Zur WordPress Wartung gehören regelmäßige Updates für WordPress, Plugins und Theme, funktionierende Backups, eine aktuelle PHP-Version und eine kurze Kontrolle danach, ob Formular und Seite noch laufen. Für eine typische Betriebswebseite heißt das: einmal pro Woche kurz nachsehen, einmal im Monat gründlich prüfen, rund 60 bis 90 Minuten im Monat. In diesem Artikel bekommst du einen konkreten Wartungsplan, eine Schritt-für-Schritt-Anleitung für Updates und eine ehrliche Rechnung, wann sich ein Wartungsvertrag lohnt und wann du es selbst schaffst.
Letzte Aktualisierung: Oktober 2026
Was ist WordPress Wartung?
WordPress Wartung ist die regelmäßige technische Pflege einer WordPress-Seite. Sie sorgt dafür, dass Software, Erweiterungen und Server-Umgebung auf einem sicheren Stand bleiben und dass du bei einem Fehler auf eine funktionierende Sicherung zurückgreifen kannst. Mit Inhaltspflege hat das nichts zu tun. Neue Referenzfotos oder geänderte Öffnungszeiten sind Redaktion, keine Wartung.
Der Unterschied ist wichtig, weil viele Betriebe genau hier falsch rechnen. Wer seine Texte zwei Jahre nicht anfasst, hat eine veraltete Seite. Wer seine Plugins zwei Jahre nicht anfasst, hat eine angreifbare Seite. Das Erste kostet Aufträge. Das Zweite kann im schlimmsten Fall die ganze Seite kosten.
Wer sollte sich mit WordPress Wartung beschäftigen?
Ich schreibe diesen Artikel für Inhaber kleiner Betriebe, die eine WordPress-Seite haben, aber keinen eigenen Techniker. Typisches Beispiel: Ein Elektromeister mit sechs Mitarbeitern hat sich vor drei Jahren eine Seite bauen lassen. Der Webdesigner ist nicht mehr erreichbar, im Dashboard leuchten 14 rote Update-Zahlen, und niemand traut sich, auf den Knopf zu drücken. Wenn du dich darin wiedererkennst, bist du hier richtig.
Warum eine WordPress-Seite ohne Wartung zum Risiko wird
WordPress selbst ist gut gepflegt. Das Problem sind die Erweiterungen. Eine typische Betriebswebseite läuft mit 15 bis 30 Plugins: Kontaktformular, Cookie-Banner, Pagebuilder, SEO-Plugin, Caching, Galerie. Jedes davon stammt von einem anderen Entwickler, und jedes kann eine Sicherheitslücke enthalten.
Im Jahr 2025 wurden 11.334 neue Sicherheitslücken im WordPress-Ökosystem gefunden, 42 Prozent mehr als 2024. 91 Prozent davon steckten in Plugins, 9 Prozent in Themes, nur 6 im WordPress-Kern.
Quelle: Patchstack, State of WordPress Security in 2026, Erhebungsjahr 2025, Methodik: Auswertung der Patchstack-Schwachstellendatenbank, in der über 1.000 Plugin-Hersteller ihre Lücken koordinieren
Das sind rund 31 neue Lücken pro Tag. Die meisten betreffen Plugins, die du nie benutzt. Aber du weißt nicht, welche Lücke morgen dein Kontaktformular trifft. Dazu kommt: Laut demselben Bericht war fast die Hälfte der Lücken zum Zeitpunkt der Veröffentlichung noch nicht vom Hersteller behoben. Wer dann auch noch seine Updates liegen lässt, macht es Angreifern leicht.
39,1 Prozent der Content-Management-Systeme waren zum Zeitpunkt der Infektion veraltet. 95,5 Prozent der von Sucuri erkannten Infektionen betrafen WordPress-Seiten.
Quelle: Sucuri, 2023 Hacked Website & Malware Threat Report, Erhebungsjahr 2023, Stichprobe: 39.594 von Sucuri bereinigte Webseiten und rund 108 Millionen Fernscans
Die zweite Zahl musst du richtig lesen. Sie hat vor allem mit der Verbreitung zu tun: WordPress läuft auf weit mehr Seiten als jedes andere System. Die erste Zahl ist die interessante: Bei fast vier von zehn gehackten Seiten hätte schon ein simples Update die Tür zugemacht. Den vollständigen Bericht findest du direkt bei Sucuri.
