WordPress-Wartung als Service 2026: Welche Leistungen wirklich drin sein müssen und was sie kosten

Sie haben eine fertige Website, die läuft. Und genau hier fängt für die meisten Geschäftsführer das Unbehagen an: Muss man dieses Ding eigentlich pflegen, und wenn ja, lohnt sich dafür ein monatlicher Vertrag? Die ehrliche Antwort aus 13 Jahren und über 120 Projekten lautet: Eine WordPress-Seite ist kein Möbelstück, das man einmal aufstellt. Sie ist eher ein Auto, das jede Woche neue Sicherheitslücken bekommt, ob Sie hinschauen oder nicht.

In diesem Leitfaden zeige ich Ihnen ohne Marketing-Schaum, was eine seriöse WordPress Wartung als Service wirklich leisten muss, was sie 2026 kostet und ab wann sich der Vertrag rechnet. Ich nenne konkrete Euro-Beträge, eine vollständige Leistungsmatrix und die einfache Rechnung, mit der Sie in zwei Minuten wissen, ob Sie selbst basteln oder besser delegieren. Ich bin Webentwickler, kein Anwalt oder Steuerberater, deshalb sind die rechtlichen Hinweise hier als Orientierung gedacht und nicht als Rechtsberatung.

Was bedeutet WordPress Wartung als Service überhaupt

Wartung als Service heißt: Statt selbst Updates einzuspielen, Backups zu prüfen und nachts wach zu liegen, ob die Seite noch online ist, übergeben Sie diese Aufgaben gegen einen festen Monatsbetrag an einen Dienstleister. Sie kaufen sich Ruhe und eine klare Zuständigkeit. Wenn etwas kaputt geht, gibt es eine Nummer, die Sie anrufen, und einen Vertrag, der regelt, wie schnell jemand reagiert.

Wichtig ist die Abgrenzung. Wartung ist nicht dasselbe wie Hosting, auch wenn beides oft im selben Atemzug genannt wird. Hosting ist der Stellplatz, der Server, auf dem die Seite liegt. Wartung ist der Mechaniker, der dafür sorgt, dass das Auto fahrtüchtig bleibt. Viele Hoster werben mit "automatischen Updates" und meinen damit, dass ein Skript stumpf alle Plugins aktualisiert. Das ist keine Wartung. Echte Wartung bedeutet, dass jemand mit Verstand prüft, ob das Update die Seite zerlegt hat, und im Zweifel zurückrollt.

Wartung ist auch nicht Weiterentwicklung. Wenn Sie eine neue Landingpage brauchen oder den Shop um eine Funktion erweitern wollen, ist das ein Projekt und kein Wartungsfall. Ein guter Vertrag trennt das sauber: laufende Pflege im Pauschalpreis, neue Features nach Aufwand. Wer Ihnen unbegrenzte Änderungen für 49 Euro im Monat verspricht, rechnet entweder schlecht oder hält das Versprechen nicht.

Die sieben Leistungen, die wirklich drin sein müssen

Wenn Sie ein Angebot prüfen, schauen Sie nicht auf den Preis zuerst, sondern auf die Leistungen. Ein günstiger Vertrag, der die Hälfte weglässt, ist teurer als ein vollständiger, weil Sie die Lücken im Ernstfall selbst zahlen. Aus meiner Praxis gehören sieben Dinge in jeden Vertrag, der den Namen Wartung verdient.

Erstens Updates mit Kontrolle. Nicht nur einspielen, sondern danach prüfen, ob die Seite noch funktioniert. Zweitens Backups, die offsite liegen, also nicht auf demselben Server wie die Website. Drittens Security-Monitoring, das verdächtige Aktivität und Malware erkennt. Viertens Performance-Pflege, damit die Ladezeit nicht über die Monate verfällt. Fünftens Uptime-Überwachung, die meldet, wenn die Seite down ist, idealerweise bevor Ihr Kunde es merkt. Sechstens ein Reporting, das zeigt, was gemacht wurde. Und siebtens ein Support-SLA mit klaren Reaktionszeiten.

Diese sieben Punkte sind die gemeinsame Basis aller seriösen Anbieter, die ich kenne. Die Pakete unterscheiden sich danach, wie tief jeder Punkt geht. Beim Basispaket reicht ein tägliches Backup, beim Shop brauchen Sie mehrfach tägliche Sicherungen und Staging. Genau diese Tiefe bestimmt den Preis, nicht die Anzahl der Schlagworte im Angebot.

