Eine WordPress-Website ist nie „fertig“. WordPress selbst, das Theme und jedes einzelne Plugin bekommen laufend Updates – viele davon schließen Sicherheitslücken. Wer sie nicht einspielt, betreibt früher oder später eine angreifbare Website. Wer sie ungeprüft einspielt, riskiert eine kaputte. Genau dafür gibt es den WordPress-Wartungsvertrag. In diesem Beitrag erfährst du, was hineingehört, was er kostet, woran du ein gutes Angebot erkennst – und du bekommst eine Muster-Checkliste, mit der du jedes Angebot prüfen kannst.
Ein WordPress-Wartungsvertrag regelt, dass ein Dienstleister deine Website regelmäßig aktualisiert, sichert, überwacht und bei Problemen hilft – zu einem festen Monatspreis. Rein gehören mindestens: Updates von WordPress, Plugins und Themes mit Backup vorher und Funktionstest nachher, tägliche Backups außerhalb des Webservers, Sicherheits- und Erreichbarkeits-Monitoring, definierte Reaktionszeiten, ein Support-Kontingent und ein monatlicher Bericht. Kosten: Für kleine Unternehmenswebsites sind etwa 30 bis 60 € netto im Monat üblich, für Shops und geschäftskritische Websites deutlich mehr.
Warum WordPress überhaupt Wartung braucht
WordPress betreibt einen großen Teil aller Websites weltweit. Diese Verbreitung ist Stärke und Risiko zugleich: Für fast jede Anforderung gibt es ein Plugin, und genau deshalb ist WordPress für Angreifer so interessant. Eine einzige Lücke in einem verbreiteten Plugin betrifft auf einen Schlag Zehntausende Websites – und automatisierte Angriffswerkzeuge suchen das Netz rund um die Uhr nach genau diesen Lücken ab. Niemand muss deine Website gezielt ins Visier nehmen. Es reicht, dass sie eine bekannte Schwachstelle hat.
Sicherheitsberichte von Anbietern wie Patchstack oder Wordfence zeigen seit Jahren dasselbe Bild: Die große Mehrheit der Schwachstellen steckt nicht im WordPress-Kern, sondern in Plugins und Themes. Der Kern selbst ist gut gepflegt und bekommt Sicherheitsupdates oft automatisch. Bei Plugins hängt alles davon ab, dass jemand die Updates einspielt – und dass jemand merkt, wenn ein Plugin gar nicht mehr gepflegt wird.
Es geht nicht nur um Sicherheit
Wartung bedeutet mehr, als auf „Aktualisieren“ zu klicken. Eine WordPress-Website hängt an einer ganzen Kette von Komponenten, die sich unabhängig voneinander verändern:
- PHP-Version: Hoster stellen alte PHP-Versionen regelmäßig ab. Ist die Website nicht vorbereitet, drohen weiße Seiten oder Fehlermeldungen. Wie so etwas in der Praxis aussieht, beschreibt unser Beitrag zum PHP-Update bei All-Inkl.
- Abhängigkeiten zwischen Plugins: Ein Update von Plugin A kann mit Plugin B kollidieren. Das zeigt sich oft nicht sofort, sondern erst im Kontaktformular, im Warenkorb oder im Editor.
- Große WordPress-Versionen: Mit Versionen wie WordPress 7.0 ändern sich Editor und Schnittstellen. Ältere Themes und Plugins müssen dann angepasst werden.
- Rechtliche Anforderungen: Datenschutz, Cookie-Einwilligung und seit Juni 2025 auch die Barrierefreiheit nach BFSG sind keine einmaligen Aufgaben.
- Performance: Datenbanken wachsen, Caches laufen voll, Bilder werden größer. Ohne Pflege wird fast jede Website mit der Zeit langsamer.
WordPress kann Plugins inzwischen automatisch aktualisieren. Das ist besser als gar keine Updates – aber es fehlt alles, was Wartung ausmacht: kein Backup direkt vor dem Update, kein Test danach, niemand, der bemerkt, wenn die Website anschließend einen Fehler zeigt. Wie du automatische Updates gezielt steuerst, erklärt unser Beitrag zu automatischen Updates in WordPress.