Was ein Hack einen Betrieb konkret kostet
Die Folgen sind selten dramatisch im Hollywood-Sinn. Meist ist es etwas Unauffälliges, das trotzdem teuer wird:
- Spam-Seiten im Hintergrund: Angreifer legen hunderte Seiten mit Pillen- oder Casino-Werbung an. Google sieht sie, du nicht. Dein Ranking rutscht ab.
- Weiterleitungen auf fremde Seiten: Besucher vom Handy landen auf einer Betrugsseite, Besucher vom Rechner sehen alles normal. Du merkst es erst, wenn ein Kunde anruft.
- Google-Warnung in den Suchergebnissen: Der Hinweis, die Seite könne gehackt sein, vertreibt fast jeden Klick.
- Abgegriffene Formulardaten: Dann geht es um Datenschutz, und du musst unter Umständen Meldepflichten nach der DSGVO prüfen.
Eine Bereinigung durch einen Fachmann kostet schnell mehrere hundert Euro, dazu kommen Tage bis Wochen, bis Google die Warnung wieder entfernt. Gemessen daran ist eine Stunde WordPress Wartung im Monat billig.
Was zur WordPress Wartung gehört: die Aufgaben im Überblick
Viele Anleitungen werfen dir 25 Punkte hin. Für eine normale Betriebswebseite reichen acht Aufgaben. Alles andere ist Kür.
- Backups prüfen: Ein Backup, das du nie zurückgespielt hast, ist eine Hoffnung. Mindestens einmal im Quartal testweise wiederherstellen.
- WordPress-Kern aktualisieren: Kleine Sicherheitsupdates spielt WordPress seit Version 3.7 automatisch ein. Große Versionssprünge solltest du bewusst einspielen.
- Plugins aktualisieren: Die wichtigste Aufgabe, weil hier die meisten Lücken entstehen.
- Theme aktualisieren: Auch Child-Themes prüfen, falls dein Webdesigner eines angelegt hat.
- Ungenutzte Plugins und Themes löschen: Deaktivierte Plugins liegen weiter als Code auf dem Server und können angreifbar bleiben. Was du nicht brauchst, fliegt raus.
- PHP-Version kontrollieren: Die Programmiersprache, auf der WordPress läuft, hat ein Ablaufdatum. Dazu gleich mehr.
- Funktionstest nach Updates: Kontaktformular abschicken, Startseite auf dem Handy öffnen, Terminbuchung durchklicken.
- Benutzerkonten prüfen: Gibt es Admin-Zugänge von ehemaligen Mitarbeitern oder Agenturen? Weg damit. Für alle verbleibenden Admins Zwei-Faktor-Anmeldung aktivieren.
Die grundlegenden Schutzmaßnahmen wie sichere Passwörter, Login-Schutz und Firewall richtest du einmal ein. Wie das geht, steht in meiner Anleitung WordPress sicher machen. Die WordPress Wartung sorgt danach dafür, dass dieser Schutz auch nach Monaten noch greift.
Backups richtig aufsetzen
Ein Backup besteht aus zwei Teilen: den Dateien (Theme, Plugins, hochgeladene Bilder) und der Datenbank (Texte, Einstellungen, Formulareinträge). Fehlt einer davon, lässt sich die Seite nicht vollständig wiederherstellen. Viele Hoster sichern automatisch, aber oft nur 7 bis 14 Tage rückwirkend und auf demselben Server.
Bewährt hat sich die 3-2-1-Regel: drei Kopien, auf zwei verschiedenen Speicherorten, davon eine außerhalb des Servers. Für eine Betriebswebseite heißt das praktisch: Das Hoster-Backup läuft weiter, zusätzlich sichert ein Backup-Plugin wie UpdraftPlus täglich in einen Cloud-Speicher. Bewahre mindestens 30 Tage auf. Manche Hacks fallen erst nach Wochen auf, und dann brauchst du einen Stand von davor.
