WordPress-Wartungsvertrag: Inhalte, Kosten & Muster-Checkliste (2026)

Eine WordPress-Website ist nie „fertig“. WordPress selbst, das Theme und jedes einzelne Plugin bekommen laufend Updates – viele davon schließen Sicherheitslücken. Wer sie nicht einspielt, betreibt früher oder später eine angreifbare Website. Wer sie ungeprüft einspielt, riskiert eine kaputte. Genau dafür gibt es den WordPress-Wartungsvertrag. In diesem Beitrag erfahren Sie, was hineingehört, was er kostet, woran Sie ein gutes Angebot erkennen – und Sie bekommen eine Muster-Checkliste, mit der Sie jedes Angebot prüfen können.

Warum WordPress überhaupt Wartung braucht

WordPress betreibt einen großen Teil aller Websites weltweit. Diese Verbreitung ist Stärke und Risiko zugleich: Für fast jede Anforderung gibt es ein Plugin, und genau deshalb ist WordPress für Angreifer so interessant. Eine einzige Lücke in einem verbreiteten Plugin betrifft auf einen Schlag Zehntausende Websites – und automatisierte Angriffswerkzeuge suchen das Netz rund um die Uhr nach genau diesen Lücken ab. Niemand muss Ihre Website gezielt ins Visier nehmen. Es reicht, dass sie eine bekannte Schwachstelle hat.

Sicherheitsberichte von Anbietern wie Patchstack oder Wordfence zeigen seit Jahren dasselbe Bild: Die große Mehrheit der Schwachstellen steckt nicht im WordPress-Kern, sondern in Plugins und Themes. Der Kern selbst ist gut gepflegt und bekommt Sicherheitsupdates oft automatisch. Bei Plugins hängt alles davon ab, dass jemand die Updates einspielt – und dass jemand merkt, wenn ein Plugin gar nicht mehr gepflegt wird.

Es geht nicht nur um Sicherheit

Wartung bedeutet mehr, als auf „Aktualisieren“ zu klicken. Eine WordPress-Website hängt an einer ganzen Kette von Komponenten, die sich unabhängig voneinander verändern:

• PHP-Version: Hoster stellen alte PHP-Versionen regelmäßig ab. Ist die Website nicht vorbereitet, drohen weiße Seiten oder Fehlermeldungen. Wie so etwas in der Praxis aussieht, beschreibt unser Beitrag zum PHP-Update bei All-Inkl.
• Abhängigkeiten zwischen Plugins: Ein Update von Plugin A kann mit Plugin B kollidieren. Das zeigt sich oft nicht sofort, sondern erst im Kontaktformular, im Warenkorb oder im Editor.
• Große WordPress-Versionen: Mit Versionen wie WordPress 7.0 ändern sich Editor und Schnittstellen. Ältere Themes und Plugins müssen dann angepasst werden.
• Rechtliche Anforderungen: Datenschutz, Cookie-Einwilligung und seit Juni 2025 auch die Barrierefreiheit nach BFSG sind keine einmaligen Aufgaben.
• Performance: Datenbanken wachsen, Caches laufen voll, Bilder werden größer. Ohne Pflege wird fast jede Website mit der Zeit langsamer.

Was es kostet, wenn nichts passiert

Die Rechnung für eine gehackte Website taucht in keinem Angebot auf, sie ist aber real: Bereinigung durch Fachleute, Ausfallzeit, verlorene Anfragen oder Bestellungen, eventuell eine Warnung von Google in den Suchergebnissen oder eine Sperre durch den Hoster. Werden personenbezogene Daten abgeflossen, kommen Meldepflichten nach der DSGVO dazu. Im Vergleich dazu ist ein Wartungsvertrag eine überschaubare, planbare Ausgabe – vergleichbar mit der Inspektion beim Auto, die man auch nicht erst nach dem Motorschaden bucht.

Was in einen WordPress-Wartungsvertrag gehört

Die Bezeichnung „Wartungsvertrag“ ist nicht geschützt. Hinter dem gleichen Wort können sich ein einmal monatlicher Klick auf „Alle aktualisieren“ und eine professionelle Betreuung mit Tests, Monitoring und Notfallplan verbergen. Die folgenden Bausteine sollten in einem seriösen Vertrag klar beschrieben sein.

1. Updates mit Sicherheitsnetz

Aktualisiert werden WordPress-Kern, Plugins, Themes und bei Bedarf die PHP-Version. Entscheidend ist der Ablauf drumherum: Vor jedem Update wird ein Backup erstellt, danach werden die wichtigsten Funktionen geprüft – Startseite, Kontaktformular, Suche, bei Shops der Bestellprozess. Sicherheitsupdates sollten zeitnah eingespielt werden, idealerweise innerhalb von 24 Stunden nach Veröffentlichung. Größere Versionssprünge gehören zuerst auf eine Testumgebung (Staging).