Was es kostet, wenn nichts passiert
Die Rechnung für eine gehackte Website taucht in keinem Angebot auf, sie ist aber real: Bereinigung durch Fachleute, Ausfallzeit, verlorene Anfragen oder Bestellungen, eventuell eine Warnung von Google in den Suchergebnissen oder eine Sperre durch den Hoster. Werden personenbezogene Daten abgeflossen, kommen Meldepflichten nach der DSGVO dazu. Im Vergleich dazu ist ein Wartungsvertrag eine überschaubare, planbare Ausgabe – vergleichbar mit der Inspektion beim Auto, die man auch nicht erst nach dem Motorschaden bucht.
Was in einen WordPress-Wartungsvertrag gehört
Die Bezeichnung „Wartungsvertrag“ ist nicht geschützt. Hinter dem gleichen Wort können sich ein einmal monatlicher Klick auf „Alle aktualisieren“ und eine professionelle Betreuung mit Tests, Monitoring und Notfallplan verbergen. Die folgenden Bausteine sollten in einem seriösen Vertrag klar beschrieben sein.
1. Updates mit Sicherheitsnetz
Aktualisiert werden WordPress-Kern, Plugins, Themes und bei Bedarf die PHP-Version. Entscheidend ist der Ablauf drumherum: Vor jedem Update wird ein Backup erstellt, danach werden die wichtigsten Funktionen geprüft – Startseite, Kontaktformular, Suche, bei Shops der Bestellprozess. Sicherheitsupdates sollten zeitnah eingespielt werden, idealerweise innerhalb von 24 Stunden nach Veröffentlichung. Größere Versionssprünge gehören zuerst auf eine Testumgebung (Staging).
2. Backups, die im Ernstfall funktionieren
Ein Backup ist nur so gut wie die Wiederherstellung. Achte auf drei Punkte: Wie oft wird gesichert (für aktive Websites täglich), wo liegen die Sicherungen (nicht nur auf demselben Server wie die Website – fällt der Server aus oder wird er kompromittiert, sind die Backups sonst mit weg) und wie lange werden sie aufbewahrt. Gute Anbieter testen die Wiederherstellung regelmäßig, statt nur zu hoffen, dass sie klappt.
3. Sicherheits- und Erreichbarkeits-Monitoring
Monitoring bedeutet, dass Probleme auffallen, bevor deine Kunden sie bemerken. Dazu gehören die Überwachung der Erreichbarkeit (Uptime), des SSL-Zertifikats und der Domain-Laufzeit, Malware-Scans, Hinweise auf bekannte Lücken in installierten Plugins sowie ein Blick auf verdächtige Login-Versuche. Grundlegende Härtungsmaßnahmen wie sichere Passwörter, Zwei-Faktor-Anmeldung für Administratoren und eine geschützte Login-Seite sollten beim Start einmal eingerichtet werden.
4. Support und Reaktionszeiten
Wie schnell reagiert der Dienstleister, wenn etwas nicht funktioniert? Das sollte schriftlich stehen – getrennt nach normalen Anfragen und Notfällen, bei denen die Website nicht erreichbar oder gehackt ist. Viele Verträge enthalten ein monatliches Stundenkontingent für kleine Änderungen, etwa einen neuen Text, ein ausgetauschtes Bild oder eine Anpassung am Formular. Wichtig ist, was mit nicht genutzten Stunden passiert und zu welchem Satz zusätzliche Arbeit abgerechnet wird.
5. Bericht und Transparenz
Ein monatlicher Bericht zeigt, was tatsächlich passiert ist: welche Updates eingespielt wurden, ob Backups erfolgreich waren, wie die Erreichbarkeit war und welche Auffälligkeiten es gab. Das klingt nach Formalie, ist aber der einzige Weg für dich, zu sehen, wofür du bezahlst.
6. Optionale Bausteine
- Performance-Pflege: Datenbank bereinigen, Caching prüfen, Bilder optimieren, Core Web Vitals im Blick behalten. Mehr dazu in unserem Beitrag zu Ladezeiten von WordPress-Websites.
- Staging-Umgebung: eine Kopie der Website, auf der Updates und Änderungen gefahrlos getestet werden.
- Hosting inklusive: Manche Pakete bündeln Wartung und Hosting. Das vereinfacht die Zuständigkeit, weil nur noch ein Ansprechpartner verantwortlich ist.
