Was ein Website-Wartungsplan enthalten sollte: Checkliste

Die meisten Angebote zur Website-Wartung kommen als einzelne Monatssumme mit ein paar Stichpunkten darunter. Das macht sie schwer vergleichbar, denn zwei Angebote zum gleichen Preis können sehr unterschiedliche Leistungen beschreiben: Das eine umfasst vielleicht getestete Wiederherstellungen und eine benannte Person, die antwortet, wenn die Website ausfällt, das andere läuft darauf hinaus, automatische Updates einzuschalten und auf das Beste zu hoffen. Die nützliche Frage lautet daher nicht „wie viel pro Monat“, sondern „welche Aufgaben sind schriftlich festgehalten, wer erledigt sie, wie oft und welchen Nachweis erhalte ich“.

Diese Checkliste ist für Inhaber kleiner Unternehmenswebsites geschrieben, egal ob die Website auf WordPress, TYPO3, Shopware oder einer Eigenentwicklung läuft. Wo wir das Verhalten von WordPress beschreiben, stützen wir uns auf die offiziellen Seiten des WordPress-Handbuchs und auf die Support-Tabelle des PHP-Projekts, alle im Oktober 2026 aufgerufen. Alles andere in diesem Artikel ist bewährte Praxis und keine veröffentlichte Regel, und wir kennzeichnen es als solche, damit Sie es selbst beurteilen können.

Sie können sie auf zwei Arten nutzen. Wenn Sie bereits für Wartung bezahlen, haken Sie ab, was Ihr aktueller Anbieter tut. Wenn Sie Angebote vergleichen, schicken Sie die Tabelle aus Abschnitt sechs an jeden Anbieter und bitten Sie ihn, die Lücken zu füllen. Ein Anbieter, der Zeile für Zeile antwortet, ist meist leichter zu betreuen als einer, der mit einer Broschüre antwortet. Einen Überblick über unser Angebot finden Sie unter Website-Wartung.

Updates sind der Teil der Wartung, den sich die meisten vorstellen, und zugleich der Teil, der am häufigsten nachlässig erledigt wird. Das WordPress-Handbuch beschreibt vier Arten automatischer Hintergrund-Updates: Core, Plugins, Themes und Übersetzungsdateien. Automatische Hintergrund-Updates gibt es seit WordPress 3.7, und Übersetzungsdateien werden standardmäßig automatisch aktualisiert. Zum Core erklärt das Handbuch, dass vor WordPress 5.6 jede Website nur für Nebenversionen automatische Updates erhielt, während neue Installationen ab 5.6 standardmäßig sowohl kleinere als auch große Core-Updates erhalten, sofern WordPress keinen Checkout aus der Versionsverwaltung erkennt. Bestehende Installationen behalten das ältere Verhalten, sofern nicht ein Administrator, eine Konstante oder ein Filter es ändert.

Das hat eine praktische Folge für Ihren Plan. Zwei WordPress-Websites gleichen Alters können sich unterschiedlich verhalten, gehen Sie also nicht davon aus, dass „automatische Updates aktiv sind“. Bitten Sie den Anbieter, für Ihre Website anzugeben, welche Update-Arten automatisch laufen und welche nach einer Prüfung von Hand eingespielt werden. Das Handbuch sagt außerdem, dass das vollständige Abschalten der automatischen Neben- und Übersetzungs-Updates dringend abgeraten wird; ein Plan, der alles abschaltet, sollte also eine klare Begründung enthalten.

Plugins und Themes brauchen eine eigene Regel. Die WordPress-Dokumentation zeigt, dass automatische Updates plugin-weise auf dem Bildschirm „Installierte Plugins“ aktiviert werden können. Sie können also Automatisierung für Plugins mit geringem Risiko wählen und manuelle, getestete Updates für die, die Kasse, Formulare oder das Seitenlayout steuern. Ein sinnvoller Plan hält diese Wahl in einer Liste fest, statt sie der Gewohnheit zu überlassen.

Was in den Plan gehört

• Welche Update-Arten automatisch laufen und welche von Hand eingespielt werden.
• Ob Updates zuerst an einer Staging-Kopie ausprobiert werden (Praxis, keine Regel: bei Shops und Buchungsseiten würden wir darauf bestehen).
• Wie schnell eine Sicherheitsversion nach ihrer Veröffentlichung eingespielt wird.
• Wer die Website wiederherstellt, wenn ein Update sie zerstört, und wie lange das dauert.

