WordPress-Wartung: Leistung und Kosten

Vorweg, weil das Thema oft als Vorwurf verpackt wird: WordPress ist ein gutes System. Wir bauen selbst damit, und für viele Betriebe ist es die richtige Entscheidung — weil Sie damit Inhalte selbst pflegen können, ohne jemanden zu fragen.

Wartungsbedarf ist kein Mangel dieses Systems, sondern die Kehrseite seiner größten Stärke. WordPress ist erweiterbar; deshalb gibt es für fast jede Anforderung eine fertige Lösung. Und weil diese Erweiterungen von vielen verschiedenen Entwicklern stammen und ständig weiterentwickelt werden, muss jemand dafür sorgen, dass sie aktuell bleiben. Genau darum geht es hier.

Warum Updates nicht optional sind

Der entscheidende Punkt wird selten erklärt, dabei ist er einfach — und wer ihn einmal verstanden hat, diskutiert nicht mehr über die Notwendigkeit.

Ein Update macht die Lücke öffentlich

Der übliche Ablauf einer Sicherheitslücke sieht so aus:

1. Jemand findet einen Fehler in einer Erweiterung und meldet ihn dem Entwickler.
2. Der Entwickler behebt ihn und veröffentlicht eine neue Version.
3. In den Versionshinweisen steht, was behoben wurde. Sicherheitslücken werden zusätzlich in öffentlichen Verzeichnissen dokumentiert.

Schritt 3 ist der springende Punkt. Mit der Veröffentlichung des Updates ist die Schwachstelle allgemein bekannt — inklusive der Frage, welche Versionen betroffen sind. Wer nicht aktualisiert, betreibt ab diesem Moment eine Seite, deren Schwachstelle dokumentiert und deren Version von außen erkennbar ist. Das Zeitfenster zwischen Veröffentlichung und Ausnutzung ist erfahrungsgemäß kurz.

Es trifft Sie nicht persönlich

Die häufigste Fehlannahme lautet: „Wer sollte sich für unsere Seite interessieren?“ Niemand — und darauf kommt es nicht an. Diese Angriffe sind automatisiert. Programme durchsuchen wahllos große Mengen an Adressen, erkennen anhand öffentlich sichtbarer Spuren, welches System und welche Version läuft, und probieren die passenden bekannten Lücken durch. Der Betrieb dahinter ist völlig gleichgültig; entscheidend ist allein, ob die Version verwundbar ist.

Deshalb ist „wir sind zu klein“ kein Schutz. Es ist genau umgekehrt: Kleine Seiten werden seltener gepflegt und sind für automatisierte Angriffe deshalb ergiebiger.

Der zweite Grund: Kompatibilität

Neben der Sicherheit gibt es einen leiseren, aber ebenso teuren Grund. Der Unterbau — PHP, Datenbank, Serverumgebung — wird laufend weiterentwickelt, und alte Versionen laufen irgendwann aus dem Support. Ihr Hoster wird die Umgebung dann aktualisieren, mit oder ohne Sie.

Eine gepflegte Installation macht diesen Schritt in kleinen Schritten mit. Eine, die drei Jahre stillstand, kann ihn nicht mehr in einem Sprung nachholen: Der Kern braucht eine neuere PHP-Version, das alte Theme läuft damit nicht, und die Erweiterung, die das Kontaktformular trägt, wird seit zwei Jahren nicht mehr weiterentwickelt. Aus einer halben Stunde Wartung im Monat ist ein Projekt geworden.

Der zweitgrößte praktische Risikofaktor sind übrigens aufgegebene Erweiterungen. Für sie erscheint kein Update mehr — die Lücke wird nie geschlossen. Das rechtzeitig zu bemerken und zu ersetzen, ist ein wesentlicher Teil ordentlicher Wartung.

Was passiert, wenn nichts passiert

Ein übernommener Auftritt fällt selten sofort aus. Häufiger ist er weiter erreichbar und tut nebenbei Dinge, die Sie nicht wollen:

• Eingeschleuste Seiten. In Unterverzeichnissen entstehen fremde Inhalte, oft in einer anderen Sprache, die von Ihrer Domain profitieren.
• Weiterleitungen nur für Besucher von außen. Wer die Adresse direkt eingibt, sieht nichts Auffälliges. Wer über eine Suchmaschine kommt oder mit dem Handy, landet woanders. Deshalb fällt es dem Betreiber am längsten nicht auf.
• Massenhafter Mailversand über Ihren Server. Die Folge ist eine beschädigte Reputation Ihrer Domain — anschließend landen auch Ihre echten Angebote im Spam.
• Warnhinweise in Suchmaschine und Browser. Wird die Seite als schädlich eingestuft, sehen Besucher eine rote Warnseite, bevor sie überhaupt bei Ihnen sind. Diese Einstufung wieder loszuwerden, dauert.