- Rechtliche Checks: regelmäßige Prüfung von Cookie-Banner, eingebundenen Diensten und Schriften, etwa ob Google Fonts DSGVO-konform lokal eingebunden sind.
| Baustein | Pflicht | Optional |
|---|---|---|
| Updates | Kern, Plugins, Themes – mit Backup vorher und Test nachher | Staging-Test vor großen Versionssprüngen |
| Backups | Täglich, außerhalb des Webservers, mehrere Wochen aufbewahrt | Regelmäßiger Wiederherstellungstest |
| Sicherheit | Malware-Scan, Lücken-Warnungen, Login-Schutz | Web Application Firewall, Härtung |
| Monitoring | Erreichbarkeit und SSL-Zertifikat | Performance und Core Web Vitals |
| Support | Definierte Reaktionszeit, Ansprechpartner | Stundenkontingent, Notfall-Hotline |
| Transparenz | Monatlicher Bericht | Zugriff auf Backups und Protokolle |
Vertragliche Punkte: das gehört ins Kleingedruckte
Neben der Leistungsbeschreibung entscheidet der Vertragstext darüber, ob du im Ernstfall gut abgesichert bist. Viele Suchanfragen drehen sich um einen „Wartungsvertrag WordPress Muster“ – ein fertiges Vertragsmuster ersetzt aber keine Prüfung durch eine Rechtsanwältin oder einen Rechtsanwalt. Was wir dir geben können, ist der Aufbau, den ein guter Vertrag abdecken sollte:
Leistungsbeschreibung
Konkret und messbar: Was wird wie oft gemacht? „Regelmäßige Updates“ ist zu vage, „Sicherheitsupdates innerhalb von 24 Stunden, sonstige Updates wöchentlich“ ist prüfbar.
Leistungsgrenzen
Was ist ausdrücklich nicht enthalten? Typisch: Neuentwicklungen, Inhaltspflege über das Kontingent hinaus, Probleme durch Änderungen Dritter. Und zu welchem Stundensatz wird Mehraufwand berechnet?
Reaktionszeiten
Getrennt nach Anfrage, Störung und Notfall. Gilt die Zeit nur werktags oder rund um die Uhr? Ab wann läuft sie – ab Eingang der E-Mail oder ab Bestätigung?
Laufzeit und Kündigung
Mindestlaufzeit, Kündigungsfrist und was bei Vertragsende passiert: Bekommst du alle Zugangsdaten und ein aktuelles Backup übergeben?
Datenschutz
Wer deine Website wartet, hat in aller Regel Zugriff auf personenbezogene Daten – Kontaktanfragen, Nutzerkonten, Bestellungen. Dann ist ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO nötig.
Haftung und Verantwortung
Wer haftet, wenn ein Update die Website beschädigt? Wie ist geregelt, dass du selbst keine ungeprüften Plugins installierst, die der Dienstleister dann verantworten soll?
Zugänge und Eigentum
Die Website, die Domain und das Hosting sollten auf dich laufen – nicht auf den Dienstleister. Zugangsdaten werden sicher hinterlegt, nicht per unverschlüsselter E-Mail verschickt.
Dieser Abschnitt beschreibt, welche Punkte in der Praxis geregelt sein sollten. Er ist keine Rechtsberatung. Für die konkrete Vertragsgestaltung wende dich an eine Rechtsanwältin oder einen Rechtsanwalt.
Muster-Checkliste: Angebote für die WordPress-Wartung prüfen
Mit dieser Checkliste kannst du jedes Wartungsangebot – auch unseres – in wenigen Minuten prüfen. Du kannst die Punkte direkt hier abhaken. Je mehr Punkte ein Angebot schriftlich erfüllt, desto besser bist du abgesichert.
Muster-Checkliste WordPress-Wartungsvertrag
Was kostet ein WordPress-Wartungsvertrag?
Die Preise am Markt gehen weit auseinander, weil hinter dem Begriff sehr unterschiedliche Leistungen stecken. Als grobe Orientierung für Deutschland, jeweils netto pro Monat:
| Website-Typ | Typischer Umfang | Übliche Preisspanne |
|---|---|---|
| Kleine Unternehmenswebsite | Wenige Plugins, Kontaktformular, kaum Änderungen | ca. 30–60 € |
| Business-Website | Mehr Plugins, Blog, regelmäßige kleine Anpassungen | ca. 50–150 € |
| Shop / Mitgliederbereich | WooCommerce, Zahlungen, Kundenkonten, Schnittstellen | ca. 100–300 € |
| Geschäftskritische Plattform | Hohe Verfügbarkeit, Notfall-Bereitschaft, SLA | ab ca. 250 € |
Wovon der Preis abhängt:
- Anzahl und Qualität der Plugins: Jedes Plugin ist ein möglicher Konfliktpunkt bei Updates. Viele schlecht gepflegte Plugins bedeuten mehr Testaufwand.
