Wartungsvertrag oder selbst pflegen? Was WordPress-Betreuung wirklich umfasst

„Die Website läuft doch." Das ist der häufigste Satz, bevor eine WordPress-Installation Probleme macht – und er stimmt sogar. Sie läuft. Bis zu dem Tag, an dem ein Plugin eine Lücke hat, die seit fünf Stunden aktiv ausgenutzt wird.

Ob du Wartung einkaufst oder selbst machst, ist keine Glaubensfrage. Es ist eine Rechnung aus drei Größen: deiner Zeit, deinem Risiko und dem, was ein Ausfall dich kostet. Dieser Artikel legt alle drei offen.

Was in einer Woche wirklich passiert

Die nüchternen Zahlen aus dem Sicherheitsbericht von Patchstack für das Jahr 2025:

• 11.334 neue Schwachstellen wurden in WordPress-Erweiterungen gemeldet – 42 Prozent mehr als im Vorjahr.
• 91 Prozent davon steckten in Plugins, 9 Prozent in Themes. Im WordPress-Kern selbst waren es sechs Fälle, alle niedrig eingestuft.
• 46 Prozent hatten zum Zeitpunkt der Veröffentlichung noch keinen Patch.
• Die Zahl der hochkritischen Lücken hat sich mehr als verdoppelt.

Die wichtigste Zahl ist aber eine andere: Zwischen der Veröffentlichung einer Lücke und ihrer massenhaften Ausnutzung liegen im Mittel fünf Stunden. Rund die Hälfte der gefährlichen Lücken wird binnen 24 Stunden ausgenutzt.

Lies das noch einmal und halte es neben den Satz „Ich mache die Updates einmal im Monat". Ein monatlicher Rhythmus ist gegen diese Klasse von Angriffen strukturell wirkungslos – nicht nachlässig, sondern rechnerisch chancenlos.

Ein zweites Muster kommt hinzu: Premium-Plugins sind nicht sicherer. Bei kostenpflichtigen Erweiterungen fanden sich sogar dreimal so viele nachweislich ausgenutzte Lücken wie bei kostenlosen. Der Preis sagt nichts über die Codequalität.

„Aber WordPress aktualisiert sich doch selbst"

Teilweise. Und genau diese Teilweise-Formulierung ist das Problem.

Seit Version 3.7 installiert WordPress Sicherheits- und Wartungsupdates des Kerns automatisch – das funktioniert zuverlässig. Automatische Updates für Plugins und Themes gibt es seit Version 5.5, sie sind aber standardmäßig ausgeschaltet und müssen pro Erweiterung einzeln aktiviert werden.

Wer sie einschaltet, sollte vier Dinge wissen:

• Es gibt keinen Rückweg. WordPress selbst empfiehlt in der Dokumentation, vorher sicherzustellen, dass man auf eine frühere Version zurückkann. Ohne Backup und Testumgebung ist das ein Sprung ohne Netz.
• Auto-Updates hängen an WP-Cron. Läuft der nicht sauber – bei vielen Hostern der Fall –, passiert schlicht nichts. Still.
• Hoster und Plugins können die Funktion abschalten. Du glaubst, es läuft, und es läuft nicht.
• Fehlgeschlagene Updates melden sich per E-Mail – an eine Adresse, die oft niemand liest.

Und selbst wenn alles klappt: Bei 46 Prozent der Lücken existiert zum Zeitpunkt der Meldung noch gar kein Patch. Ein Auto-Update kann nichts installieren, was es nicht gibt. Es ist notwendig, aber es reicht nicht.

Was Wartung tatsächlich beinhalten sollte

Der Begriff ist nicht geschützt, und da liegt der Hase im Pfeffer. Zehn Euro im Monat und zweihundert Euro im Monat heißen beide „Wartung". Diese Punkte trennen echte Betreuung von einem Update-Skript:

• Updates mit Kontrolle, nicht nur Updates. Also: erst Testkopie, dann Live, danach ein Blick auf die wichtigsten Seiten. Ein Update, das die Startseite zerlegt, ist schlimmer als ein verschobenes Update.
• Backups, die getestet werden. Dazu gleich mehr – das ist der meistunterschätzte Punkt überhaupt.
• Reaktion auf kritische Lücken innerhalb von Stunden, nicht im nächsten Turnus. Bei Lücken ohne Patch heißt das: Plugin vorübergehend deaktivieren oder den Zugriff serverseitig sperren.
• Ein Blick auf die Umgebung: PHP-Version, Speicherplatz, Zertifikatslaufzeit, Erreichbarkeit.
• Ein Ansprechpartner mit Namen, der rangeht, wenn morgens um neun nichts mehr geht.