Der Wiederherstellungstest klingt nach Aufwand, ist aber der wichtigste Teil. Spiel das Backup einmal im Quartal in eine Staging-Kopie oder eine Testinstallation ein. Erst dann weißt du, dass es funktioniert und wie lange es dauert.
Uptime-Überwachung: Ausfälle vor deinen Kunden bemerken
Uptime-Überwachung bedeutet, dass ein externer Dienst deine Seite regelmäßig aufruft und dich per E-Mail oder App benachrichtigt, sobald sie nicht antwortet. Kostenlose Dienste wie UptimeRobot prüfen im Gratis-Tarif alle fünf Minuten. Das einmalige Einrichten dauert zehn Minuten.
Ohne Überwachung erfährst du von einem Ausfall meist durch einen Kunden, der anruft und fragt, ob es dich noch gibt. Oder gar nicht, weil die Leute einfach den nächsten Betrieb in der Google-Liste anklicken. Tipp: Lass zusätzlich zur Startseite auch die Kontaktseite überwachen. Manchmal läuft die Startseite aus dem Cache weiter, während dahinter alles steht.
WordPress Wartungsplan: Wie oft welche Aufgabe ansteht
Ein Wartungsplan legt fest, welche Aufgabe in welchem Abstand erledigt wird. Diesen Plan kannst du dir ausdrucken und neben den Rechner hängen:
| Abstand | Aufgabe | Zeitaufwand |
|---|---|---|
| Wöchentlich | Dashboard öffnen, Update-Hinweise ansehen, kritische Sicherheitsupdates sofort einspielen | 5 Minuten |
| Wöchentlich | Kontaktformular einmal selbst abschicken | 2 Minuten |
| Monatlich | Alle Plugin- und Theme-Updates nach Backup einspielen, danach Funktionstest | 30 bis 45 Minuten |
| Monatlich | Benutzerkonten und ungenutzte Plugins prüfen | 10 Minuten |
| Monatlich | Ladezeit und Darstellung auf dem Handy kurz testen | 10 Minuten |
| Vierteljährlich | Backup testweise wiederherstellen, PHP-Version prüfen | 30 bis 60 Minuten |
| Jährlich | Plugin-Liste ausmisten, Lizenzen und Domain-Laufzeit prüfen, Impressum und Datenschutzerklärung abgleichen | 1 bis 2 Stunden |
Warum wöchentlich nachsehen, wenn du nur monatlich aktualisierst? Weil manche Lücken aktiv ausgenutzt werden, bevor dein Monatstermin kommt. Wie schnell du bei welchem Update reagieren musst, habe ich in einem eigenen Artikel aufgeschlüsselt: WordPress Update: wie schnell du reagieren musst.
Updates richtig einspielen: Schritt für Schritt
Die meisten Probleme bei der WordPress Wartung entstehen durch die falsche Reihenfolge. Wer einfach auf „Alle aktualisieren" klickt, weiß hinterher nicht, welches Plugin den Fehler verursacht hat. So machst du es sauber:
- Frisches Backup anlegen. Dateien und Datenbank, nicht nur eines von beiden. Prüfe, dass die Sicherung außerhalb des Servers liegt, etwa in einem Cloud-Speicher.
- Zeitpunkt wählen. Nicht Freitagabend und nicht kurz vor einer Werbeaktion. Dienstagvormittag ist ideal: Falls etwas klemmt, erreichst du Hoster und Plugin-Support.
- Änderungsprotokolle überfliegen. Steht bei einem Plugin ein großer Versionssprung an, etwa von 3.x auf 4.0, lies kurz, was sich ändert.
- Plugins einzeln aktualisieren. Das Formular-Plugin zuerst, danach jeweils kurz die Seite neu laden. Bei 15 Plugins dauert das zehn Minuten länger und spart dir im Fehlerfall Stunden.
- Theme danach aktualisieren. Erst wenn alle Plugins laufen.
- WordPress-Kern zuletzt. Bei großen Versionen ein paar Tage warten, bis die Plugin-Hersteller nachgezogen haben.
- Funktionstest. Startseite, eine Leistungsseite, Kontaktformular abschicken, auf dem Handy prüfen.
- Cache leeren. Sonst siehst du womöglich die alte Version und hältst einen Fehler für behoben.