Eine Website kann auf Anwendungsebene vollständig aktuell sein und trotzdem auf einem nicht mehr unterstützten Server laufen. Die Anforderungsseite von WordPress empfiehlt derzeit einen Hoster, der PHP 8.3 oder höher, MariaDB 10.11 oder höher oder MySQL 8.0 oder höher sowie HTTPS unterstützt. Sie ergänzt, dass WordPress auch mit PHP 7.4 und höher sowie MySQL 5.5.5 und höher funktioniert, diese Versionen aber das Support-Ende erreicht haben und eine Website Sicherheitslücken aussetzen können.

Das PHP-Projekt veröffentlicht den Support-Kalender für jeden Zweig. Jeder Release-Zweig wird zwei Jahre lang vollständig unterstützt und erhält danach weitere zwei Jahre nur kritische Sicherheitskorrekturen. Laut der Tabelle, die das PHP-Projekt heute zeigt, erhält Zweig 8.2 Sicherheits-Support bis zum 31. Dezember 2026, Zweig 8.3 bis zum 31. Dezember 2027, Zweig 8.4 bis zum 31. Dezember 2028 und Zweig 8.5 bis zum 31. Dezember 2029. Läuft Ihre Website auf 8.2, ist dieses Datum nah, und ein guter Plan enthält einen terminierten Upgrade-Schritt davor, statt hinterher in Hektik zu geraten.

Halten Sie im Plan Folgendes fest: die PHP-Version, auf der die Website heute läuft, das Datum, an dem dieser Zweig keine Sicherheitskorrekturen mehr erhält, den Monat, in dem der Anbieter auf einen neueren Zweig testet und umsteigt, und wer die Kosten für die Kompatibilitätsarbeit trägt, wenn ein altes Plugin auf der neueren Version nicht läuft. Bei diesem letzten Punkt beginnen Streitigkeiten, klären Sie ihn also früh.

Das WordPress-Handbuch ist deutlich darin, was ein Backup enthalten muss: Eine typische Website besteht aus zwei Teilen, den Dateien und der Datenbank, und Sie brauchen beide für eine vollständige Wiederherstellung. Die Sicherung der Dateien sichert nicht die Datenbank. Es empfiehlt wöchentliche Backups für kleinere Websites mit wenigen Beiträgen und tägliche Backups für stark genutzte Websites und rät, mindestens drei bis fünf aktuelle Backups an verschiedenen Orten aufzubewahren, zum Beispiel eines auf dem Hosting-Server, eines im Cloud-Speicher und eines heruntergeladen auf einen lokalen Rechner. Außerdem empfiehlt es, hin und wieder ein manuelles Backup zu erstellen, um zu belegen, dass der automatische Prozess noch funktioniert.

Das britische National Cyber Security Centre gibt kleinen Organisationen einen entsprechenden Rat. Es empfiehlt, zwei Backups in Betracht zu ziehen, online und auf einem separaten Speichergerät, falls eines verloren geht oder ausfällt, und Online-Backups mit einer 2-Schritt-Verifizierung zu schützen. Es sagt auch, dass Sie nach dem Erstellen eines Backups wissen sollten, wie Sie es wiederherstellen, und prüfen sollten, ob es alle wichtigen Daten enthält.

Machen Sie daraus Formulierungen für den Plan. Fragen Sie nach der Backup-Häufigkeit, der Anzahl der aufbewahrten Kopien, dem Speicherort (und ob eine Kopie außerhalb des Hosting-Kontos liegt, das kompromittiert werden könnte), der Aufbewahrungsdauer und danach, wie oft eine Wiederherstellung geübt wird. Ein Restore-Test an einer Staging-Kopie ein- oder zweimal im Jahr ist günstig und der einzige echte Beweis, dass die Backups funktionieren. Kann ein Anbieter nicht sagen, wann er zuletzt eines seiner eigenen Backups wiederhergestellt hat, werten Sie das als Warnzeichen.

