und trotzdem stimmt etwas nicht mehr, weil sich die Rechtslage bewegt hat und die Seite nicht.

Diese Lektion ist keine Rechtsberatung und darf keine sein. Was hier steht, ist Gesetzeswortlaut mit Fundstelle. Die Anwendung auf deinen konkreten Fall gehört zu einer Anwältin oder einem Anwalt.

Barrierefreiheit steht als Dauerpflicht im Gesetz

§ 14 Absatz 3 des Barrierefreiheitsstärkungsgesetzes (BFSG) lautet im Wortlaut:

“Der Dienstleistungserbringer gewährleistet, dass die Barrierefreiheitsanforderungen […] stets erfüllt werden”

Das Wort, auf das es ankommt, ist “stets”. Nicht “bei Inbetriebnahme”, nicht “einmalig”. Dieselbe Vorschrift verlangt, dass geänderte Anforderungen, geänderte technische Spezifikationen und Änderungen an der Art der Dienstleistungserbringung berücksichtigt werden.

Damit ist die rechtliche Wartung im Gesetz angelegt. Wer ein Plugin austauscht, ein Theme aktualisiert oder eine Funktion ergänzt, verändert unter Umständen die Barrierefreiheit, und die Pflicht läuft weiter.

Und die Einschränkung, die dazugehört

Diese Dauerpflicht gilt seit dem 28. Juni 2025 und trifft nicht jede Website. § 3 Absatz 3 BFSG lautet wörtlich: “Absatz 1 gilt nicht für Kleinstunternehmen, die Dienstleistungen anbieten oder erbringen”. Und § 2 Nummer 26 BFSG erfasst nur Dienste, die auf den Abschluss eines Verbrauchervertrags gerichtet sind.

Kleinstunternehmen sind dabei ein gesetzlich definierter Begriff und nicht dasselbe wie die Kleinunternehmerregelung im Umsatzsteuerrecht. § 2 Nummer 17 BFSG definiert sie als Unternehmen mit weniger als zehn Beschäftigten und höchstens zwei Millionen Euro Jahresumsatz oder Bilanzsumme.

Ob deine Seite darunterfällt, ist eine Prüfung für sich, und sie gehört in die Lektion zur Barrierefreiheit nach BFSG. Hier geht es nur um den Wartungsaspekt: Wo die Pflicht gilt, gilt sie dauerhaft.

Ein Satz noch, damit die Ausnahme nicht als Freibrief gelesen wird. Wer nicht unter das Gesetz fällt, hat trotzdem Nutzer, die eine unbedienbare Seite verlassen. Die Pflicht entfällt in diesen Fällen, der Grund nicht.

Impressum und Einwilligung

Zwei weitere Bereiche veralten still. Die allgemeinen Informationspflichten für das Impressum stehen heute in § 5 des Digitale-Dienste-Gesetzes (DDG).

Daraus ergibt sich ein Selbst-Check, der dreißig Sekunden dauert. Steht in deinem Impressum noch ein Verweis auf das Telemediengesetz, wurden die Rechtstexte seit dem Wechsel der Rechtsgrundlage nicht angefasst. Das ist kein automatischer Verstoß, sondern ein sichtbarer Indikator für den Pflegestand.

Beim Cookie-Banner ist die Rechtsgrundlage § 25 TDDDG. Absatz 1 macht das Speichern von Informationen auf dem Endgerät und den Zugriff darauf von einer Einwilligung abhängig, Absatz 2 nennt eng gefasste Ausnahmen für unbedingt erforderliche Zugriffe.

07 ·

Wo die Grenze verläuft, und warum genau dort

Sektion 03 könnte den Eindruck hinterlassen haben, ein Wartungsvertrag sei überflüssig. Für manche Seiten ist er das auch. Für andere nicht, und der Grund ist ein anderer als der übliche.

