WordPress-Wartungsvertrag: nötig oder selbst machen?

Deine WordPress-Website läuft, und alle paar Wochen meldet das Dashboard neue Updates. Brauchst du dafür einen WordPress-Wartungsvertrag, oder machst du das selbst?

Eine schlanke Firmenwebsite mit wenigen gepflegten Plugins kannst du selbst warten. Dafür müssen drei Bedingungen erfüllt sein: Du hast ein Backup außerhalb deines Webspace. Du hast die Wiederherstellung mindestens einmal ausprobiert. Und nach jedem Update kontrolliert jemand kurz die wichtigsten Funktionen. Fehlt eine davon, sind Hilfe auf Abruf oder ein Wartungsvertrag die sicherere Wahl.

Was WordPress von selbst aktualisiert und was nicht

WordPress hat drei Teile, die getrennt aktualisiert werden: den Kern, die Plugins und das Theme. Beim Kern gibt es zwei Arten von Updates. Minor-Updates sind kleine Wartungs- und Sicherheitsversionen wie von 7.0.1 auf 7.0.2. Major-Updates bringen neue Hauptversionen. Was davon automatisch läuft, ist je nach Bereich anders eingestellt:

Bereich	Automatisch	Deine Aufgabe
WordPress-Kern	Minor-Updates und Übersetzungen standardmäßig, Major-Updates bei Neuinstallationen ab Version 5.6	prüfen, ob Updates ankommen
Plugins und Themes	seit Version 5.5 möglich, aber nur, wenn du es pro Plugin oder Theme einschaltest	einschalten oder selbst aktualisieren
PHP-Version	nein	beim Hoster umstellen
Backup	nein	extern sichern, Wiederherstellung testen

Eingeschaltete Auto-Updates laufen laut WordPress.org standardmäßig zweimal täglich. Ob ein Update geklappt hat oder gescheitert ist, erfährst du per E-Mail. Die Updates hängen von WP-Cron ab, der internen Zeitplanung von WordPress. Deshalb laufen sie nicht auf jeder Website zuverlässig. Ob es hakt, siehst du unter Werkzeuge → Website-Zustand.

Für missglückte Updates gibt es eine Absicherung. Scheitert ein manuelles Update eines Plugins oder Themes, stellt WordPress seit Version 6.3 die vorherige Version wieder her. Nach automatischen Plugin-Updates ruft WordPress die eigene Startseite ab. Zeigt sie einen fatalen PHP-Fehler, setzt WordPress das Plugin zurück und schickt dir eine E-Mail.

Mehr prüft die Automatik nicht. Ein verrutschtes Layout bemerkt WordPress nicht. Eine kaputte Unterseite oder ein Kontaktformular ohne Mailversand auch nicht.

Wie weit Automatik trägt, zeigte die Lücke „wp2shell“ im Juli 2026. Am 17.07.2026 veröffentlichte WordPress.org die Sicherheitsversion 7.0.2 samt 6.9.5 und 6.8.6 für ältere Versionszweige und schaltete für betroffene Versionen erzwungene Auto-Updates ein. Das BSI warnte, dass Angreifer über die Lücken ohne Anmeldung Code auf der Website ausführen können.

Fachmedien zufolge riet das BSI trotzdem zu prüfen, ob das Update tatsächlich angekommen ist, und nach Spuren wie neuen Admin-Konten zu suchen. Ein Update schließt nämlich nur die Lücke. Einen Zugang, den ein Angreifer vorher angelegt hat, entfernt es nicht.

Für unkomplizierte und gut gepflegte Plugins schaltest du die Auto-Updates ein, sobald Backup und Kontrolle stehen. WordPress.org rät ebenfalls, vorher sicherzustellen, dass du die Website wiederherstellen kannst. Plugins für Layout, Formulare oder Shop aktualisierst du besser gezielt von Hand und kontrollierst danach. Ein Page Builder gehört dazu.

Was bei dir bleibt: Backup, PHP-Version und die Kontrolle danach

Das Handbuch von WordPress.org empfiehlt, vor Updates Datenbank und Dateien zu sichern und die Backups auf Brauchbarkeit zu prüfen. Ein Backup, das du nie zurückgespielt hast, ist nur eine Annahme. Leg es außerhalb deines Webspace ab, damit es bei einem Hack oder Serverproblem nicht mit verloren geht.

Wenn du dich auf das Backup deines Hosters verlässt, klär drei Dinge. Wo liegt es? Wie lange wird es aufbewahrt? Und kannst du es selbst zurückspielen?

PHP ist die Programmiersprache, in der WordPress läuft. Die Version stellst du nicht im Dashboard um, sondern beim Hoster. WordPress.org empfiehlt PHP 8.3 oder neuer und stuft ältere Versionen als veraltet ein, die die Website Sicherheitslücken aussetzen können.

Laut php.net bekommt PHP 8.2 nur noch bis 31.12.2026 Sicherheitsupdates, PHP 8.3 bis 31.12.2027. Vor dem Umstellen machst du ein Backup, danach dieselbe Kontrolle wie nach einem Update.

Deaktivierte oder nicht mehr gepflegte Plugins und Themes löschst du. Deaktiviert heißt nicht entfernt. Die Dateien liegen weiter auf dem Server. Jede Erweiterung ist ein Baustein, den jemand aktuell halten muss.