Falls deine Seite nach einem Update komplett weiß bleibt: keine Panik, das ist ein bekanntes Muster mit klaren Ursachen. Die Lösung findest du in WordPress weiße Seite: Ursachen und Lösung in 7 Schritten.
Was ist eine Staging-Umgebung?
Eine Staging-Umgebung ist eine Kopie deiner Webseite auf dem Server, die niemand außer dir sieht. Dort spielst du Updates zuerst ein und testest. Läuft alles, überträgst du die Änderungen auf die echte Seite. Viele Hoster bieten Staging per Klick an. Frag deinen Hoster danach, bevor du es selbst mit einem Plugin baust. Für eine kleine Seite mit fünf bis zehn Unterseiten ist Staging angenehm, aber kein Muss. Für einen Onlineshop ist es Pflicht.
PHP-Version: die Aufgabe, die fast alle vergessen
PHP ist die Programmiersprache, mit der WordPress auf dem Server läuft. Jede PHP-Version bekommt vier Jahre Unterstützung: zwei Jahre volle Pflege, zwei Jahre nur noch Sicherheitskorrekturen. Danach gibt es gar keine Updates mehr, auch nicht bei schweren Lücken.
Ganz konkret für dieses Jahr: PHP 8.2 erhält laut der offiziellen Übersicht von php.net nur noch bis zum 31. Dezember 2026 Sicherheitsupdates. Läuft deine Seite noch auf 8.2 oder älter, steht die Umstellung in den nächsten Wochen an. PHP 8.3 wird bis Ende 2027 versorgt, PHP 8.4 bis Ende 2028.
Die aktuelle Version findest du im Kundenmenü deines Hosters, meist unter einem Punkt wie „PHP-Einstellungen". Umstellen ist dort oft ein Klick. Trotzdem gilt: vorher Backup, danach Funktionstest. Alte Plugins und selbst geschriebener Code im Theme vertragen neue PHP-Versionen nicht immer. Ein Nebeneffekt, der sich lohnt: Neuere PHP-Versionen laufen meist spürbar schneller. Wenn deine Seite ohnehin träge ist, lies zusätzlich WordPress zu langsam: Diese 5 Ursachen fressen deine Ladezeit.
Automatische Updates: Wann sie helfen und wann sie schaden
Seit WordPress 5.5 kannst du für jedes Plugin automatische Updates einschalten. Das klingt nach der perfekten Lösung für die WordPress Wartung. Meine Meinung: für einen Teil der Plugins ja, für alle nein.
| Bereich | Automatisch aktualisieren? | Begründung |
|---|---|---|
| Kleine WordPress-Sicherheitsupdates | Ja | Seit Jahren standardmäßig aktiv, sehr selten problematisch |
| Kleine Hilfs-Plugins (z. B. Weiterleitungen, Sitemap) | Ja | Wenig Code, wenig Wechselwirkung |
| Sicherheits- und Backup-Plugins | Ja | Sollen immer aktuell sein, gut getestet |
| Pagebuilder (Elementor, Breakdance, Divi) | Nein | Große Updates können Layouts verschieben |
| Kontaktformular und Terminbuchung | Nein, aber zeitnah manuell | Hier hängen deine Anfragen dran, nach jedem Update testen |
| Onlineshop (WooCommerce) | Nein | Zahlungen und Bestellungen nur nach Test auf Staging |
| Große WordPress-Versionen | Nein | Ein paar Tage abwarten, bis Plugins kompatibel sind |
Der Haken an automatischen Updates: Sie passieren, wenn niemand hinschaut. Geht nachts das Formular kaputt, merkst du es erst, wenn eine Woche lang keine Anfrage kommt. Wer automatische Updates nutzt, braucht also erst recht den wöchentlichen Formulartest aus dem Wartungsplan.
Wie viel Zeit kostet die WordPress Wartung im Monat?
Ehrliche Antwort für eine Betriebswebseite mit 10 bis 20 Unterseiten und rund 20 Plugins: Wenn alles glatt läuft, 60 bis 90 Minuten im Monat. Das Quartal mit Backup-Test kostet eine Stunde extra. Und etwa zwei- bis dreimal im Jahr geht bei einem Update etwas schief. Dann wird aus einer Stunde schnell ein halber Tag, vor allem wenn du dich erst einlesen musst.