- Individueller Code: Eigene Themes und Plugins müssen bei großen Updates geprüft und gegebenenfalls angepasst werden.
- Shop-Funktionen: Bei Shops muss nach jedem Update der komplette Kaufprozess funktionieren – inklusive Zahlungsanbieter.
- Reaktionszeiten: Eine Reaktion am nächsten Werktag ist günstiger als eine Notfall-Bereitschaft rund um die Uhr.
- Stundenkontingent: Pakete mit enthaltenen Supportstunden kosten mehr, sparen aber oft Einzelrechnungen.
Zur Einordnung, wie wir es bei realmaker machen: Unsere Pakete beginnen bei 29 € im Monat für kleine Websites (Updates, wöchentliche Backups, E-Mail-Support, Monatsbericht). Ab 50 € kommen tägliche Backups, Sicherheits- und Erreichbarkeits-Monitoring, Telefon-Support und eine Stunde Support pro Monat dazu, ab 60 € Performance-Optimierung, Malware-Scans und eine Staging-Umgebung. Das Paket für 90 € enthält eine Notfall-Hotline, vier Stunden Support und Managed Hosting. Alle Preise netto, Mindestlaufzeit zwölf Monate, bei jährlicher Zahlung zehn Prozent günstiger. Details findest du auf der Seite WordPress-Wartungsvertrag.
Angebote für wenige Euro im Monat funktionieren fast immer nur vollautomatisch: Updates werden eingespielt, aber niemand prüft das Ergebnis. Das kann passen, wenn die Website sehr einfach ist. Bei allem, womit du Geld verdienst, zahlst du den Preisunterschied im ersten Ernstfall schnell zurück.
Selbst machen, Hoster oder Wartungsvertrag?
Nicht jede Website braucht einen Wartungsvertrag. Die ehrliche Antwort hängt davon ab, wie viel Zeit und Wissen du selbst mitbringst und wie wichtig die Website für dein Geschäft ist.
| Zeit | Technik | Rundum | |
|---|---|---|---|
| Updates | Du klickst selbst | Oft automatisch, ohne Test | Mit Backup und Funktionstest |
| Backups | Du richtest sie ein | Meist enthalten | Enthalten, extern gespeichert |
| Fehler nach Updates | Du suchst selbst | Meist nicht zuständig | Dienstleister behebt |
| Hack-Bereinigung | Selbst oder teuer extern | Selten enthalten | In der Regel geregelt |
| Inhaltliche Änderungen | Selbst | Nicht enthalten | Über Kontingent |
| Kosten | Deine Arbeitszeit | Im Hosting enthalten | Fester Monatspreis |
Selbst machen lohnt sich, wenn du technisch versiert bist, die Website wenige Plugins hat und ein Ausfall von ein, zwei Tagen verschmerzbar ist. Managed Hosting nimmt dir die Serverseite ab, kümmert sich aber in der Regel nicht darum, ob deine Website nach einem Update noch richtig funktioniert. Ein Wartungsvertrag ist sinnvoll, sobald die Website Anfragen, Umsätze oder Bewerbungen bringt – oder wenn du einfach keinen Kopf dafür hast.
Besonderheit: WooCommerce-Shops
Ein Online-Shop auf WooCommerce stellt höhere Anforderungen an die Wartung als eine reine Informationswebsite. Nach jedem Update muss nicht nur die Seite laden, sondern der komplette Kaufprozess funktionieren: Warenkorb, Versandberechnung, Zahlungsanbieter, Bestellbestätigung, Rechnungsversand. Viele Erweiterungen greifen tief in diesen Ablauf ein und reagieren empfindlich auf Versionswechsel.
- Updates grundsätzlich zuerst auf einer Staging-Kopie testen
- Updates in Zeiten mit wenig Bestellungen einspielen
- Testbestellung nach jedem relevanten Update – idealerweise im Testmodus des Zahlungsanbieters
- Backups häufiger als täglich, weil zwischen zwei Sicherungen neue Bestellungen entstehen
- Datenbank-Updates von WooCommerce kontrolliert ausführen, nicht nebenbei
Für Shops lohnt sich deshalb fast immer ein Paket mit Staging-Umgebung und kurzer Reaktionszeit.