Für Shops und Buchungssysteme kommt eine weitere Frage hinzu: Wie viele Daten können Sie sich leisten zu verlieren? Ein wöchentliches Backup bedeutet, dass bis zu einer Woche an Bestellungen verloren sein kann. Solche Websites brauchen in der Regel tägliche Datenbank-Backups, manche noch häufigere.

Updates und Backups sind vorbeugend; Monitoring zeigt Ihnen, wenn trotzdem etwas schiefgegangen ist. Diese Punkte stammen aus der üblichen Agenturpraxis und nicht aus einem einzelnen veröffentlichten Standard; verstehen Sie die Intervalle daher als Ausgangspunkte, die Sie mit Ihrem Anbieter vereinbaren.

• Uptime-Checks. Ein externer Monitor ruft alle paar Minuten die Startseite und eine wichtige Transaktionsseite ab und alarmiert eine benannte Person.
• Ablauf von Zertifikat und Domain. HTTPS ist eine ausdrückliche Anforderung von WordPress, ein abgelaufenes Zertifikat ist also ein Ausfall in allem außer dem Namen. Vereinbaren Sie, wer die Verlängerung verantwortet und wer den Domain-Zugang hält.
• Sicherheitsscans. Regelmäßige Scans auf veränderte Core-Dateien und bekannte Malware-Signaturen, mit dem Vermerk, wer informiert wird und wie schnell.
• Prüfung von Benutzern und Berechtigungen. Entfernen Sie Konten von Personen, die ausgeschieden sind, und stellen Sie sicher, dass jeder Administrator eine Zwei-Schritt-Anmeldung nutzt.
• Tests von Formularen und E-Mail-Zustellung. Kontaktformulare fallen nach einem Wechsel des Mail-Anbieters oft unbemerkt aus. Eine monatliche Testsendung fängt das ab.
• Defekte Links und Fehlerprotokolle. Ein kurzer Bericht über neue 404-Seiten und Serverfehler.

Die Hinweise des NCSC für kleine Organisationen erinnern Inhaber außerdem daran, die Geräte, mit denen die Website verwaltet wird, aktuell zu halten und Geräte zu ersetzen, die keine Updates mehr erhalten. Das klingt nach einem anderen Thema, aber ein Laptop mit altem Browser und gespeichertem Administrator-Passwort ist einer der realistischen Wege in eine Website; nehmen Sie daher „Geräte für die Administration“ in Ihre eigene Pflege auf.

Schicken Sie diese Tabelle an jeden Anbieter, den Sie vergleichen. Die Intervalle sind unsere vorgeschlagenen Ausgangspunkte für die Website eines kleinen Unternehmens; ein größerer Shop wird engere wollen. Die rechte Spalte ist der Nachweis, den Sie erwarten sollten, denn eine Aufgabe ohne Bericht ist schwer zu prüfen.

Wenn ein Anbieter eine Zeile nicht anbietet, ist das in Ordnung, solange es ausdrücklich gesagt wird. Ein Plan, der „keine Restore-Tests“ nennt, lässt Sie entscheiden; ein Plan, der schweigt, überlässt es Ihnen, es im Notfall herauszufinden.

Die zweite Hälfte jedes Wartungsangebots ist das Service-Level. Drei Begriffe verdienen eine genaue Definition.

Reaktionszeit. Das ist die Zeit, bis eine Person ein Problem bestätigt, nicht die Zeit bis zur Behebung. Fragen Sie nach beiden Werten und danach, ob sie sich bei einer komplett ausgefallenen Website von einem kosmetischen Fehler unterscheiden.

Support-Zeiten. Deckt der Plan nur Werktage ab und Ihr Shop verkauft sonntags, müssen Sie das wissen. Fragen Sie, was außerhalb dieser Zeiten passiert, ob es eine Notfallnummer gibt und zu welchen Kosten.

Enthaltene Stunden. Viele Pläne enthalten einen kleinen Stundenpool für Änderungen. Prüfen Sie, ob ungenutzte Stunden übertragen werden, ob Inhaltsänderungen darauf angerechnet werden und wie Zusatzarbeit berechnet wird. Inhaltsänderungen, neue Funktionen und Redesign-Arbeiten sind normalerweise von der Wartung getrennt, und der Plan sollte sagen, wo die Grenze verläuft.

