Managed WordPress Hosting vs. Agentur-Wartung: Wer macht was?

Managed WordPress Hosting wird mit beruhigenden Worten verkauft: Updates, Sicherheit, Backups, Support. Agentur-Wartung wird mit denselben Worten verkauft. Inhaber nehmen daher oft an, dass die Wahl des einen bedeutet, dass sich jemand um die gesamte Website kümmert, und dass die Wahl beider doppelten Schutz bedeutet. In der Praxis decken die beiden Leistungen unterschiedliche Ebenen ab, und in den Lücken zwischen diesen Ebenen gehen Websites kaputt.

Die eigenen Sicherheitshinweise von WordPress ziehen die Trennlinie deutlich. Sie sagen, dass Hoster oft für die Infrastruktur verantwortlich sind, auf der eine Website liegt, aber nicht für die Anwendung, die Sie installieren, und dass bei gehackten Websites selten die Infrastruktur die Ursache ist, sondern meist die Anwendung selbst. Sie raten außerdem, zu verstehen, wo die Verantwortung eines Hosters endet und Ihre beginnt. Dieser Artikel macht aus diesem Grundsatz eine Verantwortungsmatrix, mit der Sie einen Managed-Hoster, einen Wartungsvertrag einer Agentur und die Kombination beider vergleichen können.

Wir zitieren die Seiten des WordPress-Handbuchs, die Seiten von WordPress zu Sicherheit und Anforderungen, die Seite mit den WordPress-Releases und die Support-Tabelle des PHP-Projekts, alle im Oktober 2026 geöffnet. Alles in den Spalten der Matrix dazu, wer normalerweise was tun sollte, ist unsere Arbeitspraxis, keine Regel, und muss anhand der tatsächlichen Verträge geprüft werden, die Sie haben. Wenn Sie den Blick einer Agentur auf Ihre Website wünschen, sehen Sie unsere Leistung Website-Wartung.

Stellen Sie sich eine WordPress-Website als drei Ebenen vor, jede mit einem anderen Standard-Verantwortlichen.

1. Infrastruktur. Server, Betriebssystem, Webserver-Software, Datenbank-Engine, PHP-Laufzeit, Netzwerk und physische Hardware. Das ist der Bereich des Hosters.
2. Anwendung. WordPress Core, Theme, Plugins, Konfiguration, Benutzerkonten und Datenbankinhalt. Hier landen die meisten Angriffe, und es ist meist niemandes Aufgabe, es sei denn, jemand ist ausdrücklich zugewiesen.
3. Inhalt und Geschäftslogik. Seiten, Produkte, Formulare, Integrationen, Weiterleitungen, Tracking und Rechtstexte. Das gehört dem Unternehmen, wobei eine Agentur oder ein interner Redakteur die Arbeit erledigt.

Managed-WordPress-Hoster unterscheiden sich, doch ihre Stärke liegt normalerweise in der ersten Ebene und am Rand der zweiten: Sie betreiben einen abgestimmten Server, spielen möglicherweise WordPress-Core-Updates ein und bieten möglicherweise Backups und Caching. Der WordPress-Leitfaden zur Absicherung nennt Eigenschaften eines vertrauenswürdigen Hosters: Er bespricht Ihre Sicherheitsbedenken und die Funktionen, die er bietet, stellt die jeweils neuesten stabilen Versionen der Server-Software bereit und bietet verlässliche Methoden für Backup und Wiederherstellung. Das sind Versprechen zur Infrastruktur. Keines davon sagt, dass der Hoster Ihr Plugin-Update testen, eine kaputte Seite wiederaufbauen oder eine Kundenbeschwerde über ein Formular beantworten wird.

Ein Wartungsvertrag einer Agentur liegt hauptsächlich in der zweiten und dritten Ebene. Er kümmert sich um Plugin- und Theme-Updates, testet sie, stellt wieder her, wenn etwas kaputtgeht, prüft Benutzer und behebt Dinge auf der Website. Die besten Vereinbarungen machen die Grenze ausdrücklich, damit jede Partei weiß, was die andere tut.

Diese Tabelle zeigt eine übliche Aufteilung. Prüfen Sie für jede Aufgabe, wer in Ihrem Vertrag benannt ist. Lautet die Antwort „niemand“ oder „beide“, haben Sie eine Lücke oder eine Überschneidung gefunden.

Achten Sie besonders auf die Zeile zu Plugins. Sie ist die häufigste Lücke und die häufigste Quelle von Vorfällen, weil viele Hoster Plugins nicht verwalten und viele Inhaber annehmen, dass sie es tun.

Die WordPress-Dokumentation beschreibt vier Arten automatischer Hintergrund-Updates: Core, Plugins, Themes und Übersetzungsdateien. Beim Core sind automatische Updates für kleinere Releases und Übersetzungsdateien standardmäßig aktiviert, und seit WordPress 5.6 erhalten neue Installationen standardmäßig auch größere Core-Updates, sofern kein Checkout aus der Versionsverwaltung erkannt wird; bestehende Installationen behalten das frühere Verhalten, solange es nicht geändert wird. Plugin-Updates lassen sich pro Plugin auf dem Bildschirm „Installierte Plugins“ aktivieren.