Die Trennlinie verläuft nicht zwischen einfach und schwierig. Sie verläuft dort, wo dir entweder eine Umgebung fehlt, die du selbst nicht herstellen kannst, oder wo ein Fehler nicht mehr durch ein Backup zu heilen ist.

Aufgaben der Website Wartung: selbst machbar oder nicht

Aufgabe	Selbst machbar?	Warum
Automatische Updates einschalten und kontrollieren	ja	Offizielle Funktion, Sammelaktion, kostenlos
Sicherungen einrichten, extern ablegen, herunterladen	ja	In kostenlosen Werkzeugfassungen enthalten
Verfügbarkeitsprüfung einrichten	ja	Kostenlose Stufen existieren
Website-Zustand lesen und Befunde melden	ja	Bereits installiert
Rechtstexte auf Aktualität durchsehen	ja, mit Grenze	Prüfen ja, rechtlich bewerten nein
Updates vorher testen	nur mit Testumgebung	Sonst ist die Live-Seite die Testumgebung
Vollständiger Wiederherstellungstest	nur mit Testumgebung	Stufe 3 aus Sektion 02 braucht ein zweites System
PHP-Version anheben	abhängig vom Hoster	Einstellbar, aber die Folgen zeigen sich erst danach
Individuell programmierter Code, eigenes Theme	nein	Wartbar nur von jemandem, der den Code liest
Aufräumen nach einem Sicherheitsvorfall	nein	Unklar, ab wann das Backup selbst betroffen war

Die harte Grenze steht zweimal in der Tabelle, und beide Male heißt sie Testumgebung. Ob dein Tarif eine mitbringt, steht in der Leistungsbeschreibung deines Hosters – welche Anbieter sie in welchem Tarif enthalten, ist hier nicht erhoben. Ohne Testumgebung kannst du zwei Dinge nicht: Updates vorher ausprobieren und ein Backup wirklich prüfen.

Der letzte Punkt ist eine Einschätzung ohne Primärquelle, mit nachvollziehbarer Logik: Nach einem Vorfall lässt sich meist nicht bestimmen, ab wann die Sicherungen selbst kompromittiert waren. Hier ist Hilfe kein Komfort, sondern Voraussetzung.

08 ·

Was ein Wartungsvertrag leisten muss

Zur Preisfrage steht hier keine Spanne, und dafür gibt es einen Grund, der selbst lehrreich ist.

Warum hier keine Preisspanne steht

Die kursierenden Angaben zu Wartungskosten stammen praktisch ausnahmslos aus Beiträgen von Anbietern, die selbst Wartung verkaufen. Ein geprüftes Beispiel vom 23.07.2026 belegt seine Monatsspanne mit drei anderen Agenturbeiträgen, ohne Erhebung und ohne Methodik. So gilt nach ein paar Runden eine Spanne als Marktwissen, die nie jemand erhoben hat.

Ostend Digital gehört zu diesem Feld dazu. Unser älterer Beitrag zum Thema nennt selbst eine Monatsspanne, ohne eine Quelle dafür anzugeben. Deshalb steht sie in dieser Lektion nicht, und wir ziehen sie hier ausdrücklich nicht als Beleg heran.

Was sich stattdessen sagen lässt: Bei zwei am 16.08.2026 geprüften Wartungsanbietern lagen die monatlichen Nettopreise für ihre Pakete zwischen 23,50 Euro und 99 Euro, in einem Fall zuzüglich einer einmaligen Einrichtungsgebühr. Ein dritter geprüfter Anbieter ist ein Managed Hoster, bei dem ein Teil der Wartung im Hosting steckt; seine Beträge stehen hier bewusst nicht, weil sie am Abruftag einen befristeten Neukundenrabatt enthielten.

Zwei Anbieter sind keine Marktstichprobe, und daraus wird hier weder ein Durchschnitt noch ein üblicher Preis abgeleitet.