Achten Sie auch auf Ausschlüsse. Typisch sind Probleme durch Plugins von Drittanbietern, die der Anbieter nicht installiert hat, gehackte Websites, bei denen die ursprüngliche Ursache vor dem Plan liegt, und Ausfälle beim Hoster, wenn dieser ein separates Unternehmen ist. Nichts davon ist unvernünftig, aber Sie sollten es vorher wissen. Ein Plan, der die Wiederherstellung einer gehackten Website ausschließt, kann trotzdem richtig für Sie sein, wenn Sie diese Leistung separat einkaufen; falsch ist er nur, wenn Sie angenommen haben, sie sei abgedeckt.

Wenn die Angebote eintreffen, bringen Sie sie auf dieselbe Struktur, bevor Sie auf den Preis schauen. Tragen Sie die Antworten jedes Anbieters in die obige Tabelle ein und fügen Sie dann drei eigene Zeilen hinzu: wer Zugriff auf Ihre Hosting- und Admin-Konten hat, wem die Backups gehören und was passiert, wenn Sie gehen.

Eigentum ist wichtiger, als es klingt. Sie sollten die Domain-Registrierung, das Hosting-Konto oder zumindest einen Administrator-Zugang dazu und eine Kopie des letzten Backups halten. Liegt all das im eigenen Konto des Anbieters, wird ein späterer Wechsel zur Verhandlung. Das ist eine Vertragsfrage und keine Technik, halten Sie es also schriftlich fest.

Seien Sie bei zwei Mustern vorsichtig. Das erste ist ein sehr niedriger Monatspreis mit unbegrenztem „Support“ und ohne aufgelistete Aufgaben; hinter einem solchen Preis steckt meist ein Massen-Update über viele Kunden gleichzeitig, ohne Tests. Das zweite ist eine lange Liste von Werkzeugen und Abkürzungen ohne Intervalle oder Berichte. Beides ist kein Beweis für schlechte Arbeit, aber beides macht es schwer, jemanden zur Verantwortung zu ziehen.

Bitten Sie schließlich um eine Testphase oder eine kurze Anfangslaufzeit. Ein erster Monat, in dem der Anbieter die Plugins, Versionen, das Hosting und das Backup-Setup Ihrer Website dokumentiert, ist schon für sich wertvoll, denn er erzeugt die Bestandsliste, von der jede spätere Entscheidung abhängt. Wenn wir ein Angebot anhand Ihrer eigenen Checkliste erstellen sollen, nutzen Sie das Angebotsformular, und unter Preise sehen Sie, wie einfache Websites kalkuliert werden.

Wie Sie sich auch zu Anbietern entscheiden: Fünf Maßnahmen verbessern Ihre Position innerhalb einer Woche.

1. Listen Sie jedes Plugin, Theme und jede Integration der Website mit Version auf. Löschen Sie alles Ungenutzte.
2. Finden Sie Ihre PHP-Version und das Datum heraus, an dem ihr Sicherheits-Support endet, anhand der Tabelle des PHP-Projekts.
3. Erstellen Sie ein vollständiges Backup von Dateien und Datenbank, speichern Sie eine Kopie außerhalb Ihres Hosting-Kontos und versuchen Sie dann, es an einer Ersatzkopie der Website wiederherzustellen.
4. Prüfen Sie, dass jedes Administrator-Konto zu einer aktuellen Person gehört und eine Zwei-Schritt-Anmeldung nutzt.
5. Halten Sie fest, wem Domain, Hosting, DNS-Einträge und Zertifikat gehören, mit Verlängerungsterminen.

Mit dieser Bestandsliste können Sie jedes Wartungsangebot kritisch lesen. Ein Plan ist gut, wenn Sie sehen können, was getan wird, wann es getan wird und welchen Nachweis Sie erhalten. Wenn Sie Hilfe möchten, daraus einen schriftlichen Plan für Ihre Website zu machen, kontaktieren Sie uns.

• Upgrading WordPress, including automatic background updates (WordPress Developer Resources)
• Backups (WordPress Advanced Administration Handbook)
• WordPress requirements
• Manage plugins (WordPress documentation)
• PHP: Supported Versions
• Backing up your data (NCSC small organisations guide)
• Protecting your devices (NCSC small organisations guide)