Die Sicherheitsseite von WordPress ergänzt ein Detail, das die Planung betrifft: Nur die neueste Version von WordPress wird offiziell unterstützt, doch das Sicherheitsteam portiert Korrekturen aus Kulanz auch auf ältere Versionen zurück, sodass ältere Websites kritische Korrekturen über Auto-Updates erhalten. Die Releases-Seite sagt ebenso, dass nur das jüngste Release der aktuellen Serie sicher nutzbar und aktiv gepflegt ist. Mit anderen Worten: Aktuell zu bleiben ist nicht optional, und eine Website, die ein Jahr sich selbst überlassen bleibt, läuft mit Software, die das Projekt nicht mehr vollständig unterstützt.

Wer soll die Arbeit erledigen? Unser Vorschlag ist dieser. Lassen Sie automatische Updates kleinere Core-Releases und Übersetzungen erledigen, denn das ist der Standard des Projekts selbst und dessen dringend abgeratene Ausnahme ist das Deaktivieren. Wählen Sie bei Plugins und Themes je Plugin: Automatisieren Sie risikoarme und testen Sie diejenigen auf Staging, die Kasse, Formulare oder Layout berühren. Wen auch immer Sie wählen, halten Sie schriftlich fest, wer die Website prüft, nachdem ein Update gelaufen ist. Ein Hoster, der Core-Updates automatisch einspielt, hat sich Ihr Kontaktformular danach nicht angesehen; eine Agentur, die wöchentlich Plugin-Updates einspielt, meist schon.

Der Hoster bestimmt, welche PHP- und Datenbankversionen verfügbar sind. WordPress empfiehlt Hoster, die PHP 8.3 oder höher, MariaDB 10.11 oder höher oder MySQL 8.0 oder höher sowie HTTPS unterstützen, und sagt, dass WordPress auch mit PHP 7.4 und höher funktioniert, diese Versionen aber das Ende ihrer Lebensdauer erreicht haben und eine Website Schwachstellen aussetzen können. Die Tabelle des PHP-Projekts zeigt, dass der Sicherheitssupport für Branch 8.2 am 31. Dezember 2026 endet, für 8.3 am 31. Dezember 2027, für 8.4 am 31. Dezember 2028 und für 8.5 am 31. Dezember 2029.

Das ist eine geteilte Verantwortung und ein klassischer Reibungspunkt. Der Hoster kann die Version umstellen, doch wenn ein altes Plugin oder ein individuelles Theme mit dem neueren PHP scheitert, muss es jemand reparieren oder ersetzen. Stellen Sie beiden Parteien drei Fragen. Welche PHP-Version läuft heute auf der Website? Wer warnt Sie, bevor dieser Branch den Sicherheitssupport verliert? Und wer bezahlt die Arbeit für die Kompatibilität? Ein Managed-Hoster, der zu einem festen Datum ein Versions-Upgrade erzwingt, ohne dass eine Agentur zum Testen verfügbar ist, wird Websites zerstören. Eine Agentur, die testet, aber über den Server nicht mitbestimmen kann, kann nur empfehlen.

Die sauberste Lösung ist ein gemeinsamer Kalendereintrag beider: das Datum, an dem der aktuelle PHP-Branch den Sicherheitssupport verliert, ein Testfenster sechs bis acht Wochen früher auf einer Staging-Kopie und ein vereinbartes Umstellungsdatum. Der Kalender ist unsere Empfehlung; die Daten stammen aus der Tabelle des PHP-Projekts.

Hoster bieten üblicherweise Backups an, und Agenturen bieten sie üblicherweise ebenfalls an. Der Fehler ist, das eine als Ersatz für das andere zu behandeln. Das WordPress-Handbuch sagt, dass eine typische Website für eine vollständige Wiederherstellung Dateien und Datenbank braucht, schlägt wöchentliche Backups für kleinere und tägliche für stark genutzte Websites vor und empfiehlt, mindestens 3-5 aktuelle Kopien an verschiedenen Orten aufzubewahren, etwa auf dem Server, im Cloud-Speicher und auf einem lokalen Rechner. Der Leitfaden zur Absicherung ergänzt, dass eine solide Strategie regelmäßig zeitgesteuerte Snapshots der gesamten Installation an einem vertrauenswürdigen Ort umfassen könnte, mit dem Beispiel, dass bei einer Kompromittierung am 1. Mai, die erst am 12. Mai bemerkt wird, nur Backups von vor der Kompromittierung den Wiederaufbau ermöglichen.

