WordPress Wartungsvertrag: Was hineingehört und wie Sie Angebote vergleichen

Viele WordPress-Websites laufen jahrelang, ohne dass jemand regelmäßig nach ihnen sieht. Bis ein Plugin-Update die Startseite lahmlegt, das Kontaktformular keine Anfragen mehr verschickt oder Google vor Schadcode warnt. Ein WordPress Wartungsvertrag legt fest, wer sich um Updates, Backups und Sicherheit kümmert, wie schnell im Notfall reagiert wird und was bei einer Kündigung passiert. Was in einen guten Vertrag gehört, wie Sie Angebote vergleichen und wann sich die Wartung in Eigenregie lohnt, klärt dieser Ratgeber.

Was ist ein WordPress Wartungsvertrag?

Ein Wartungsvertrag ist eine laufende Vereinbarung zwischen Ihnen und einem Dienstleister, meist einer Agentur oder einem Freelancer. Darin steht, welche technischen Aufgaben rund um Ihre WordPress-Installation regelmäßig erledigt werden, in welchem Umfang und zu welchem Preis pro Monat. Im Kern geht es um drei Dinge: Die Software bleibt aktuell, die Daten sind gesichert, und Probleme fallen auf, bevor Kunden sie bemerken.

Bei Hilfe auf Zuruf melden Sie sich erst, wenn etwas kaputt ist. Dann zählt jede Stunde, und der Dienstleister muss sich zuerst in Ihr System einarbeiten. Mit Vertrag kennt jemand Ihre Website, sieht regelmäßig nach und hat Zugänge, Backups und Dokumentation griffbereit. Bei Problemen ist klar, wer zuständig ist.

Wofür Hoster, Wartungsdienstleister und Sie zuständig sind

Hosting und Wartung werden oft in einen Topf geworfen, und am Ende entstehen Lücken, für die sich niemand zuständig fühlt. Typisch ist die folgende Aufteilung; im Einzelfall regelt sie Ihr Vertrag:

Manche Anbieter bündeln Hosting und Wartung in einem Vertrag. Das ist bequem, solange klar ist, welche Leistung zu welchem Teil gehört. Wie wir beides kombinieren, lesen Sie auf der Seite zum WordPress-Hosting.

Warum WordPress regelmäßige Pflege braucht

WordPress ist ein offenes System, an dem viele Beteiligte arbeiten: den Core entwickelt das WordPress-Projekt, jedes Plugin und jedes Theme stammt von eigenen Entwicklern. Jede dieser Erweiterungen bekommt eigene Updates, oft mehrmals im Monat. Viele davon schließen Sicherheitslücken, die mit dem Update öffentlich bekannt werden. Wer solche Updates lange liegen lässt, erhöht das Risiko eines Angriffs, auch bei kleinen und wenig bekannten Websites, denn Angriffe laufen meist automatisiert.

Gleichzeitig kann jedes Update etwas verändern: Ein Plugin verträgt sich plötzlich nicht mehr mit dem Theme, und das Layout verrutscht oder ein Formular verschickt keine E-Mail mehr. Dazu kommen Veränderungen, die gar nicht von Ihnen ausgehen. Der Hoster stellt auf eine neue PHP-Version um, die Lizenz eines Premium-Plugins läuft aus, ein Zertifikat wird nicht verlängert. Deshalb reicht es nicht, einmal im Jahr auf „Alle aktualisieren“ zu klicken. Wie Updates ablaufen und warum sie kein Grund zur Sorge sein müssen, erklärt der Artikel zu WordPress-Updates. Was zu tun ist, wenn doch etwas passiert, lesen Sie unter WordPress gehackt.

Was in einen WordPress Wartungsvertrag gehört

Die folgenden Bausteine sollten in jedem Vertrag oder zumindest in der Leistungsbeschreibung eindeutig geregelt sein. Nicht jede Website braucht alles in maximaler Ausprägung. Sie sollten aber wissen, was enthalten ist und was nicht.

Updates mit Backup und Test

Das ist der wichtigste Baustein. Klären Sie, wie oft der Dienstleister nach neuen Versionen schaut, zum Beispiel wöchentlich, und ob kritische Sicherheitsupdates schneller eingespielt werden. Ein guter Vertrag nennt dafür eine eigene, kürzere Frist.