Der Preis sagt weniger als der Leistungsumfang

Interessanter als die Zahlen war beim Vergleich, worin sich diese Angebote überhaupt unterscheiden. Es ist nie das Wort “Wartung”, sondern es sind fünf Details.

• Der Update-Takt. Von wöchentlich bis täglich, bei gleichem Etikett.
• Backup-Takt und Aufbewahrung. Von zweiwöchentlich mit vier Versionen bis täglich mit zwanzig Versionen; bei dem einen geprüften Hoster war die Sicherung stattdessen an eine Aufbewahrungsdauer von 7 bis 30 Tagen gekoppelt.
• Wo die Sicherungen liegen. Ein geprüfter Anbieter wirbt ausdrücklich mit externen Backups, bei einem Hoster liegt die Sicherung naturgemäß beim Hoster.
• Ob nach dem Update jemand hinsieht. Nur ein geprüftes Paket nennt eine manuelle Kontrolle nach Updates ausdrücklich.
• Die Reaktion im Ernstfall. Notfall-Wiederherstellung, fester Ansprechpartner, Telefon statt nur E-Mail.

Dazu kommt die Vertragsbindung, die bei den geprüften Anbietern von monatlich kündbar bis zwölf Monate Mindestlaufzeit reicht. Und “Backups täglich” sagt nichts darüber, ob jemals eines zurückgespielt wurde.

Sieben Fragen an jeden Anbieter

• Wie oft wird gesichert, und wie viele Versionen bleiben erhalten?
• Wo liegen die Sicherungen, beim selben Anbieter wie die Website oder woanders?
• Wann wurde zuletzt ein Backup meiner Seite zurückgespielt, und wie lange hat es gedauert?
• Sieht nach einem Update jemand nach, ob die Seite noch aussieht wie vorher, und wie?
• Wer merkt einen Ausfall zuerst, und wie schnell wird reagiert?
• Ist die PHP-Version Teil der Wartung?
• Was ist ausdrücklich nicht enthalten?

Die letzte Frage ist die unbequemste und die wichtigste. Inhaltsänderungen, neue Funktionen, die Aktualisierung von Rechtstexten und das Aufräumen nach einem Sicherheitsvorfall sind vier sehr verschiedene Dinge, und keines davon steckt automatisch in einem Wartungspaket.

Bleibt eine Abgrenzung. Wartung hält den Bestand am Laufen, sie verbessert ihn nicht. Wie du eine bestehende Seite gezielt besser machst, steht in der Lektion zum Website optimieren, und wann sich der große Umbau lohnt, klärt die Lektion zum Website-Relaunch.

09 ·

10 ·

Selbstcheck: kannst du das beantworten?

Dein Hoster sagt, er mache tägliche Backups. Reicht das?

Das kommt auf drei Rückfragen an. Was genau wird gesichert, Dateien und Datenbank oder nur eines von beiden? Wo liegen die Sicherungen, und wie lange werden sie aufbewahrt?

Vor allem aber: Wann wurde zuletzt eine davon zurückgespielt und wie lange hat es gedauert? Ohne Antwort darauf ist es eine Sicherung, aber keine geprüfte Wiederherstellung.

Ein Angebot argumentiert mit der Zahl der täglichen Angriffe auf WordPress-Seiten. Wie ordnest du das ein?

Solche Zahlen stammen üblicherweise aus den Firewall-Netzen von Anbietern, die Schutz verkaufen. Sie zählen in aller Regel automatisierte Scan-Versuche, keine erfolgreichen Übernahmen, und ihre Grundgesamtheit sind die Kunden des jeweiligen Anbieters.

Aussagekräftiger ist der CISA-Katalog der nachweislich ausgenutzten Schwachstellen. Dort stehen im Juli 2026 zwei WordPress-Kern-Lücken mit Aufnahmedatum und Umsetzungsfrist.

Du hast automatische Updates per Sammelaktion eingeschaltet. Was fehlt noch, bevor du das als erledigt verbuchst?

