WordPress-Wartung: Warum sie überlebenswichtig ist und was ein guter Wartungsvertrag beinhalten muss

Kurz gesagt: WordPress-Wartung heißt: Updates für WordPress, Plugins und Themes geprüft einspielen, täglich extern sichern, die Website überwachen und regelmäßig auf Schadcode prüfen. Nötig ist das, weil jedes Jahr tausende neue Sicherheitslücken bekannt werden, fast alle in Plugins, und Angreifer sie oft innerhalb von Stunden ausnutzen. Ein guter Wartungsvertrag regelt, wie oft was passiert, wie schnell jemand reagiert und was bei einem Hack enthalten ist. Selbst machen geht, wenn du jede Woche Zeit dafür einplanst und weißt, wie du ein Backup zurückspielst.

Deine Website läuft seit Jahren, und keiner fühlt sich so richtig zuständig. Im Dashboard wartet eine lange Liste von Updates, die niemand einspielen will, weil beim letzten Mal das Kontaktformular hing. Genau so beginnen die meisten Notfälle: nicht mit einem gezielten Angriff, sondern mit Updates, die sich stauen.

Was gehört zur WordPress-Wartung?

Wartung ist mehr als der Klick auf „Aktualisieren“. Diese Aufgaben gehören dazu:

Die Häufigkeiten sind Richtwerte aus unserer Arbeit. Ein Shop mit täglichen Bestellungen braucht engere Abstände als eine Visitenkarten-Website.

Warum Wartung bei WordPress nötig ist

Sicherheitslücken werden schnell ausgenutzt

WordPress läuft auf 39,6 % aller Websites weltweit (W3Techs, Stand 25.10.2026). Für Angreifer lohnt es sich deshalb, Lücken automatisiert auf tausenden Websites gleichzeitig auszuprobieren.

Die Zahlen von Patchstack für 2025 zeigen, wo das Risiko liegt (State of WordPress Security in 2026):

• 11.334 neue Sicherheitslücken im WordPress-Umfeld, 42 % mehr als 2024
• 91 % davon in Plugins, 9 % in Themes, nur 6 im WordPress-Kern
• 46 % der Lücken waren bei ihrer Veröffentlichung noch nicht vom Hersteller behoben
• Stark ausgenutzte Lücken wurden im Mittel nach 5 Stunden massenhaft angegriffen

Für dich heißt das: Die Gefahr steckt fast nie in WordPress selbst, sondern in den Erweiterungen. Und wer erst nach zwei Wochen aktualisiert, ist bei den gefährlichsten Lücken zu spät. Dazu kommt der Fall, in dem ein Plugin gar kein Update mehr bekommt. Dann muss jemand bemerken, dass es ersetzt werden sollte.

Alte PHP-Versionen laufen aus

WordPress läuft auf der Programmiersprache PHP, und jede PHP-Version bekommt nur vier Jahre lang Updates: zwei Jahre volle Pflege, danach zwei Jahre nur noch Sicherheitskorrekturen. Für PHP 8.2 endet die Sicherheitsunterstützung am 31.12.2026 (php.net, unterstützte Versionen). Wer die Version beim Hoster umstellt, muss vorher prüfen, ob Theme und Plugins mitspielen.

Updates ohne Test legen Websites lahm

Das Risiko liegt nicht nur im Nicht-Aktualisieren. Ein Plugin-Update, das sich mit deinem Theme nicht verträgt, kann Formulare, den Warenkorb oder die ganze Seite stilllegen. WordPress zeigt das sogar an: Neben vielen Updates steht „Kompatibilität mit WordPress: unbekannt“.

Deshalb gehört zu jedem Update ein Ablauf, nicht nur ein Klick.

• Sichern: frisches Backup von Dateien und Datenbank, extern abgelegt
• Prüfen: Änderungsprotokoll lesen, vor allem bei großen Versionssprüngen
• Testen: größere Updates zuerst auf einer Kopie der Website (Staging) einspielen
• Einspielen: auf der Live-Website, möglichst zu ruhigen Zeiten
• Kontrollieren: Startseite, Formulare, Login und gegebenenfalls Kasse durchklicken

Mehr zu den einzelnen Schritten steht in unseren Tipps für WordPress-Updates.

Datenschutz verlangt Sicherheit und Wiederherstellung

Die DSGVO verpflichtet jeden, der personenbezogene Daten verarbeitet, zu angemessenen technischen Schutzmaßnahmen. Ausdrücklich genannt ist die Fähigkeit, Daten nach einem technischen Zwischenfall rasch wiederherzustellen, und ein Verfahren, diese Maßnahmen regelmäßig zu überprüfen (Art. 32 DSGVO). Kontaktformulare, Bestellungen und Newsletter-Anmeldungen sind solche Daten. Wird deine Website gehackt und sind Kundendaten betroffen, musst du das in der Regel binnen 72 Stunden der Aufsichtsbehörde melden (Art. 33 DSGVO). Diese Hinweise ersetzen keine Rechtsberatung.

Was ein guter Wartungsvertrag beinhalten muss

Wartungsverträge sehen auf den ersten Blick alle gleich aus: Updates, Backups, Monitoring. Die Unterschiede stecken im Kleingedruckten. Diese neun Punkte sollte dein Vertrag klar regeln:

Zwei Punkte werden besonders oft übersehen. Erstens der Hack: Viele Pakete enthalten die Wiederherstellung nach einem technischen Ausfall, aber nicht die Bereinigung nach einem Angriff. Das ist in Ordnung, solange es drinsteht und du den Preis dafür vorher kennst. Zweitens der Zugang: Du solltest jederzeit selbst an deine Website, dein Hosting und deine Backups kommen, auch wenn du den Dienstleister wechselst.