Genauso wichtig ist der Ablauf: Vor jedem Update entsteht ein Backup, danach wird getestet. Fragen Sie nach, was genau getestet wird. Ein kurzer Blick auf die Startseite reicht nicht. Es muss aber auch nicht jede einzelne Webseite geprüft werden. Sinnvoll sind die wichtigsten Unterseiten, alle Formulare samt E-Mail-Versand, die Suche, geschützte Bereiche und bei Shops Warenkorb und Kasse. Bei großen Versionssprüngen, etwa einer neuen Hauptversion eines Plugins, gehört ein Test auf einer Staging-Umgebung dazu, also auf einer nicht öffentlichen Kopie der Website.

Zum Umfang gehören WordPress-Core, Plugins, Themes und Übersetzungen. Fragen Sie auch nach der PHP-Version: Wer prüft, ob Ihre Website mit der nächsten Version läuft, wenn der Hoster umstellt?

Backups mit Aufbewahrung und Wiederherstellungstest

Eine Sicherung zählt erst, wenn sie sich zurückspielen lässt. Der Vertrag sollte deshalb vier Fragen beantworten:

• Intervall: Wie oft werden Datenbank und Dateien gesichert? Bei Websites mit Formularen oder Shop zählt vor allem die Datenbank, denn dort liegen Bestellungen und Einträge.
• Speicherort: Liegen die Sicherungen getrennt vom Webserver? Ein Backup auf demselben Server hilft nicht, wenn genau dieser Server ausfällt oder kompromittiert ist.
• Aufbewahrung: Wie viele Versionen werden wie lange aufgehoben? Ein Hack fällt manchmal erst nach Wochen auf. Dann brauchen Sie eine saubere Sicherung aus der Zeit davor.
• Wiederherstellung: Wird regelmäßig ausprobiert, ob sich ein Backup zurückspielen lässt? Und ist das Zurückspielen im Preis enthalten? Im Ernstfall entscheidet das mit darüber, wie schnell die Website wieder online ist.

Wie ein solides Konzept nach der 3-2-1-Regel aussieht, zeigt der Artikel WordPress Backup.

Monitoring

Monitoring heißt, dass die Website automatisch überwacht wird. Typisch sind regelmäßige Prüfungen der Erreichbarkeit im Abstand weniger Minuten, die Laufzeit des SSL-Zertifikats, verdächtige Dateiänderungen, Anmeldeversuche und bekannte Schadsoftware. Mehr als die Liste der Werkzeuge zählt die Frage, wer eine Warnung bekommt und was dann passiert. Eine Meldung, die nachts in einem ungelesenen Postfach landet, schützt niemanden.

Sicherheit

Sicherheit ist mehr als Updates. Fragen Sie, welche Schutzmaßnahmen eingerichtet und aktiv gepflegt werden: Begrenzung von Anmeldeversuchen, Zwei-Faktor-Anmeldung für Administratoren, regelmäßige Scans auf Schadcode, Kontrolle der Benutzerkonten mit Administratorrechten. Klären Sie außerdem den Ernstfall: Ist die Bereinigung nach einem Hack enthalten, oder wird sie nach Aufwand berechnet? Gerade dieser Punkt unterscheidet Angebote mit ähnlichem Preis oft deutlich. Mehr zum Schutz Ihrer Installation finden Sie auf der Seite WordPress-Sicherheit.

Performance-Kontrolle

Websites werden mit der Zeit langsamer: neue Plugins, größere Bilder, zusätzliche Skripte für Tracking oder Chat. Ein Performance-Check in festen Abständen misst Ladezeit und Core Web Vitals und zeigt früh, wenn sich etwas verschlechtert. Das schützt das Nutzererlebnis und die Sichtbarkeit bei Google. Was eine Website ausbremst, erklärt der Artikel zur Website-Ladezeit.

Reaktionszeiten

Die Reaktionszeit sagt, wie schnell sich der Dienstleister nach einer Meldung um ein Problem kümmert. Sie ist nicht dasselbe wie eine Lösungszeit. Achten Sie auf drei Details:

• Gilt die Zusage in Stunden oder in Werktagen, und was zählt als Werktag?
• Gibt es Stufen nach Dringlichkeit? Ein Totalausfall braucht eine andere Reaktion als ein Tippfehler auf der Teamseite.
• Über welche Wege melden Sie Probleme, zum Beispiel Telefon, E-Mail oder Ticketsystem? Und wer vertritt Ihren Ansprechpartner im Urlaub?