2. Backups, die im Ernstfall funktionieren

Ein Backup ist nur so gut wie die Wiederherstellung. Achten Sie auf drei Punkte: Wie oft wird gesichert (für aktive Websites täglich), wo liegen die Sicherungen (nicht nur auf demselben Server wie die Website – fällt der Server aus oder wird er kompromittiert, sind die Backups sonst mit weg) und wie lange werden sie aufbewahrt. Gute Anbieter testen die Wiederherstellung regelmäßig, statt nur zu hoffen, dass sie klappt.

3. Sicherheits- und Erreichbarkeits-Monitoring

Monitoring bedeutet, dass Probleme auffallen, bevor Ihre Kunden sie bemerken. Dazu gehören die Überwachung der Erreichbarkeit (Uptime), des SSL-Zertifikats und der Domain-Laufzeit, Malware-Scans, Hinweise auf bekannte Lücken in installierten Plugins sowie ein Blick auf verdächtige Login-Versuche. Grundlegende Härtungsmaßnahmen wie sichere Passwörter, Zwei-Faktor-Anmeldung für Administratoren und eine geschützte Login-Seite sollten beim Start einmal eingerichtet werden.

4. Support und Reaktionszeiten

Wie schnell reagiert der Dienstleister, wenn etwas nicht funktioniert? Das sollte schriftlich stehen – getrennt nach normalen Anfragen und Notfällen, bei denen die Website nicht erreichbar oder gehackt ist. Viele Verträge enthalten ein monatliches Stundenkontingent für kleine Änderungen, etwa einen neuen Text, ein ausgetauschtes Bild oder eine Anpassung am Formular. Wichtig ist, was mit nicht genutzten Stunden passiert und zu welchem Satz zusätzliche Arbeit abgerechnet wird.

5. Bericht und Transparenz

Ein monatlicher Bericht zeigt, was tatsächlich passiert ist: welche Updates eingespielt wurden, ob Backups erfolgreich waren, wie die Erreichbarkeit war und welche Auffälligkeiten es gab. Das klingt nach Formalie, ist aber der einzige Weg für Sie, zu sehen, wofür Sie bezahlen.

6. Optionale Bausteine

• Performance-Pflege: Datenbank bereinigen, Caching prüfen, Bilder optimieren, Core Web Vitals im Blick behalten. Mehr dazu in unserem Beitrag zu Ladezeiten von WordPress-Websites.
• Staging-Umgebung: eine Kopie der Website, auf der Updates und Änderungen gefahrlos getestet werden.
• Hosting inklusive: Manche Pakete bündeln Wartung und Hosting. Das vereinfacht die Zuständigkeit, weil nur noch ein Ansprechpartner verantwortlich ist.
• Rechtliche Checks: regelmäßige Prüfung von Cookie-Banner, eingebundenen Diensten und Schriften, etwa ob Google Fonts DSGVO-konform lokal eingebunden sind.

Vertragliche Punkte: das gehört ins Kleingedruckte

Neben der Leistungsbeschreibung entscheidet der Vertragstext darüber, ob Sie im Ernstfall gut abgesichert sind. Viele Suchanfragen drehen sich um einen „Wartungsvertrag WordPress Muster“ – ein fertiges Vertragsmuster ersetzt aber keine Prüfung durch eine Rechtsanwältin oder einen Rechtsanwalt. Was wir Ihnen geben können, ist der Aufbau, den ein guter Vertrag abdecken sollte:

1. Leistungsbeschreibung

   Konkret und messbar: Was wird wie oft gemacht? „Regelmäßige Updates“ ist zu vage, „Sicherheitsupdates innerhalb von 24 Stunden, sonstige Updates wöchentlich“ ist prüfbar.

2. Leistungsgrenzen

   Was ist ausdrücklich nicht enthalten? Typisch: Neuentwicklungen, Inhaltspflege über das Kontingent hinaus, Probleme durch Änderungen Dritter. Und zu welchem Stundensatz wird Mehraufwand berechnet?

3. Reaktionszeiten

   Getrennt nach Anfrage, Störung und Notfall. Gilt die Zeit nur werktags oder rund um die Uhr? Ab wann läuft sie – ab Eingang der E-Mail oder ab Bestätigung?

4. Laufzeit und Kündigung

   Mindestlaufzeit, Kündigungsfrist und was bei Vertragsende passiert: Bekommen Sie alle Zugangsdaten und ein aktuelles Backup übergeben?

5. Datenschutz

   Wer Ihre Website wartet, hat in aller Regel Zugriff auf personenbezogene Daten – Kontaktanfragen, Nutzerkonten, Bestellungen. Dann ist ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO nötig.

6. Haftung und Verantwortung

   Wer haftet, wenn ein Update die Website beschädigt? Wie ist geregelt, dass Sie selbst keine ungeprüften Plugins installieren, die der Dienstleister dann verantworten soll?

7. Zugänge und Eigentum

   Die Website, die Domain und das Hosting sollten auf Sie laufen – nicht auf den Dienstleister. Zugangsdaten werden sicher hinterlegt, nicht per unverschlüsselter E-Mail verschickt.