Rechne das mit deinem eigenen Stundensatz durch. Ein Meister, der 65 € pro Stunde abrechnet, investiert bei 1,5 Stunden im Monat rund 100 € an Arbeitszeit. Dazu kommen die Fehlerfälle. Selbermachen bleibt trotzdem eine gute Wahl. Rechne nur mit diesem Betrag und geh nicht davon aus, dass WordPress Wartung nichts kostet, bloß weil die Plugins kostenlos sind.
WordPress Wartung selbst machen oder Wartungsvertrag?
Beides funktioniert. Die Frage ist, welcher Typ du bist und wie wichtig die Seite für dein Geschäft ist. Diese Gegenüberstellung hilft bei der Entscheidung:
| Kriterium | Selbst machen | Wartungsvertrag |
|---|---|---|
| Laufende Kosten | Eigene Arbeitszeit, ggf. Backup-Plugin-Lizenz | Monatliche Pauschale |
| Zeitaufwand für dich | 60 bis 90 Minuten pro Monat plus Fehlerfälle | Fast null, du bekommst nur Berichte |
| Reaktion bei kritischer Lücke | Hängt davon ab, ob du es mitbekommst | Anbieter beobachtet Sicherheitsmeldungen |
| Wenn ein Update etwas zerschießt | Du suchst selbst oder buchst kurzfristig Hilfe | Anbieter stellt das Backup wieder her |
| Passt gut für | Technisch interessierte Inhaber, kleine Seiten mit wenig Plugins | Betriebe, deren Anfragen über die Seite laufen |
Meine Faustregel: Kommt mehr als eine Anfrage pro Woche über deine Webseite, ist ein Ausfall teurer als jeder Wartungsvertrag. Dann gehört die WordPress Wartung in feste Hände. Ob du einen Handwerksbetrieb führst oder eine Praxis: Die Rechnung ist dieselbe.
Was kostet ein Wartungsvertrag?
Die Preise am Markt gehen weit auseinander. In den Google-Ergebnissen für „WordPress Wartung" findest du (Stand Oktober 2026) Pakete von knapp 10 € bis rund 80 € im Monat, dazu individuelle Angebote für Shops. Die günstigsten Pakete sind oft reine Update-Automatik ohne Funktionstest. Teurere Pakete enthalten meist Kontrolle nach Updates, externe Backups und Hilfe im Fehlerfall.
Bei uns kostet das Paket Care 49 € im Monat netto. Darin stecken regelmäßige Updates, tägliche Backups mit externer Kopie, Sicherheits- und Uptime-Überwachung, Kontrolle nach wichtigen Updates und fünf Minuten für kleine Änderungen pro Monat. Alle Pakete im Detail stehen auf der Seite Wartung & SEO Pakete. Wenn du die Wartung lieber selbst machst und nur bei einem Problem Hilfe brauchst, kannst du eine einzelne WordPress-Hilfe-Session buchen, ab 120 € pro Stunde.
Woran du einen guten Wartungsvertrag erkennst
Bevor du unterschreibst, frag diese Punkte konkret ab. Ein seriöser Anbieter beantwortet sie dir in fünf Minuten:
- Wird nach jedem Update getestet? Und zwar von einem Menschen, der das Formular abschickt. Ein Plugin, das nur „Update erfolgreich" meldet, reicht nicht.
- Wo liegen die Backups? Eine Sicherung auf demselben Server ist bei einem Serverausfall wertlos. Mindestens eine Kopie muss extern liegen.
- Wie schnell reagiert der Anbieter bei einer kritischen Lücke? Bei aktiv ausgenutzten Lücken zählt der Tag, nicht der Monatstermin.
- Was passiert bei einem Hack? Ist die Bereinigung enthalten oder wird sie extra abgerechnet?
- Bekommst du einen Bericht? Du solltest sehen, was gemacht wurde.
- Wem gehören die Zugänge? Admin-Zugang, Hosting und Domain müssen auf dich laufen, nicht auf den Dienstleister.
Der letzte Punkt wird am häufigsten übersehen. Kündigst du den Vertrag, darfst du nicht ohne Zugang zur eigenen Seite dastehen.