Für einen Shop, der rund um die Uhr verkauft, ist eine kurze Reaktionszeit wichtiger als für eine Unternehmenswebsite, die vor allem Anfragen sammelt.

Änderungskontingent

Manche Verträge enthalten ein monatliches Kontingent für kleine Änderungen: ein neues Teammitglied, geänderte Öffnungszeiten, ein zusätzliches Formularfeld. Klären Sie, ob nicht genutzte Zeit verfällt oder in den nächsten Monat wandert, in welchen Schritten abgerechnet wird und welcher Stundensatz darüber hinaus gilt. Abzugrenzen ist auch, was noch als Pflege zählt und was bereits eine Weiterentwicklung mit eigenem Angebot ist.

Notfallhilfe

Ein Notfall ist ein Hack, ein kompletter Ausfall, eine weiße Seite nach einem Update oder ein Shop, der keine Bestellungen mehr annimmt. Legen Sie fest, ob Hilfe in solchen Fällen im Monatspreis enthalten ist oder nach Aufwand abgerechnet wird. Bei einem Hack sollte der Dienstleister nicht nur ein Backup zurückspielen, sondern die Ursache finden und die Lücke schließen. Sonst ist die Website bald wieder befallen.

Berichte

Ein regelmäßiger Bericht macht Wartung sichtbar. Er sollte mindestens zeigen, welche Updates eingespielt wurden, ob die Backups erfolgreich waren, wie zuverlässig die Website erreichbar war, welche Auffälligkeiten es gab und was als Nächstes ansteht, zum Beispiel ein Plugin, das nicht mehr weiterentwickelt wird, oder ein angekündigter Wechsel der PHP-Version beim Hoster.

Zugänge und Lizenzen

Für die Wartung braucht der Dienstleister einen Administrator-Zugang zu WordPress und Zugriff auf Hosting, Datenbank oder SFTP. Besser als geteilte Passwörter ist ein eigenes Benutzerkonto für den Dienstleister, das Sie jederzeit sperren können. Zugangsdaten gehören nicht in eine unverschlüsselte E-Mail.

Klären Sie außerdem, auf wessen Namen Domain, Hosting und Lizenzen laufen. Manche Anbieter stellen eigene Lizenzen für Premium-Plugins und Themes und rechnen sie in den Monatspreis ein. Bequem ist das, solange der Vertrag läuft. Endet er, endet oft auch die Lizenz. Dann bekommt die Erweiterung keine Updates mehr, und Sie müssen eine eigene Lizenz kaufen. Domain und Hosting sollten grundsätzlich auf Ihr Unternehmen laufen.

Laufzeit und Kündigung

Bei der Laufzeit unterscheiden sich die Modelle: Manche Anbieter verzichten ganz auf eine Mindestlaufzeit, andere binden Sie für sechs oder zwölf Monate. Eine kurze Mindestlaufzeit ist nachvollziehbar, weil zu Beginn Aufwand für Einrichtung und Prüfung entsteht. Achten Sie auf die Kündigungsfrist und darauf, ob sich der Vertrag automatisch verlängert.

Wie einzelne Klauseln rechtlich zu bewerten sind, etwa zu Haftung oder Datenverarbeitung, ist keine technische Frage. Lassen Sie den Vertrag im Zweifel von Ihrem Anwalt prüfen und stimmen Sie Fragen zum Datenschutz mit Ihrem Datenschutzbeauftragten ab.

Übergabe bei Kündigung

Dieser Punkt wird beim Abschluss leicht vergessen, obwohl er beim Wechsel am meisten zählt. Halten Sie schriftlich fest, was Sie am Ende des Vertrags erhalten:

• Eine aktuelle, vollständige Sicherung von Dateien und Datenbank
• Alle Zugänge, die der Dienstleister angelegt oder verwaltet hat
• Eine kurze Dokumentation: individuelle Anpassungen, besondere Plugins, bekannte Eigenheiten
• Klarheit über Lizenzen, die auf den Dienstleister laufen und mit dem Vertrag enden
• Das Entfernen von Konten und Werkzeugen des Dienstleisters, etwa Backup- oder Monitoring-Plugins, die mit seinem Konto verbunden sind
• Eigene Entwicklungen wie ein Child-Theme oder individuelle Plugins im aktuellen Stand

