WordPress-Wartung: was monatlich tatsächlich zu tun ist

„Was macht ihr da eigentlich jeden Monat?" ist die häufigste Frage zu einem Wartungsvertrag. Sie ist berechtigt. Und sie ist falsch gestellt.

Denn der Monat ist bei WordPress nicht der entscheidende Takt. Er ist nur der Takt, in dem abgerechnet wird.

Die Zahl, an der sich alles entscheidet

Der Sicherheitsdienstleister Patchstack zählt jedes Jahr, wie viele Schwachstellen im WordPress-Ökosystem neu gefunden werden. Für 2025 waren es 11.334 — ein Anstieg von 42 Prozent gegenüber den 7.966 des Vorjahres. 91 Prozent davon steckten nicht in WordPress selbst, sondern in Plugins.

Interessanter als die Menge ist aber das Tempo. Patchstack hat gemessen, wie lange es dauert, bis eine veröffentlichte Lücke zum ersten Mal aktiv ausgenutzt wird:

• 20 Prozent innerhalb von sechs Stunden
• 45 Prozent innerhalb von 24 Stunden
• 70 Prozent innerhalb von sieben Tagen

Der gewichtete Median liegt bei fünf Stunden.

Dazu kommt ein zweiter Befund: 46 Prozent der Schwachstellen waren zum Zeitpunkt ihrer Veröffentlichung noch gar nicht behoben. Die Lücke war öffentlich, der Patch nicht da.

Wenn Ihre Website einmal im Monat angefasst wird, ist das für Inhalte ein guter Takt. Für Sicherheitsupdates ist es kein Takt, sondern eine Wette.

Was deshalb nicht monatlich läuft, sondern laufend

Alles, was mit Verfügbarkeit und Sicherheit zu tun hat, gehört nicht in den Monatstakt. Es gehört in einen Automatismus, der auch dann läuft, wenn niemand hinsieht.

Erreichbarkeitsprüfung. Ein Dienst ruft Ihre Seite in kurzen Abständen auf und meldet, wenn sie nicht antwortet. Das ist banal und trotzdem die häufigste Lücke: Sehr viele Ausfälle werden nicht vom Betreiber bemerkt, sondern von einem Kunden, der anruft.

Meldung über neue Sicherheitsupdates. Nicht das Einspielen — das Wissen, dass eines vorliegt. Bei 11.334 Meldungen im Jahr trifft es irgendwann auch eines Ihrer Plugins.

Backups. Und zwar in zwei Teilen, die gerne verwechselt werden: dass ein Backup angelegt wird, und dass jemand prüft, ob es tatsächlich angelegt wurde. Ein Backup-Plugin, das seit acht Monaten stillschweigend abbricht, ist kein Backup. Es ist ein grüner Haken.

Sicherheitsupdates einspielen, sobald sie da sind. Nicht am Monatsersten. Bei fünf Stunden Median ist „nächste Woche" bereits die falsche Antwort.

Was tatsächlich in den Monatstakt gehört

Und jetzt zu dem, was der Monat wirklich hergibt. Das ist die Liste, an der Sie einen Wartungsvertrag prüfen können.

Funktionsupdates von Plugins und Theme. Anders als Sicherheitspatches haben die Zeit. Sie werden gesammelt, in einer Testumgebung eingespielt und angesehen, bevor sie live gehen. Genau hier gehen Seiten kaputt — nicht am Sicherheitsupdate, sondern am Funktionsupdate eines Plugins, das mit einem anderen Plugin nicht mehr kann.

Ein Blick auf die Seite selbst. Startseite, wichtigste Unterseite, Kontaktformular. Formular abschicken und prüfen, ob die Mail ankommt. Das klingt nach wenig und ist der Punkt, an dem die meisten stillen Ausfälle auffallen: Das Formular sieht aus wie immer, aber seit dem Update im Juli kommt nichts mehr an.

WordPress-Core-Version prüfen. Läuft die Seite auf einer Version, die noch Sicherheitsupdates bekommt?

PHP-Version prüfen. Der am meisten unterschätzte Punkt. PHP-Versionen haben feste Enddaten, die Jahre im Voraus feststehen — für PHP 8.2 ist im Dezember 2026 Schluss. Danach kommen keine Sicherheitsupdates mehr, und manche Hoster stellen für den Weiterbetrieb alter Versionen zusätzlich Geld in Rechnung. Das ist kein Notfall, aber es kostet still, bis es jemand merkt.

Sicherheitszertifikat und Domainlaufzeit. Beides läuft irgendwann ab, beides mit Vorlauf. Ein abgelaufenes Zertifikat nimmt Ihre Seite nicht vom Netz, es stellt nur eine Warnung davor. Was in der Wirkung dasselbe ist.