Nach jedem Update und jeder PHP-Umstellung prüfst du genau das, was die Automatik übersieht:

• Startseite und die zwei, drei wichtigsten Unterseiten ansehen, auch auf dem Smartphone.
• Das Kontaktformular abschicken und prüfen, ob die Mail tatsächlich ankommt.
• Aus- und wieder einloggen.
• Unter Benutzer nachsehen, ob unbekannte Admin-Konten aufgetaucht sind.

Wie oft? Dazu gibt es einen Anhaltspunkt von einer Behörde. Die Sächsische Datenschutz- und Transparenzbeauftragte meldete im August 2026 mehr Datenpannen durch gehackte CMS-Websites, auch bei kleinen und mittleren Unternehmen. Sie empfiehlt, Sicherheitsupdates innerhalb weniger Tage einzuspielen und feste Update-Zyklen festzulegen.

Außerdem verweist die Behörde bei gehackten Websites auf mögliche Pflichten nach Art. 33 und 34 DSGVO. Gemeint sind Meldungen an die Aufsichtsbehörde und unter Umständen an Betroffene. Eine feste Routine hilft dir also auch bei der Organisation.

Selbst machen, Hilfe auf Abruf oder Vertrag?

Selbst machen passt, wenn deine Website wenige gut gepflegte Plugins nutzt und weder einen Shop noch aufwendige Buchungs- oder Formularstrecken hat. Außerdem sollte eine Person fest zuständig sein, und die Wiederherstellung muss einmal geklappt haben.

Hilfe auf Abruf ist der Mittelweg. Er passt, wenn die Routine intern läuft, aber niemand eine Seite wiederherstellen oder einen Fehler nach einem Update beheben kann. Den Ansprechpartner klärst du vorher und nicht erst beim Ausfall.

Ein WordPress-Wartungsvertrag lohnt sich eher bei vielen oder kostenpflichtigen Plugins, einem Page Builder, einem Shop oder Schnittstellen zu anderen Systemen. Er lohnt sich auch, wenn ein Ausfall dich direkt Anfragen oder Umsatz kostet oder intern niemand die Routine verlässlich übernimmt. Was bei mir dazugehört und was es kostet, steht auf meiner Seite zur WordPress-Wartung.

Sagen wir, ein Bestattungsinstitut hat eine Website mit fünf Unterseiten, einem Kontaktformular und wenigen Plugins. Die Büroleitung betreut sie. Da reicht es, selbst zu aktualisieren und für den Notfall einen Ansprechpartner auf Abruf zu vereinbaren, sobald der Wiederherstellungstest geklappt hat.

Ist dir der Pflegeaufwand insgesamt zu hoch, passt vielleicht ein anderes System besser. Ein Vertrag nimmt dir Arbeit ab, aber nicht die Verantwortung für deine Zugänge. Und er ist nur so gut wie seine Leistungsbeschreibung.

Woran du ein brauchbares Wartungsangebot erkennst

Die Preise für einen WordPress-Wartungsvertrag sagen allein noch wenig. Ein Angebot bewertest du am Inhalt, auch ohne Preisvergleich. Diese Fragen sollte es beantworten:

• Welche Updates sind enthalten, und laufen sie manuell oder automatisch? Wird vorher auf einer Testkopie der Website (Staging) getestet?
• Was kontrolliert der Anbieter nach dem Update, mindestens die Punkte aus der Liste oben?
• Wo liegen die Backups, wie lange werden sie aufbewahrt, und wurde die Wiederherstellung getestet?
• Wie schnell reagiert der Anbieter im Notfall, und ist die Bereinigung nach einem Hack enthalten oder wird sie extra berechnet?
• Übernimmt er das Umstellen der PHP-Version beim Hoster?
• Sind Lizenzen für kostenpflichtige Plugins und Themes enthalten, und auf wen laufen sie?
• Bleiben die Admin-Zugänge zu WordPress, Hosting und Domain bei dir?
• Wie lang sind Laufzeit und Kündigungsfrist, und was bekommst du bei Vertragsende: Zugänge, Backups, Dokumentation?
• Bekommst du Berichte, aus denen hervorgeht, was wann gemacht wurde?

Vorsicht bei Angeboten, die „Rundum-Sorglos“ versprechen und nicht sagen, was konkret passiert. Bleiben die meisten Fragen offen, kannst du das Angebot nicht beurteilen.

Backup testen, Routine festlegen

Drei Schritte lohnen sich sofort, egal wie du dich entscheidest:

1. Finde heraus, wo dein Backup liegt. Spiel es testweise zurück, etwa über die Backup-Verwaltung deines Hosters oder auf einer Kopie der Website. Klappt das nicht ohne Hilfe, weißt du schon, dass du mindestens Unterstützung auf Abruf brauchst.
2. Notier die installierte WordPress- und PHP-Version. Beides findest du unter Werkzeuge → Website-Zustand.
3. Leg die Routine schriftlich fest: wer zuständig ist, in welchem Takt Updates laufen, dass Sicherheitsupdates innerhalb weniger Tage folgen und welche Seiten danach kontrolliert werden.

Laufen Updates bei einer veralteten Installation kaum noch sauber durch, prüf, ob sich Optimieren oder ein Relaunch mehr lohnt. Bei dieser Einschätzung helfe ich dir gern.