Die praktische Regel: Ein Backup, das nur im selben Hosting-Konto liegt wie die Website, ist nur einen Ausfall vom Verschwinden entfernt. Fragen Sie den Hoster, was seine Backups abdecken, wie viele Tage er sie aufbewahrt und wie eine Wiederherstellung angefordert wird, und bitten Sie die Agentur, eine unabhängige Kopie an anderer Stelle zu halten und eine Wiederherstellung zu proben. Zwei Verantwortliche, zwei Orte, ein getesteter Prozess.

Klären Sie auch Kosten und Geschwindigkeit. Manche Hoster schließen Wiederherstellungen ein; andere berechnen sie oder begrenzen, wie viele Sie anfordern können. Bei einem Vorfall ist eine Wiederherstellung, deren Organisation einen Tag dauert, ein anderes Produkt als eine, die zehn Minuten dauert.

Managed-Hoster werben typischerweise mit Firewalls, Malware-Scans und DDoS-Schutz. Das ist wertvoll und gehört zur Infrastrukturebene. Es ersetzt nicht die Pflege der Anwendung: ungenutzte Plugins entfernen, Administratorkonten prüfen, starke Passwörter mit Zwei-Faktor-Anmeldung verwenden und alles aktuell halten. Der WordPress-Leitfaden zur Absicherung versteht Sicherheit als Risikominderung statt Risikobeseitigung und nennt Maßnahmen wie Zugriffsbeschränkung, Eindämmung und Vorbereitung, darunter Backups und die Kenntnis des Zustands Ihrer Installation in regelmäßigen Abständen.

Derselbe Leitfaden betont Protokolle und Überwachung: Protokolle lassen Sie sehen, was getan wurde, und Überwachung hilft, schneller zu reagieren, herauszufinden, was geschehen ist, und sich zu erholen, wenn Vorbeugung nicht ausreicht. Er empfiehlt außerdem, Dateien auf Änderungen zu überwachen, denn ein Angriff hinterlässt Spuren. Fragen Sie jeden Anbieter, wer die Protokolle liest, wie Dateiänderungen erkannt werden und wer alarmiert wird. Ein Hoster sieht oft Anomalien auf Serverebene; nur wer die Website kennt, bemerkt einen neuen Administrator oder eine veränderte Plugin-Datei.

Vereinbaren Sie schließlich, was bei einem Vorfall geschieht. Wer kontaktiert wen, wie schnell, wer ist zur Wiederherstellung befugt, wer spricht mit betroffenen Kunden, wenn Daten betroffen sind, und wer zahlt für die Untersuchung. Eine einseitige Vorfallnotiz, vereinbart, bevor etwas schiefgeht, ist mehr wert als eine Funktionsliste.

Die richtige Kombination hängt davon ab, wie wichtig die Website ist und wer auf Ihrer Seite handeln kann.

• Broschüren-Website, wenige Änderungen, jemand im Team kann sich monatlich einloggen. Ein guter Managed-Hoster plus klare interne Gewohnheiten kann genügen: automatische Core-Updates, monatlich geprüfte Plugin-Updates, Ihre eigene Backup-Kopie außerhalb des Hosters. Seien Sie ehrlich, wer die monatliche Aufgabe tatsächlich erledigen wird.
• Website zur Lead-Generierung, bei der Formulare das Geschäft sind. Hoster plus ein schlanker Agenturvertrag, der Formulare überwacht und Plugin-Updates nach Tests einspielt. Die Kosten eines stillen Formularausfalls sind höher als die des Vertrags.
• Shop, Buchungssystem oder Mitgliederwebsite. Hoster plus ein vollständiger Agenturvertrag mit Staging, Wiederherstellungsproben, Überwachung der Kasse und schriftlichen Reaktionszeiten. Der Hoster betreibt die Server; die Agentur verantwortet die Anwendungsebene.
• Website mit individuellem Theme oder Plugins. Die Agentur, die sie gebaut hat, sollte sie warten, weil niemand sonst sie kennt, und der Hoster muss die PHP-Versionen erlauben, die der Code braucht.

Wofür Sie sich auch entscheiden: Nehmen Sie die Matrix aus Abschnitt drei in den Vertrag oder das Onboarding-Dokument auf, mit einer benannten Person auf jeder Seite. Bitten Sie jeden Anbieter anzugeben, was er nicht tun wird. Klare Ausschlüsse sind ein Zeichen für einen reifen Anbieter.

Wenn Sie möchten, dass wir ein Hosting-Setup prüfen und eine Aufteilung der Aufgaben vorschlagen, kontaktieren Sie uns. Unser Team für WordPress-Entwicklung kann auch anderswo gebaute Websites übernehmen, und die Preise erklären, wie einfache Websites kalkuliert werden.

• Hardening WordPress (WordPress Advanced Administration Handbook)
• Security (WordPress.org)
• WordPress releases (WordPress.org)
• WordPress requirements
• Upgrading WordPress, including automatic background updates
• Backups (WordPress Advanced Administration Handbook)
• Manage plugins (WordPress documentation)
• PHP: Supported Versions