Warnsignale bei Angeboten
Aus der Übernahme vieler Websites kennen wir typische Muster, die später Ärger machen:
Backups nur auf demselben Server – fällt der Server aus, sind sie weg. Keine Reaktionszeit im Vertrag – dann gibt es auch keine. „Alle Updates automatisch“ ohne Test – das kann WordPress auch allein. Kein Bericht – du kannst nicht prüfen, ob überhaupt etwas passiert. Domain oder Hosting laufen auf den Dienstleister – das erschwert jeden späteren Wechsel. Kein Vertrag zur Auftragsverarbeitung – ein Datenschutzproblem, das du als Website-Betreiber verantwortest.
So läuft die Übernahme in die Wartung ab
Egal ob die Website von uns oder von einer anderen Agentur stammt: Bevor eine Website in die laufende Wartung geht, braucht es eine Bestandsaufnahme. Bei uns sieht das so aus:
Erstcheck
Wir prüfen WordPress-Version, PHP-Version, alle Plugins und Themes, bekannte Sicherheitslücken, nicht mehr gepflegte Erweiterungen und die Backup-Situation.
Aufräumen und Absichern
Veraltete oder unnötige Plugins werden ersetzt oder entfernt, offene Updates kontrolliert nachgeholt, Zugänge gesichert. Ist dafür größerer Aufwand nötig, bekommst du vorher ein separates Angebot.
Backups und Monitoring einrichten
Tägliche Sicherungen außerhalb des Servers, Überwachung von Erreichbarkeit und SSL-Zertifikat, Sicherheits-Scans.
Laufende Wartung
Updates mit Backup und Funktionstest, Sicherheitsupdates innerhalb von 24 Stunden, kleine Änderungen über das Support-Kontingent.
Monatlicher Bericht
Du siehst, was gemacht wurde, und bekommst Hinweise, wenn etwas Größeres ansteht – etwa ein Plugin, das nicht mehr weiterentwickelt wird.
Ist deine WordPress-Website gut betreut?
Wartung aus einer Hand – seit über 20 Jahren
Wir übernehmen Updates, Backups, Sicherheit und Support für deine WordPress-Website – auch wenn sie nicht von uns stammt. Persönlich betreut aus Haßfurt, für Unternehmen in ganz Deutschland.
Häufige Fragen zum WordPress-Wartungsvertrag
Für kleine Unternehmenswebsites sind etwa 30 bis 60 € netto im Monat üblich, für Business-Websites 50 bis 150 € und für Shops oder geschäftskritische Plattformen deutlich mehr. Der Preis hängt von Plugins, individuellem Code, Shop-Funktionen, Reaktionszeiten und enthaltenen Supportstunden ab.
Automatische Updates ersetzen keine Wartung. Es fehlen das Backup direkt vor dem Update, der Funktionstest danach und jemand, der reagiert, wenn etwas schiefgeht. Für sehr einfache Websites kann das reichen, für alles, womit du Geld verdienst, eher nicht.
Es gibt Vorlagen, aber keine, die ohne Anpassung passt. Nutze die Checkliste in diesem Beitrag, um Angebote zu prüfen, und lass den eigentlichen Vertrag im Zweifel rechtlich prüfen. Wichtig sind vor allem Leistungsbeschreibung, Reaktionszeiten, Leistungsgrenzen, Laufzeit und ein Vertrag zur Auftragsverarbeitung.
Sicherheitsupdates so schnell wie möglich, idealerweise innerhalb von 24 Stunden. Sonstige Updates regelmäßig, etwa wöchentlich. Große Versionssprünge von WordPress oder wichtigen Plugins zuerst auf einer Testumgebung prüfen.
Ja. Vor Beginn der Wartung prüfen wir die Website und beheben technische Probleme. Ist dafür größerer Aufwand nötig, bekommst du dafür vorab ein separates Angebot.
In einem guten Wartungsvertrag ist geregelt, dass der Dienstleister den Angriff analysiert, die Schadsoftware entfernt, einen sauberen Stand wiederherstellt und die Sicherheitsmaßnahmen verstärkt. Bei realmaker ist die Bereinigung im Rahmen des Wartungsvertrags in der Regel enthalten.
In aller Regel ja. Wer deine Website wartet, kann auf personenbezogene Daten zugreifen, zum Beispiel Kontaktanfragen, Nutzerkonten oder Bestellungen. Dann schreibt Art. 28 DSGVO einen Vertrag zur Auftragsverarbeitung vor.
Das hängt vom Anbieter ab. Viele Verträge haben eine Mindestlaufzeit von zwölf Monaten, weil die Einrichtung am Anfang Aufwand verursacht. Bei realmaker gilt eine Mindestlaufzeit von zwölf Monaten, danach ist der Vertrag monatlich kündbar.