Zweierlei. Erstens die Reihenfolge: WordPress selbst empfiehlt, vorher sicherzustellen, dass du auf eine frühere Fassung zurück kannst. Ohne funktionierendes Backup hast du die Automatik ohne Rückfahrkarte eingeschaltet.

Zweitens die Gegenprobe: Fehlen die Bedienelemente trotz aktueller WordPress-Version, deutet das laut Dokumentation darauf hin, dass Hoster oder ein Plugin die Funktion ganz oder teilweise deaktiviert haben. Und die Ausführung hängt an den zeitgesteuerten Aufgaben.

Beides siehst du im Website-Zustand. Einschalten ist Schritt eins, Nachsehen ob es läuft Schritt zwei.

Ein Anbieter schreibt, das BFSG verpflichte jede Website dauerhaft zur Barrierefreiheit. Was fehlt?

Die Dauerpflicht stimmt für den erfassten Kreis, § 14 Absatz 3 BFSG sagt wörtlich “stets erfüllt werden”. Nicht erwähnt sind die beiden Filter im selben Gesetz.

§ 2 Nummer 26 erfasst Dienste, die auf den Abschluss eines Verbrauchervertrags gerichtet sind, und § 3 Absatz 3 nimmt Kleinstunternehmen bei Dienstleistungen aus. Ob das auf einen konkreten Fall zutrifft, ist eine anwaltliche Frage.

Quellen und Stand (13 Einträge)