Prüfe den Support vor der Unterschrift mit einer kurzen Anfrage. Wie schnell kommt eine Antwort, und ist sie verständlich? Das sagt viel über die spätere Zusammenarbeit.

WordPress-Wartung selber machen oder auslagern?

Selbst warten geht, wenn drei Dinge zusammenkommen: Du hast jede Woche feste Zeit dafür, du kannst ein Backup zurückspielen und hast es schon einmal getan, und du merkst, wenn nach einem Update etwas nicht stimmt. Seit WordPress 5.5 lassen sich automatische Updates für einzelne Plugins und Themes einschalten (WordPress-Dokumentation). Das hilft bei kleinen Websites, ersetzt aber weder das Backup noch die Kontrolle danach.

Für Unternehmen kommt ein Punkt dazu: In vielen Betrieben pflegt jemand die Website nebenbei. Fällt diese Person aus oder wechselt, weiß niemand mehr, welche Zugänge es gibt und wann das letzte Backup lief. Ein Wartungsvertrag sorgt dafür, dass dieses Wissen nicht an einer Person hängt.

Was kostet WordPress-Wartung?

Die Preise reichen von reinen Update-Werkzeugen für wenige Euro bis zu betreuten Paketen mit festen Reaktionszeiten. Eine Übersicht mit Marktpreisen und den Faktoren, die den Preis bestimmen, findest du in unserem Beitrag Was kostet WordPress-Wartung?. Unsere eigenen Pakete beginnen bei 69 € im Monat zuzüglich Mehrwertsteuer.

Häufige Fragen zur WordPress-Wartung

Warum ist WordPress-Wartung so wichtig?

Weil fast alle Sicherheitslücken in Plugins und Themes stecken und Angreifer neue Lücken oft innerhalb von Stunden ausnutzen. Ohne regelmäßige Updates, Backups und Überwachung bleibt eine Website angreifbar, und nach einem Ausfall fehlt der Weg zurück. Dazu kommen auslaufende PHP-Versionen und Updates, die ohne Test Funktionen lahmlegen.

Wie oft sollte ich WordPress aktualisieren?

Plugins und Themes solltest du mindestens einmal pro Woche prüfen, Sicherheitsupdates sofort einspielen. Updates für den WordPress-Kern kommen in unregelmäßigen Abständen, kleine Sicherheitsversionen installiert WordPress meist selbst. Vor jedem größeren Update gehört ein frisches Backup dazu.

Was gehört in einen WordPress-Wartungsvertrag?

Updates mit Test, tägliche externe Backups mit festgelegter Aufbewahrung, Überwachung der Erreichbarkeit, Sicherheitsscans, eine verbindliche Reaktionszeit und ein Bericht. Außerdem sollte klar drinstehen, ob die Bereinigung nach einem Hack enthalten ist, welche Plugins gewartet werden und wem Zugänge und Backups gehören.

Was passiert, wenn ein Update die Website lahmlegt?

Mit einem frischen Backup lässt sich der Stand vor dem Update zurückspielen, meist innerhalb weniger Stunden. Danach wird die Ursache gesucht, etwa ein Plugin, das mit der neuen Version nicht zusammenpasst. Deshalb testen gute Dienstleister größere Updates vorher auf einer Kopie der Website.

Kann ich WordPress-Wartung selber machen?

Ja, bei einer kleinen Website mit wenigen Plugins. Du brauchst feste Zeit jede Woche, ein externes Backup und die Erfahrung, es zurückzuspielen. Bei Shops, Buchungssystemen oder wenn Ausfälle Umsatz kosten, lohnt sich ein Dienstleister mit festen Reaktionszeiten.

Reichen automatische Updates nicht aus?

Für einfache Websites sind sie besser als gar keine Updates. Sie spielen aber jedes Update ungeprüft ein, und ob danach noch alles funktioniert, sieht niemand. Ohne Backup und Kontrolle nach dem Update bleibt das Risiko also bestehen, es verlagert sich nur.

Ist ein Wartungsvertrag für kleine Unternehmen nötig?

Nicht zwingend, aber sinnvoll, sobald über die Website Anfragen, Buchungen oder Bestellungen laufen. Dann kostet jeder Ausfall Geld, und gespeicherte Kundendaten machen dich nach der DSGVO für ihre Sicherheit verantwortlich. Ein Vertrag macht die Pflege planbar und unabhängig davon, wer im Betrieb gerade Zeit hat.

Was tun, wenn die WordPress-Website gehackt wurde?

Website vom Netz nehmen oder in den Wartungsmodus schalten, Passwörter ändern und den Hoster informieren. Danach den Schadcode entfernen oder ein sauberes Backup zurückspielen und die Lücke schließen, sonst kommt der Angreifer wieder. Was im Einzelnen zu tun ist, steht in WordPress gehackt: Gründe, Kosten und Lösung.

Fazit: Wartung ist Routine, kein Notfallprogramm

Eine WordPress-Website braucht jede Woche ein wenig Aufmerksamkeit: Updates prüfen und einspielen, Backups kontrollieren, Meldungen der Überwachung lesen. Das ist keine große Sache, solange es regelmäßig passiert. Teuer wird es, wenn es ausbleibt. Ob du selbst wartest oder jemanden beauftragst: Leg fest, wer zuständig ist, und schreib auf, wo Zugänge und Backups liegen.

Wenn du die Pflege abgeben willst: In unserer WordPress-Wartung prüfen wir jede Woche auf neue Versionen, testen kritische Updates vor dem Einspielen, sichern täglich auf einem externen Server und schicken dir jeden Monat einen Bericht. Du willst erst wissen, wie es um deine Website steht? Dann ist der WordPress-Check der richtige Anfang. Mehr zu Härtung, Zugängen und Notfallplan steht in unserem Leitfaden zur WordPress-Sicherheit.