Updates: der Punkt, an dem die meisten Seiten sterben

Lassen Sie mich beim wichtigsten Punkt bleiben, weil hier die meisten Probleme entstehen. Plugins sind das Einfallstor. 91 Prozent der 2025 gemeldeten Schwachstellen steckten in Plugins, nur sechs niedrigpriorisierte Lücken betrafen den Core selbst. WordPress selbst ist also erstaunlich sicher. Das Risiko sitzt in den Erweiterungen, die Sie installiert haben.

Das Tempo ist das Problem. 2026 erscheinen über 250 Plugin-Schwachstellen pro Woche, das sind rund 36 pro Tag. Und die Angreifer sind schnell: Die mediane Zeit von der Veröffentlichung einer Lücke bis zur Massenausnutzung lag 2025 bei fünf Stunden. Fünf Stunden. Wenn Sie einmal im Monat manuell updaten, sind Sie chronisch zu spät. Deshalb gilt für Sicherheitsupdates: sofort, nicht im nächsten Wartungsfenster. Wie eng dieses Zeitfenster wirklich ist, habe ich in einem eigenen Artikel zur 72-Stunden-Regel bei Sicherheitsupdates auseinandergenommen.

Der Haken: Updates können auch kaputt machen. Ich habe Seiten gesehen, bei denen ein automatisches Plugin-Update die Kasse im Shop lahmgelegt hat, ohne dass jemand es gemerkt hat, bis die Bestellungen ausblieben. Genau deshalb ist ein blinder Auto-Update-Schalter keine Wartung. Echte Wartung testet kritische Updates auf einer Staging-Kopie, spielt sie dann live ein und prüft danach die wichtigen Funktionen: Kontaktformular, Warenkorb, Login, Bezahlung.

Backups: ein Backup ist nur so gut wie sein Restore

Der zweithäufigste Fehler, den ich bei übernommenen Seiten finde, sind Backups, die es nominell gibt, aber die niemand je zurückgespielt hat. Ein Backup, das im Ernstfall nicht funktioniert, ist kein Backup, sondern eine Illusion von Sicherheit.

Der Standard heißt 3-2-1: drei Kopien Ihrer Daten, auf zwei verschiedenen Medien, davon eine offsite, also räumlich getrennt vom Live-Server. Warum offsite so wichtig ist: Wenn der Server kompromittiert wird oder ausfällt, ist ein Backup auf demselben Server genauso weg wie die Seite. In der Praxis bedeutet das für die meisten meiner Kunden ein tägliches Hoster-Backup für die schnelle Wiederherstellung plus ein wöchentliches Cloud-Backup an einem unabhängigen Ort.

Und dann der Teil, den fast alle vergessen: der Test-Restore. Ein Backup zählt erst, wenn jemand es regelmäßig in einer Staging-Umgebung zurückgespielt hat und bestätigt, dass die Seite läuft. Bei meinen Verträgen mache ich das quartalsweise. Es klingt langweilig, aber es ist der Unterschied zwischen "wir haben Backups" und "wir können Sie in einer Stunde wieder online haben".

Die Preisspannen 2026: was Sie wirklich zahlen

Jetzt zu den Zahlen, deretwegen Sie hier sind. Die Spannweite am Markt ist groß, von neun Euro bis über 300 Euro im Monat, was die Orientierung schwer macht. Aus meiner Erfahrung und im Abgleich mit dem deutschen Markt 2026 lassen sich drei realistische Stufen sauber abgrenzen.

Basis liegt bei 39 bis 59 Euro im Monat. Das ist die richtige Stufe für eine Visitenkartenseite, eine kleine Firmenpräsenz mit wenigen Plugins und ohne Shop. Drin sind regelmäßige Updates mit Kontrolle, tägliches Backup, Security-Monitoring und Support per E-Mail mit moderater Reaktionszeit.

Business liegt bei 79 bis 150 Euro. Das ist die Stufe für eine ernsthaft genutzte B2B-Website mit mehreren Plugins, Formularen, vielleicht einem Buchungssystem, die Anfragen generiert. Hier kommen häufigere Backups, Performance-Pflege, ein monatliches Reporting und ein engeres SLA dazu.

WooCommerce und komplexe Seiten liegen bei 249 bis 399 Euro. Sobald Geld über die Seite läuft, steigt das Risiko und damit der Aufwand. Ein Shop braucht Staging vor jedem Update, mehrfach tägliche Backups, engmaschiges Monitoring und ein Notfall-SLA, weil jede Stunde Ausfall direkt Umsatz kostet. Mehr zum Aufbau eines solchen Pakets habe ich in der Checkliste für Wartungspaket und Vertrag zusammengetragen.