1. BSI: IT-Grundschutz-Kompendium, Baustein CON.3 “Datensicherungskonzept”, Edition 2022 (Dokument datiert sich selbst “Stand Februar 2022”), bsi.bund.de, PDF im Volltext ausgewertet (abgerufen 16.08.2026) – wörtliche Anforderungen CON.3.A15 (regelmäßiger Test, “einwandfrei und in angemessener Zeit”), CON.3.A12 (räumlich getrennte Aufbewahrung) und CON.3.A2 (separate Speichermedien). Quellentyp: Bundesbehörde ohne Verkaufsinteresse. Wichtig: Der IT-Grundschutz ist kein Gesetz für KMU-Websites, sondern der Standard des BSI für Institutionen, die ihn anwenden. Ob eine neuere Edition Wortlaute oder Anforderungs-IDs geändert hat, wurde nicht geprüft, deshalb steht das Editionsjahr im Text
2. BSI: “Datensicherung – wie geht das?” und “Back-up: Doppelt gesichert hält besser”, Verbraucherbereich, bsi.bund.de (abgerufen 16.08.2026) – wörtlich “Zusätzlich müssen Sie sicherstellen, dass Sie die Daten auch ab- bzw. wiedereinspielen können. Das ist keineswegs selbstverständlich.” sowie die Empfehlung räumlich getrennter Aufbewahrung. Beide Seiten nennen bewusst keinen festen Sicherungstakt, sondern binden ihn an die Nutzung. Auf den geprüften BSI-Seiten war der Begriff “3-2-1-Regel” nicht auffindbar, deshalb wird er in dieser Lektion dem BSI ausdrücklich nicht zugeschrieben und gar nicht erst verwendet
3. CISA: Known Exploited Vulnerabilities Catalog, Katalogversion 2026.08.14 mit 1.665 Einträgen, JSON-Feed maschinell ausgewertet (abgerufen 16.08.2026) – CVE-2026-60137 “WordPress Core SQL Injection Vulnerability” und CVE-2026-63030 “WordPress Core Interpretation Conflict Vulnerability”, beide aufgenommen am 21.07.2026, Fristen für US-Bundesbehörden 04.08.2026 bzw. 24.07.2026. Quellentyp: US-Bundesbehörde ohne Verkaufsinteresse. Der Katalog listet ausschließlich Schwachstellen mit belegter tatsächlicher Ausnutzung. Ob und in welchem Umfang deutsche Seiten betroffen waren, wurde nicht recherchiert und wird hier nicht behauptet
4. WordPress.org News: “WordPress 7.0.2 Release”, wordpress.org/news/2026/07/wordpress-7-0-2-release/, Release-Datum laut Seite 17.07.2026 (abgerufen 16.08.2026) – wörtlich “The 7.0.2 security release addresses one critical and one high severity security issue” sowie “Due to the severity, the WordPress.org team have enabled forced updates via the auto-update system for sites running affected versions.” Betroffen laut Ankündigung 7.0, 6.9 und für eine der Lücken 6.8
5. WordPress.org Documentation: “Plugin and themes auto-updates”, wordpress.org/documentation/article/plugins-themes-auto-updates/, Seite erstmals 24.07.2020, zuletzt 13.01.2023 (abgerufen 16.08.2026) – wörtlich die Opt-in-Möglichkeit seit WordPress 5.5, die Sammelaktion (“bulk action selector”), der Takt “By default WordPress runs auto-updates twice per day”, die E-Mail-Benachrichtigungen sowie der Hinweis “Before enabling auto-updates on your plugins and themes, you may want to make sure you’re able to rollback to a previous version of your website in case things go wrong.” Ebenfalls wörtlich der Haken: Fehlende Bedienelemente deuten auf eine Deaktivierung durch Hoster oder Plugin hin, und die Ausführung hängt an den WordPress-Cron-Aufgaben
6. WordPress.org Documentation: “Site Health screen”, wordpress.org/documentation/article/site-health-screen/, Seite erstmals 18.06.2021, zuletzt 12.07.2026 (abgerufen 16.08.2026) – wörtlich “WordPress offers a diagnosis of your site’s health” sowie die kritischen Befunde zu deaktivierten Auto-Updates, nicht funktionierenden Hintergrund-Updates, veralteter PHP-Version, wartenden Plugin-Updates und “Could not reach WordPress.org”. Die Einführungsversion wird hier bewusst nicht genannt, weil sie in der abgerufenen Dokumentation nicht steht
7. WordPress.org Documentation: “Updating WordPress”, wordpress.org/documentation/article/updating-wordpress/, erstmals 30.10.2018, zuletzt 15.09.2024 (abgerufen 16.08.2026) – wörtlich die Backup-Empfehlung vor dem Update und der Rollback-Hinweis über Backup und Release-Archiv. Die dort ebenfalls genannten Schritte zum manuellen Kern-Update per Dateiaustausch (Warnhinweis, “Deactivate plugins”, Cache-Leerung) werden in dieser Lektion nicht wiedergegeben, weil sie einen Weg beschreiben, den die Zielgruppe dieser Lektion nicht geht