Was nicht dazugehört, aber gern verkauft wird: unbegrenzte Inhaltsänderungen. Das ist ein anderes Produkt und gehört getrennt kalkuliert.

Der Punkt, an dem die meisten scheitern: Backups

Hier wird es unangenehm. Der IT-Grundschutz des BSI formuliert im Baustein zum Datensicherungskonzept eine klare Muss-Anforderung: Es muss regelmäßig getestet werden, ob sich gesicherte Daten einwandfrei und in angemessener Zeit zurückspielen lassen. Das BSI führt „fehlende Wiederherstellungstests" ausdrücklich als eigene Gefährdung.

Wie groß die Lücke zwischen Gefühl und Realität ist, zeigt eine branchenweite Erhebung von Veeam für 2026: 90 Prozent der Organisationen waren überzeugt, im Ernstfall wiederherstellen zu können. Nach einem tatsächlichen Ransomware-Vorfall bekamen 28 Prozent ihre Daten vollständig zurück. Im Schnitt waren es 72 Prozent der Daten – bei 44 Prozent weniger als drei Viertel.

Diese Zahlen stammen aus der Unternehmens-IT, nicht speziell von WordPress-Websites. Das Muster überträgt sich trotzdem: Ein Backup, das nie zurückgespielt wurde, ist eine Vermutung, kein Backup.

Was es kostet – und was es kostet, es nicht zu tun

Für den deutschen Markt gibt es keine neutrale Preisstudie, nur Anbieterangaben. Über mehrere unabhängige Anbieter hinweg ergibt sich aber ein stimmiges Bild:

Für eine normale Unternehmens-Website liegt der sinnvolle Bereich bei 40 bis 150 Euro im Monat. Ein Shop kostet mehr, weil mehr kaputtgehen kann.

Dem gegenüber steht der Ernstfall. Eine Bereinigung nach einem Hack ohne laufenden Vertrag wird üblicherweise mit 120 bis 250 Euro pro Stunde bei vier bis acht Stunden Mindestaufwand abgerechnet – grob 500 bis 2.000 Euro. Dazu kommt, was in keiner Rechnung steht: Google zeigt bei gehackten Seiten eine Warnung an, und die Überprüfung nach der Bereinigung dauert laut Google selbst „mehrere Tage oder Wochen". So lange schickt dir die Suchmaschine niemanden.

Ein Vorfall alle drei Jahre kostet damit ungefähr so viel wie ein Jahr Basisvertrag – ohne Ausfallzeit, ohne Nerven, ohne Erklärung gegenüber Kunden.

Die ehrliche Entscheidungshilfe

Selbst machen ist vertretbar, wenn du technisch fit bist, eine Testumgebung hast, wöchentlich draufschaust, Backups nicht nur anlegst, sondern gelegentlich zurückspielst, und die Website kein Umsatzträger ist. Rechne mit gut zwei Stunden im Monat plus Lizenzkosten. Wer sich ehrlich einschätzt, merkt: Es scheitert selten am Können, sondern daran, dass in der Woche, in der die Lücke kommt, gerade etwas anderes brennt.

Wartung einkaufen lohnt sich, wenn über die Website Anfragen oder Umsatz kommen, ein Shop läuft, mehrere Redakteure Zugriff haben, individuelle Erweiterungen im Einsatz sind – oder wenn dich die Vorstellung nervös macht, dass niemand nachschaut.

Der schlechteste aller Wege ist der dritte: Auto-Updates einschalten, sich in Sicherheit wiegen und nie wieder hinsehen. Das ist keine Wartung, das ist ein aufgeschobener Termin.

Wenn du unsicher bist, wie deine Installation gerade dasteht: Ich schaue mir das gerne einmal an – Versionsstand, Plugins, Backup-Lage, PHP – und sage dir ehrlich, ob Handlungsbedarf besteht. Mehr dazu unter Webdesign & Programmierung. Was die einzelnen WordPress-Versionen bringen, sammle ich fortlaufend unter WordPress-Updates.