Ein Wort zu den Billigangeboten unter 20 Euro: Das sind in der Regel automatisierte Update-Skripte ohne menschliche Kontrolle, ohne getestete Backups und ohne Haftung. Sie kaufen sich ein Häkchen auf der Liste, keine Absicherung. Wenn etwas schiefgeht, sind Sie allein.

Die Rechnung: ab wann sich Outsourcing lohnt

Hier ist der Hebel, mit dem Sie die Entscheidung in zwei Minuten treffen. Setzen Sie zwei Zahlen an: Ihren eigenen Stundenwert und den Aufwand, den Wartung pro Monat wirklich frisst.

Der realistische Aufwand für ordentliche Wartung einer Business-Seite liegt bei zwei bis vier Stunden im Monat, wenn Sie es selbst und richtig machen würden: Updates verfolgen, testen, Backups prüfen, Monitoring auswerten, bei Problemen reagieren. Nicht weil es viel ist, sondern weil es verteilt und unvorhersehbar kommt. Und es kommt immer dann, wenn Sie gerade keine Zeit haben.

Jetzt die einfache Regel: Ab einem internen Stundenwert von rund 40 Euro lohnt sich Outsourcing fast immer. Rechnen Sie nach. Bei 40 Euro pro Stunde und drei Stunden Aufwand sind das 120 Euro Ihrer eigenen Zeit pro Monat, die in einem Business-Vertrag für 79 bis 150 Euro vollständig aufgehen. Und Sie kaufen nicht nur die Zeit, sondern die Routine, die Werkzeuge und die Haftung von jemandem, der das jeden Tag macht. Wenn Sie als Geschäftsführer 80 oder 120 Euro die Stunde wert sind, ist die Frage schon entschieden. Die ausführliche Variante dieser Rechnung, inklusive der Selbst-gegen-Agentur-Abwägung, finden Sie im Artikel zur Stundenwert-Rechnung Wartung selbst oder Agentur.

Was ein Ausfall wirklich kostet

Die Gegenrechnung zum Wartungspreis ist der Schaden, den ein Ausfall anrichtet. Und der wird fast immer unterschätzt, weil er unsichtbar bleibt, bis er passiert.

Bei einem Online-Shop ist die Rechnung brutal direkt. Ein Shop, der 10.000 Euro Umsatz pro Stunde macht, verliert bei einem zweistündigen Ausfall sofort 20.000 Euro, plus die Reparaturkosten, plus die Kunden, die nicht wiederkommen. Branchenübergreifend liegen die Downtime-Kosten je nach Unternehmensgröße zwischen Hunderten und Hunderttausenden Euro pro Stunde. Selbst kleine Shops spüren jeden abgebrochenen Kaufvorgang.

Bei einer reinen Dienstleister-Website wirkt der Schaden anders, ist aber nicht kleiner. Eine einzige verpasste, qualifizierte Anfrage kann einen Ausfall teurer machen als mehrere Jahre Hosting. Und bei Landingpages mit bezahltem Traffic läuft das Anzeigenbudget weiter, egal ob die Seite funktioniert. Sie zahlen für Klicks, die ins Leere laufen. Genau diese Szenarien rechtfertigen den Wartungsvertrag: nicht der Normalbetrieb, sondern der eine Tag, an dem es brennt.

Security-Monitoring und Uptime: das stille Frühwarnsystem

Zwei der sieben Leistungen arbeiten im Hintergrund, und gerade deshalb übersieht man sie leicht. Security-Monitoring scannt Ihre Seite auf Malware, überwacht verdächtige Login-Versuche und kann mit Firewall-Regeln bekannte Angriffsmuster blockieren, bevor sie greifen. Das ist wichtig, weil bösartige Bots rund um die Uhr Millionen Seiten nach genau den Lücken absuchen, die ein veraltetes Plugin offen lässt.

Uptime-Überwachung prüft im Minutentakt, ob Ihre Seite erreichbar ist. Fällt sie aus, geht eine Meldung raus, idealerweise an Ihren Dienstleister, nicht an Sie. Der Unterschied: Bei guter Wartung erfahren Sie von einem Ausfall, wenn er schon behoben wird. Ohne Wartung erfahren Sie davon, wenn ein verärgerter Kunde anruft, weil er seit zwei Stunden nicht bestellen kann.