Muster-Checkliste: Angebote für die WordPress-Wartung prüfen

Mit dieser Checkliste können Sie jedes Wartungsangebot – auch unseres – in wenigen Minuten prüfen. Sie können die Punkte direkt hier abhaken. Je mehr Punkte ein Angebot schriftlich erfüllt, desto besser sind Sie abgesichert.

Was kostet ein WordPress-Wartungsvertrag?

Die Preise am Markt gehen weit auseinander, weil hinter dem Begriff sehr unterschiedliche Leistungen stecken. Als grobe Orientierung für Deutschland, jeweils netto pro Monat:

Wovon der Preis abhängt:

• Anzahl und Qualität der Plugins: Jedes Plugin ist ein möglicher Konfliktpunkt bei Updates. Viele schlecht gepflegte Plugins bedeuten mehr Testaufwand.
• Individueller Code: Eigene Themes und Plugins müssen bei großen Updates geprüft und gegebenenfalls angepasst werden.
• Shop-Funktionen: Bei Shops muss nach jedem Update der komplette Kaufprozess funktionieren – inklusive Zahlungsanbieter.
• Reaktionszeiten: Eine Reaktion am nächsten Werktag ist günstiger als eine Notfall-Bereitschaft rund um die Uhr.
• Stundenkontingent: Pakete mit enthaltenen Supportstunden kosten mehr, sparen aber oft Einzelrechnungen.

Unsere Betreuungspakete finden Sie auf wp-einfach.de.

Selbst machen, Hoster oder Wartungsvertrag?

Nicht jede Website braucht einen Wartungsvertrag. Die ehrliche Antwort hängt davon ab, wie viel Zeit und Wissen Sie selbst mitbringen und wie wichtig die Website für Ihr Geschäft ist.

Selbst machen lohnt sich, wenn Sie technisch versiert sind, die Website wenige Plugins hat und ein Ausfall von ein, zwei Tagen verschmerzbar ist. Managed Hosting nimmt Ihnen die Serverseite ab, kümmert sich aber in der Regel nicht darum, ob Ihre Website nach einem Update noch richtig funktioniert. Ein Wartungsvertrag ist sinnvoll, sobald die Website Anfragen, Umsätze oder Bewerbungen bringt – oder wenn Sie einfach keinen Kopf dafür haben.

Besonderheit: WooCommerce-Shops

Ein Online-Shop auf WooCommerce stellt höhere Anforderungen an die Wartung als eine reine Informationswebsite. Nach jedem Update muss nicht nur die Seite laden, sondern der komplette Kaufprozess funktionieren: Warenkorb, Versandberechnung, Zahlungsanbieter, Bestellbestätigung, Rechnungsversand. Viele Erweiterungen greifen tief in diesen Ablauf ein und reagieren empfindlich auf Versionswechsel.

• Updates grundsätzlich zuerst auf einer Staging-Kopie testen
• Updates in Zeiten mit wenig Bestellungen einspielen
• Testbestellung nach jedem relevanten Update – idealerweise im Testmodus des Zahlungsanbieters
• Backups häufiger als täglich, weil zwischen zwei Sicherungen neue Bestellungen entstehen
• Datenbank-Updates von WooCommerce kontrolliert ausführen, nicht nebenbei

Für Shops lohnt sich deshalb fast immer ein Paket mit Staging-Umgebung und kurzer Reaktionszeit.

Warnsignale bei Angeboten

Aus der Übernahme vieler Websites kennen wir typische Muster, die später Ärger machen:

So läuft die Übernahme in die Wartung ab

Egal ob die Website von uns oder von einer anderen Agentur stammt: Bevor eine Website in die laufende Wartung geht, braucht es eine Bestandsaufnahme. Bei uns sieht das so aus:

1. Erstcheck

   Wir prüfen WordPress-Version, PHP-Version, alle Plugins und Themes, bekannte Sicherheitslücken, nicht mehr gepflegte Erweiterungen und die Backup-Situation.

2. Aufräumen und Absichern

   Veraltete oder unnötige Plugins werden ersetzt oder entfernt, offene Updates kontrolliert nachgeholt, Zugänge gesichert. Ist dafür größerer Aufwand nötig, bekommen Sie vorher ein separates Angebot.

3. Backups und Monitoring einrichten

   Tägliche Sicherungen außerhalb des Servers, Überwachung von Erreichbarkeit und SSL-Zertifikat, Sicherheits-Scans.

4. Laufende Wartung

   Updates mit Backup und Funktionstest, Sicherheitsupdates innerhalb von 24 Stunden, kleine Änderungen über das Support-Kontingent.

5. Monatlicher Bericht

   Sie sehen, was gemacht wurde, und bekommen Hinweise, wenn etwas Größeres ansteht – etwa ein Plugin, das nicht mehr weiterentwickelt wird.