Die Bereinigung danach ist regelmäßig teurer als die Wartung davor, und zwar nicht ein bisschen. Der Grund ist die Ungewissheit: Solange niemand sicher sagen kann, ob wirklich alles entfernt wurde, ist die einzige saubere Antwort ein Neuaufbau aus einer geprüften Sicherung.

Was ein Wartungsvertrag abdeckt

Bei mir sind das vier Dinge, die zusammengehören:

• Aktualisierungen von Kern, Theme und Erweiterungen — kontrolliert, nicht blind.
• Sicherungen, täglich, außerhalb des Servers gelagert. Eine Sicherung, die auf demselben Rechner liegt wie die Seite, hilft im Ernstfall nicht.
• Überwachung der Erreichbarkeit, damit ein Ausfall auffällt, bevor ein Kunde anruft.
• Ein Ansprechpartner mit fester Reaktionszeit: Auf jede Anfrage aus einem laufenden Vertrag antworte ich innerhalb von 24 Stunden.
• Die Lizenzen für die eingesetzten Erweiterungen — Elementor Pro, Complianz und WPvivid, ab der mittleren Stufe ShortPixel, in der obersten Media Cleaner Pro. Die laufen über meine Agenturlizenzen und kosten Sie nichts extra. Umgekehrt gehören sie auch mir: Nach Vertragsende werden sie entfernt. Wer sie behalten möchte, kauft sie selbst, dann binde ich sie ein.

Ab der mittleren Stufe kommen inhaltliche Änderungen dazu — die neue Öffnungszeit, das neue Team-Foto, der aktualisierte Preis. Erfahrungsgemäß ist das der Teil, den Kunden am häufigsten nutzen, nicht die Technik.

Was Wartung nicht ist

Damit im Angebot keine falsche Erwartung entsteht:

• Sie ist keine Suchmaschinenoptimierung. Eine gewartete Seite rankt nicht deshalb besser.
• Sie ist kein Redesign. Neue Seiten, neue Funktionen oder ein neues Layout sind Projekte und werden getrennt beauftragt.
• Sie ist keine Garantie, dass nie etwas passiert. Niemand kann das zusagen. Sie senkt die Wahrscheinlichkeit deutlich und sorgt vor allem dafür, dass es im Ernstfall eine funktionierende Sicherung und einen kurzen Weg zurück gibt.

Wartung ist nicht Hosting

Die beiden werden regelmäßig verwechselt, auch von Anbietern. Hosting ist der Platz, auf dem Ihre Seite liegt: Server, Erreichbarkeit, Zertifikat, meistens eine Grundsicherung. Wartung ist die Arbeit an der Software, die dort läuft. Ein gutes Hosting-Paket hält den Rechner am Laufen — es aktualisiert aber keine Erweiterung und merkt nicht, dass Ihr Kontaktformular seit drei Wochen nichts mehr verschickt.

Wenn beides aus einer Hand kommt, ist das bequem und meist billiger. Wichtig ist nur, dass im Angebot steht, welcher Posten was abdeckt.

Was Sie in einem Wartungsvertrag nachlesen sollten

Egal bei wem Sie unterschreiben — diese sechs Punkte entscheiden darüber, ob der Vertrag im Ernstfall trägt:

1. Was heißt Reaktionszeit genau? Antwort innerhalb eines Werktages ist etwas anderes als Behebung innerhalb eines Werktages. Beides ist vertretbar, aber es muss dastehen.
2. Wie oft und wohin wird gesichert, und wie lange bleiben Sicherungen liegen? Eine Sicherung von gestern hilft nicht, wenn der Schaden vor drei Wochen entstanden ist.
3. Was ist eine „inhaltliche Änderung“? Bei mir ab der mittleren Stufe ein festes Zeitkontingent pro Monat — es gilt je Kalendermonat und verfällt am Monatsende, wird also nicht angespart. Darüber hinaus gilt der Stundensatz nach vorheriger Absprache.
4. Wer hält die Zugänge? Domain, Hosting und Administratorkonto sollten auf Ihren Namen laufen, auch wenn ich sie verwalte.
5. Kündigungsfrist — und was Sie danach bekommen. Bei mir zwölf Monate Mindestlaufzeit, danach 14 Tage zum Monatsende. Sie behalten alle Zugänge. Was Sie nicht automatisch bekommen, ist eine Schlusssicherung: Die Sicherungen laufen über meine Wartungssoftware und enden mit dem Vertrag. Fragen Sie danach also vor der Kündigung — bei mir und bei jedem anderen Anbieter.
6. Was ausdrücklich nicht enthalten ist. Ein Vertrag, der diesen Punkt nicht hat, ist nicht großzügig, sondern unklar.