8. WordPress Developer Resources: “WordPress Backups”, developer.wordpress.org/advanced-administration/security/backup/, Seite zuletzt aktualisiert 04.06.2026 (abgerufen 16.08.2026) – Trennung von Datenbank und Dateien, wörtlich “You need both to be able to fully restore a typical WordPress site.”, die Empfehlungen zum Takt (wöchentlich für kleinere, täglich für aktivere Seiten), drei bis fünf aufbewahrte Sicherungen an verschiedenen Orten. Diese Angaben sind Empfehlungen des Projekts, es steht keine Erhebung dahinter
9. WordPress Developer Resources: “Plugin Developer FAQ”, developer.wordpress.org/plugins/wordpress-org/plugin-developer-faq/ (abgerufen 16.08.2026) – wörtlich zum Zustand geschlossener Plugins: “the page shows as closed and the zips are no longer generated. No one will be able to download the plugin via the website, nor will they be able to install it via the WordPress admin.” Die Aufzählung der Schließungsgründe ist eine zusammenfassende Wiedergabe, kein Vollzitat, deshalb nennt diese Lektion dazu keine Fristen
10. Gesetzestexte auf gesetze-im-internet.de (alle abgerufen 16.08.2026): § 14 Absatz 3 BFSG (wörtlich “stets erfüllt werden”), § 2 Nummer 26 BFSG (Dienstleistungen im elektronischen Geschäftsverkehr “im Hinblick auf den Abschluss eines Verbrauchervertrags”), § 3 Absatz 3 BFSG (wörtlich “Absatz 1 gilt nicht für Kleinstunternehmen, die Dienstleistungen anbieten oder erbringen”), § 2 Nummer 17 BFSG (Legaldefinition Kleinstunternehmen: weniger als zehn Beschäftigte und höchstens zwei Millionen Euro Jahresumsatz oder Jahresbilanzsumme), § 1 BFSG (Geltung für Dienstleistungen nach dem 28.06.2025), § 5 DDG (Informationspflichten) und § 25 TDDDG (Einwilligung, URL läuft weiter unter dem Kürzel ttdsg). Die Wiedergaben zu § 5 DDG und § 25 TDDDG sind zusammenfassend und nicht wörtlich. Zum Ablösedatum TMG auf DDG steht hier bewusst kein Datum, weil es im Abruf nicht bestätigt werden konnte. Diese Lektion ist keine Rechtsberatung
11. Patchstack, “State of WordPress Security in 2026” (Berichtsjahr 2025), patchstack.com, abgerufen 16.08.2026: von 11.334 gemeldeten Schwachstellen im WordPress-Umfeld entfielen 91 Prozent auf Plugins und 9 Prozent auf Themes, im Kern selbst wurden sechs gemeldet, alle niedrig eingestuft. Grundlage der Aussage, dass gemeldete Lücken weit überwiegend in Erweiterungen sitzen. Quellentyp: Sicherheitsanbieter, verkauft Schutz vor genau diesen Lücken, Methodik nur knapp offengelegt. Gezählt werden veröffentlichte Lücken, nicht übernommene Websites
12. Google Search Central: “What is hacking or hacked content?”, developers.google.com/search/docs/advanced/security/what-is-hacked, Seite datiert 15.05.2026 (abgerufen 16.08.2026) – Definition gehackter Inhalte und die allgemeine Spam-Regel, wonach betroffene Seiten schlechter ranken oder nicht mehr erscheinen können. Die Formulierung “können” wird hier bewusst nicht verschärft
13. Anbieterquellen mit Verkaufsinteresse, alle abgerufen 16.08.2026 und ausschließlich als Beleg für Machbarkeit, Preisstruktur und Zitierpraxis genutzt, nicht als Empfehlung: wordpresswartung.com und wp-ninjas.de (Tarife und Leistungsbeschreibungen, Grundlage der genannten Nettospanne von 23,50 bis 99 Euro monatlich und der Einrichtungsgebühr; beide verkaufen Wartung), raidboxes.io (Managed Hosting mit Staging und täglichen Sicherungen; Preise hier bewusst nicht genannt, da die abgelesenen Beträge einen befristeten Neukundenrabatt enthielten und der Mehrwertsteuer-Status nicht eindeutig war), UpdraftPlus im offiziellen WordPress-Plugin-Verzeichnis, wordpress.org/plugins/updraftplus/, Verzeichnisangabe zuletzt aktualisiert 13.08.2026 (Sicherungsziele, Zeitpläne und Wiederherstellung laut Beschreibung; die Beschreibung stammt vom Hersteller, der eine Bezahlversion verkauft), uptimerobot.com/pricing/ (kostenlose Stufe mit 50 Monitoren und Fünf-Minuten-Intervall), die-mainagentur.de/blog/wordpress-wartung-kosten/, Beitragsdatum laut Seite 23.07.2026 (genutzt ausschließlich als Beleg dafür, dass die kursierenden Preisspannen mit anderen Agenturbeiträgen belegt werden). Drei Anbieter sind keine Marktstichprobe, deshalb wird in dieser Lektion kein Durchschnitt und kein Marktpreis gebildet