Was bei WooCommerce-Shops zusätzlich geregelt sein sollte

Ein Onlineshop verändert seine Datenbank ständig: Bestellungen, Kundenkonten, Lagerbestände. Ein tägliches Backup kann dann zu wenig sein, weil im Ernstfall die Bestellungen eines ganzen Tages fehlen würden. Außerdem kostet jede Stunde Ausfall Umsatz. Ergänzen Sie den Wartungsvertrag für WooCommerce deshalb um diese Punkte:

• Häufigere Sicherung der Datenbank, zum Beispiel stündlich
• Tests von Warenkorb, Kasse, Zahlungsarten und Bestellmails nach jedem Update
• Updates in Zeitfenstern, in denen wenig bestellt wird
• Prüfung der Erweiterungen für Zahlung, Versand und Rechnungen auf Kompatibilität
• Eine kurze Reaktionszeit, wenn keine Bestellungen mehr möglich sind

Wenn Sie einen Shop neu planen, finden Sie mehr dazu unter Onlineshop erstellen lassen.

Checkliste: Wartungsangebote richtig vergleichen

Zwei Angebote mit ähnlichem Monatspreis können sehr unterschiedliche Leistungen enthalten. Stellen Sie jedem Anbieter dieselben Fragen und lassen Sie sich die Antworten schriftlich geben:

• Wie oft werden Updates eingespielt, und wie schnell kritische Sicherheitsupdates?
• Entsteht vor jedem Update ein Backup, und was wird danach getestet?
• Gibt es eine Staging-Umgebung für große Updates?
• Wie oft wird gesichert, wo liegen die Backups, und wie lange werden sie aufbewahrt?
• Wird die Wiederherstellung regelmäßig getestet, und ist sie im Preis enthalten?
• Was genau wird überwacht, und wer reagiert auf eine Warnung?
• Welche Reaktionszeit gilt, und gilt sie auch bei einem Hack oder am Wochenende?
• Ist die Bereinigung nach einem Angriff enthalten?
• Wie viel Zeit für Änderungen ist enthalten, und verfällt sie?
• Welcher Stundensatz gilt für Arbeiten außerhalb des Vertrags?
• Werden Lizenzen für Premium-Plugins gestellt, und was passiert mit ihnen bei Kündigung?
• Wer ist Ihr fester Ansprechpartner, und wer vertritt ihn?
• Erhalten Sie einen regelmäßigen Bericht, und was steht darin?
• Wie lang sind Mindestlaufzeit und Kündigungsfrist?
• Was erhalten Sie bei Kündigung: Sicherung, Zugänge, Dokumentation?
• Sind die Preise netto zzgl. Umsatzsteuer oder brutto angegeben?

Formulierungen, bei denen Sie nachfragen sollten

Werbliche Kurzformeln klingen gut, sagen aber wenig über den tatsächlichen Umfang. Diese Beispiele lohnen eine Rückfrage:

Wovon der Preis eines Wartungsvertrags abhängt

Preise für WordPress-Wartung lassen sich schlecht pauschal vergleichen, weil der Aufwand stark von der Website abhängt. Diese Faktoren bestimmen ihn am meisten:

• Anzahl und Art der Plugins: Jede Erweiterung ist ein möglicher Konfliktpunkt nach Updates. Page-Builder und große Plugins erhöhen den Testaufwand.
• Onlineshop: WooCommerce braucht häufigere Backups und aufwendigere Tests.
• Individuelle Entwicklungen: Eigene Plugins, Schnittstellen oder angepasster Code müssen nach Updates gesondert geprüft werden.
• Zustand der Website: Veraltete Plugins ohne Weiterentwicklung oder eine alte PHP-Version bedeuten Mehraufwand, zumindest am Anfang.
• Reaktionszeit und Erreichbarkeit: Eine Zusage von wenigen Stunden ist aufwendiger als eine von mehreren Werktagen.
• Änderungskontingent und Notfallhilfe: Inklusivzeit und Hilfe bei einem Hack stecken entweder im Preis oder werden separat berechnet.
• Lizenzen: Premium-Lizenzen im Paket erhöhen den Monatspreis, ersparen Ihnen aber eigene Käufe.