Wie eine saubere Wartung abläuft

Der Ablauf ist wichtiger als das Werkzeug:

1. Sichern, bevor irgendetwas angefasst wird — Dateien und Datenbank.
2. Prüfen, was sich ändert. Ein Update, das laut Versionshinweisen eine Sicherheitslücke schließt, hat Vorrang vor einem, das ein neues Symbol bringt.
3. Einspielen, bei größeren Sprüngen zuerst auf einer Testkopie.
4. Ansehen. Startseite, eine Unterseite, das Kontaktformular tatsächlich abschicken. Der häufigste Schaden durch Updates ist kein Ausfall, sondern ein Formular, das seit drei Wochen still ins Leere läuft.
5. Rückweg offenhalten. Eine Sicherung, die noch nie zurückgespielt wurde, ist eine Hoffnung, keine Sicherung. Wir testen das.

Wann Sie das nicht brauchen

Der Abschnitt, den Sie in Wartungsangeboten selten finden.

Bei einer statisch ausgelieferten Seite ist der Bedarf sehr viel kleiner. Wenn die Seite als fertiges HTML ausgeliefert wird, ohne Datenbank und ohne Erweiterungen, fehlt die Angriffsfläche, um die es in diesem Text geht. Übrig bleiben Sicherungen, die Erreichbarkeit, das Zertifikat und gelegentliche Inhaltsänderungen. Dafür reicht die kleinste Stufe — oder Sie brauchen gar nichts.

Wenn die Seite ohnehin ersetzt wird, ergibt ein Jahresvertrag wenig Sinn. Dann genügt, sie bis zum Umstieg sicher zu halten.

Wenn Sie es selbst diszipliniert machen. Das ist völlig legitim, und ich sage Betrieben das auch. Die ehrliche Voraussetzung ist Regelmäßigkeit: Wartung scheitert nicht am Können, sondern daran, dass im Tagesgeschäft niemand daran denkt.

Selbst machen — die Kurzfassung

• Feste monatliche Erinnerung im Kalender, nicht „wenn Zeit ist“.
• Vor jedem Update sichern, Sicherung außerhalb des Servers lagern, zweimal im Jahr einen Rückspieltest machen.
• Nach dem Update die Seite ansehen und das Kontaktformular abschicken.
• Ungenutzte Erweiterungen und Themes löschen, nicht nur deaktivieren. Das senkt gleichzeitig die Ladezeit — warum, steht im Artikel Warum Ihre Website langsam ist.
• Zwei-Faktor-Anmeldung einschalten, Administratorkonten auf das Nötige begrenzen, ausgeschiedene Mitarbeiter entfernen.
• Einmal im Jahr prüfen, ob jede eingesetzte Erweiterung noch weiterentwickelt wird.

Rechnen Sie realistisch mit etwa einer halben Stunde im Monat, solange nichts Ungewöhnliches passiert.

Was es kostet

Leistung	Preis (netto)
Wartung Basic	29 € / Monat
Wartung Business	49 € / Monat
Wartung Premium	119 € / Monat
Hosting	ab 19 € / Monat
Zusatzarbeiten	75 €/h

Alle Preise netto zzgl. Umsatzsteuer. Mindestlaufzeit zwölf Monate, danach mit einer Frist von 14 Tagen zum Monatsende kündbar. Bei jährlicher Zahlung 10 % Rabatt. Bei Kündigung behalten Sie alle Zugänge.

Wenn Sie gerade erst überlegen, was ein Auftritt insgesamt kostet — Aufbau und Betrieb zusammen —, hilft der Artikel Was kostet eine Website? weiter. Und wenn Sie Wartung für eine bestehende Seite besprechen möchten, auch für eine, die ich nicht gebaut haben: Die Stufen im Detail stehen auf der Seite Website-Wartung.