Ungenutzte Plugins entfernen. Ein deaktiviertes Plugin ist nicht ungefährlich, es liegt weiterhin auf dem Server. Bei 91 Prozent Plugin-Anteil an allen Schwachstellen ist Aufräumen die wirksamste einzelne Maßnahme, die nichts kostet.

Fehlerprotokoll ansehen. Nicht jede Zeile. Aber ob sich etwas häuft.

Das ist die ehrliche Liste. Sie ist kürzer, als Wartungsangebote sie oft aussehen lassen, und sie dauert bei einer normalen Firmenwebsite etwa eine Stunde im Monat — wenn nichts dazwischenkommt.

Was seltener drankommt

Vierteljährlich: Ladezeit messen. Prüfen, ob ein Backup sich tatsächlich zurückspielen lässt — nicht ob eine Datei existiert, sondern ob daraus wieder eine Website wird. Wer das nie getestet hat, hat kein Backup, sondern eine Hoffnung.

Jährlich: Benutzerkonten durchgehen. Wer hat noch Zugang, und warum? Die ehemalige Agentur, der Praktikant von 2023, das Plugin-Konto von einem Dienst, der längst gekündigt ist. Dazu: Passt das Hosting-Paket noch, und wie ist der Zustand der Seite insgesamt.

Was keine Wartung ist

Damit die Grenze klar ist — das Folgende gehört in keinen Wartungsvertrag, und wenn es drinsteht, ist entweder der Preis oder die Zusage nicht ernst gemeint: neue Unterseiten, Relaunches, Schnittstellen zu anderen Systemen, Shop-Entwicklung, Werbekampagnen. Das sind Projekte. Die werden einzeln angeboten.

Ebenfalls keine Wartung: die Behebung eines Hacks, ein Serverausfall beim Hoster, oder wenn jemand aus dem Haus etwas zerschossen hat. Was ein guter Vertrag hier leistet, ist die Diagnose — sehen, dass etwas ist, prüfen was, und sagen, was die Behebung kostet. Die Behebung selbst geht nach Aufwand. Alles andere wäre eine Pauschale für ein unbekanntes Risiko, und die kann niemand seriös kalkulieren.

Selbst machen oder abgeben

Die ehrliche Rechnung: Die Liste oben ist nicht schwer. Sie ist nur unangenehm regelmäßig. Wenn in Ihrer Firma jemand ist, der sich zutraut, monatlich eine Stunde dafür zu reservieren, ein Testsystem aufzusetzen und bei einem Sicherheitsupdate am selben Tag zu reagieren — dann brauchen Sie keinen Vertrag.

Der Punkt, an dem es kippt, ist nicht die Stunde. Es ist der Tag, an dem ein Update etwas kaputtmacht und die Seite steht. Dann geht es nicht mehr um eine Stunde, sondern um jemanden, der weiß, wo das letzte funktionierende Backup liegt.

Was das kostet, steht offen auf unserer Seite zur Website-Wartung und Betreuung — drei Stufen ab 79 Euro im Monat, mit den Reaktionszeiten, die jeweils dazugehören. Ohne Mindestlaufzeit, weil eine Jahresbindung bei einer Leistung, die man monatlich beurteilen kann, nichts als ein Absicherungsreflex wäre.

Ein verwandter Fall ist der, in dem gar niemand mehr zuständig ist: Wenn die Agentur, die die Seite gebaut hat, nicht mehr antwortet, sind die ersten Schritte andere — was dann zu tun ist, steht hier. Und wenn Sie ohnehin gerade prüfen, was an Ihrer Seite technisch fällig ist, gehört die Barrierefreiheitspflicht seit 2025 mit auf dieselbe Liste.

Der Selbsttest

Sie brauchen kein Angebot, um herauszufinden, ob Ihre Wartung eine ist. Vier Fragen, jede in fünf Minuten beantwortbar:

1. Wann wurde das letzte Mal ein Backup zurückgespielt? Nicht angelegt. Zurückgespielt.
2. Welche PHP-Version läuft auf Ihrer Seite, und wann endet deren Support? Wenn das niemand ad hoc beantworten kann, wird es auch nicht überwacht.
3. Schicken Sie Ihr Kontaktformular ab. Kommt die Mail an?
4. Wenn heute Nacht um zwei ein kritisches Sicherheitsupdate erscheint — wer spielt es ein, und bis wann? Wenn die Antwort „beim nächsten Termin" lautet, kennen Sie jetzt die fünf Stunden.

Wenn drei von vier Antworten unbequem sind, ist das kein Grund für Panik. Es ist ein Grund, es einmal aufzuschreiben.

Zahlen: Patchstack, „State of WordPress Security" 2025 und 2026. Erhebungszeiträume 2024 und 2025.