Ein sehr günstiges Angebot ist nicht automatisch schlecht. Prüfen Sie aber anhand der Checkliste, was fehlt, und achten Sie besonders auf die Punkte, die im Ernstfall teuer werden: Tests nach Updates, geprüfte Backups und Hilfe nach einem Angriff. Einen Überblick über alle laufenden Kosten einer Website, von Hosting und Domain bis zu Lizenzen, gibt der Artikel Was kostet eine Website?

Selbst warten oder beauftragen?

WordPress selbst zu warten ist möglich. Ob es sich lohnt, hängt davon ab, ob Sie Zeit, Wissen und Disziplin dafür haben und was ein Ausfall Ihr Unternehmen kosten würde.

Ein Wartungsplan zum Selbermachen

Wer die Pflege selbst übernimmt, braucht einen festen Rhythmus. Dieser Plan ist ein Grundgerüst, das Sie an Ihre Website anpassen können:

Kleinere Core-Updates spielt WordPress von Haus aus automatisch ein, für Plugins lassen sich automatische Updates aktivieren. Das nimmt Ihnen einen Teil der Arbeit ab, ersetzt aber weder das Backup vorher noch den Test danach. Bleibt eine Website nach einem abgebrochenen Update im Wartungsmodus hängen, hilft der Artikel zum WordPress-Wartungsmodus. Welche Erweiterungen Sie wirklich brauchen, steht im Beitrag zu WordPress-Plugins.

Eine Faustregel: Wenn Ihre Website regelmäßig Anfragen, Bewerbungen oder Bestellungen bringt, ist ein Ausfall meist teurer als die Wartung. Und wenn sich im Unternehmen niemand für die Technik verantwortlich fühlt, ist ein Vertrag die sichere Wahl. Falls Sie wegen des Pflegeaufwands über einen Systemwechsel nachdenken: Webflow nimmt Ihnen Updates und Hosting ab, hat aber eigene Grenzen. Der Vergleich Webflow oder WordPress hilft bei der Entscheidung.

Den Wartungsanbieter in fünf Schritten wechseln

Ein Wechsel des Wartungsanbieters ist kein großes Projekt, wenn Sie die Reihenfolge einhalten:

1. Vertrag prüfen

   Kündigungsfrist und vereinbarte Übergabeleistungen nachlesen und rechtzeitig kündigen.

2. Eigene Zugänge sichern

   Stellen Sie sicher, dass Sie selbst Administrator-Zugänge zu WordPress, Hosting und Domain besitzen, bevor der alte Anbieter seine entfernt.

3. Sicherung und Dokumentation anfordern

   Ein vollständiges Backup von Dateien und Datenbank, dazu Hinweise zu Anpassungen und Lizenzen.

4. Check durch den neuen Anbieter

   Versionen, Plugins, Lizenzen, Anzeichen früherer Angriffe und vorhandene Backups werden geprüft, bevor die laufende Wartung beginnt.

5. Aufräumen

   Konten und Werkzeuge des alten Anbieters entfernen, Passwörter ändern, die neue Überwachung einrichten.

Wie ein solcher Einstiegscheck bei uns aussieht, lesen Sie im Abschnitt zur Übernahme auf der Seite WordPress Wartung.

So regeln wir die Wartung bei dpi Design

Wir bieten drei Pakete an. Alle enthalten Updates mit Backup und Test, Uptime- und Security-Monitoring und einen festen Ansprechpartner. Sie unterscheiden sich darin, wie schnell wir reagieren, wie oft wir messen und ob Änderungen und Notfallhilfe inklusive sind.

Die Backups liegen auf einem getrennten Server in Deutschland, und wir testen regelmäßig, ob sie sich wiederherstellen lassen. Kritische Sicherheitsupdates spielen wir innerhalb von 24 Stunden ein. Einmal im Monat erhalten Sie einen Bericht. Die Mindestlaufzeit beträgt drei Monate, danach ist der Vertrag monatlich kündbar. Bei einer Kündigung übergeben wir alle Zugänge und eine aktuelle Sicherung.

Wir warten auch Websites, die nicht von uns gebaut wurden. Vorher prüfen wir die Seite in einem einmaligen Check. Wie Wartung im laufenden Betrieb aussieht, zeigt zum Beispiel die Crowdinvesting-Plattform Klimaschwarm, die wir seit 2023 per Wartungsvertrag betreuen. Mehr dazu im Projektbericht Klimaschwarm.

Häufige Fragen