Wenn trotz Wartung etwas schiefgeht
Auch mit sauberer WordPress Wartung kann ein Update Probleme machen. Entscheidend ist, dass du einen Plan hast, bevor es passiert:
- Ruhe bewahren und nichts löschen. Hektisches Deaktivieren von Plugins macht die Fehlersuche schwerer.
- Letzte Änderung zurücknehmen. Weil du Plugins einzeln aktualisiert hast, weißt du, welches es war. Viele Backup-Plugins können eine einzelne Plugin-Version zurückspielen.
- Backup wiederherstellen, wenn das nicht reicht. Genau dafür hast du den Quartalstest gemacht.
- Plugin-Hersteller informieren. Oft gibt es innerhalb weniger Tage eine korrigierte Version.
- Bei Verdacht auf einen Hack: Passwörter aller Admins und des Hosting-Zugangs ändern und Hilfe holen. Selbst bereinigen geht selten gründlich genug.
Siehst du nach einem Update keine Änderung, obwohl es geklappt hat, liegt es meist am Cache. Was dann hilft, steht in WordPress Änderung wird nicht angezeigt.
Rechtlicher Hintergrund: Wartung und DSGVO
Sobald deine Seite ein Kontaktformular hat, verarbeitest du personenbezogene Daten. Art. 32 DSGVO verlangt dafür geeignete technische und organisatorische Maßnahmen zum Schutz dieser Daten. Eine Seite mit jahrelang veralteten Plugins ist schwer als geeignete Maßnahme zu verteidigen. Rechtsberatung ersetzt dieser Hinweis nicht. Er ist trotzdem ein guter Grund mehr, die WordPress Wartung nicht schleifen zu lassen.
Häufige Fragen zur WordPress Wartung
Wie oft sollte man WordPress aktualisieren?
Kritische Sicherheitsupdates sofort, alle übrigen Updates gebündelt einmal im Monat. Einmal pro Woche solltest du ins Dashboard schauen, ob eine dringende Lücke gemeldet wurde.
Kann ich die WordPress Wartung komplett automatisieren?
Teilweise. Kleine Sicherheitsupdates und einfache Plugins kannst du automatisch aktualisieren lassen, Pagebuilder, Formular-Plugins und große Versionssprünge solltest du manuell einspielen und danach testen. Den Funktionstest kann keine Automatik ersetzen.
Was passiert, wenn ich meine WordPress-Seite nicht warte?
Die Seite läuft oft monatelang scheinbar normal weiter, sammelt aber Sicherheitslücken. Irgendwann wird sie gehackt, fällt durch eine abgelaufene PHP-Version aus oder lässt sich nicht mehr aktualisieren, ohne dass etwas kaputtgeht.
Was kostet WordPress Wartung im Monat?
Selbst gemacht kostet sie vor allem Zeit, rund 60 bis 90 Minuten im Monat. Wartungsverträge liegen am Markt zwischen knapp 10 € und rund 80 € im Monat, unser Paket Care kostet 49 € netto.
Gehört die Pflege von Texten und Bildern zur Wartung?
Nein. Wartung betrifft die Technik. Neue Inhalte, geänderte Preise oder frische Referenzen sind Redaktion und werden meist separat oder über ein kleines Zeitkontingent im Wartungspaket erledigt.
Fazit: WordPress Wartung als feste Monatsroutine
Gute WordPress Wartung folgt einem festen Rhythmus: wöchentlich kurz nachsehen, monatlich Updates mit Backup und Funktionstest, vierteljährlich Backup und PHP-Version prüfen. Wer das durchhält, schließt die Lücke, durch die laut Sucuri fast vier von zehn gehackten Seiten angegriffen wurden. Dein nächster Schritt für heute: Logg dich ins Dashboard ein, zähl die offenen Updates und sieh beim Hoster nach, welche PHP-Version läuft. Steht dort 8.2 oder älter, weißt du, was bis Jahresende zu tun ist.
Du willst wissen, ob deine Seite gerade in einem sicheren Zustand ist oder ob du die Wartung lieber abgibst? Ein Klick genügt für dein kostenloses Erstgespräch, ohne Verkaufsdruck.