Diese beiden Leistungen verwandeln Wartung von Reaktion in Vorsorge. Sie warten nicht, bis etwas kaputt ist, sondern fangen es ab. In meinem eigenen Modell läuft das Monitoring auf einer zentralen Plattform über alle betreuten Seiten, sodass ein Sicherheitsalarm bei einem weit verbreiteten Plugin sofort alle betroffenen Kunden erreicht. Das ist ein Vorteil, den Sie als Einzelbetreiber Ihrer eigenen Seite niemals haben.

Reporting und SLA: woran Sie Seriosität erkennen

Die letzten beiden Leistungen sind die, an denen sich seriöse Anbieter von Marketing-Verpackung trennen. Ein monatliches Reporting im Klartext zeigt Ihnen, was tatsächlich passiert ist: welche Updates eingespielt wurden, ob es Sicherheitsvorfälle gab, wie die Ladezeit steht, ob Backups liefen und getestet wurden. Ohne Reporting zahlen Sie für eine Blackbox und müssen darauf vertrauen, dass im Hintergrund überhaupt etwas passiert.

Das SLA, das Service Level Agreement, ist Ihre Versicherung. Es legt schriftlich fest, wie schnell der Anbieter reagiert. Gute Verträge trennen zwei Fälle: normale Anfragen, oft mit 24 Stunden Reaktionszeit, und Notfälle wie ein Totalausfall, oft mit vier Stunden oder weniger. Achten Sie zusätzlich darauf, in welchen Zeiten das SLA gilt. "Vier Stunden Reaktionszeit" nützt wenig, wenn das nur Montag bis Freitag von neun bis siebzehn Uhr gilt und Ihr Shop am Samstagabend ausfällt.

Mein Rat: Lassen Sie sich das SLA schriftlich geben und lesen Sie das Kleingedruckte. Ein Anbieter, der hier konkret wird, weiß was er tut. Wer ausweicht und von "schneller Hilfe" schwärmt, ohne Zahlen zu nennen, verkauft Ihnen eine Absichtserklärung.

Wartung und Recht: warum eine aktuelle Seite leichter rechtssicher wird

Wartung ist kein Rechtsdienst, und ich bin Entwickler, nicht Anwalt. Aber die Gesetzeslage ist 2026 ein guter Grund, die Seite technisch in Schuss zu halten, weil rechtliche Anpassungen auf einer veralteten Installation zur Tortur werden.

Ein paar Beispiele aus dem deutschen Markt. Das Barrierefreiheitsstärkungsgesetz gilt seit dem 28. Juni 2025 für viele Angebote an Verbraucher, wobei Kleinstunternehmen mit weniger als zehn Beschäftigten und höchstens zwei Millionen Euro Jahresumsatz bei Dienstleistungen ausgenommen sein können. Die Widerrufsbutton-Pflicht für Online-Shops greift ab dem 19. Juni 2026. Die GPSR, die Produktsicherheitsverordnung, gilt seit dem 19. Februar 2026 voll. Und auf der Datenschutzseite heißt das frühere TTDSG seit Mai 2024 TDDDG, während das DDG das alte TMG abgelöst hat.

Was das mit Wartung zu tun hat: Jede dieser Anpassungen, ob ein neuer Button im Checkout, eine barrierefreie Navigation oder ein aktualisierter Cookie-Hinweis, lässt sich auf einer gepflegten, aktuellen Seite sauber umsetzen. Auf einer Installation, die zwei Jahre kein Update gesehen hat und auf veralteten Plugins läuft, wird daraus ein Risiko: Anpassungen brechen andere Teile, oder die nötigen Erweiterungen laufen gar nicht mehr. Die Details prüfen Sie bitte mit Ihrem Anwalt oder Steuerberater, technisch sorge ich dafür, dass die Seite den Boden dafür bietet.

Mein eigenes Wartungsmodell aus 120 Projekten

Damit Sie ein Gefühl für die Praxis bekommen, hier wie ich es konkret mache. Über mittlerweile mehr als 120 Projekte in Hamburg, Poznan und für KMU in ganz Deutschland habe ich ein Modell geformt, das auf drei Prinzipien beruht: testen statt hoffen, offsite statt lokal, melden statt verstecken.

Konkret heißt das: Sicherheitsupdates spiele ich innerhalb von Stunden ein, größere Funktionsupdates im Wartungsfenster, immer mit Backup davor und Funktionskontrolle danach. Bei Shops läuft jedes Update zuerst auf einer Staging-Kopie. Backups liegen offsite und werden quartalsweise per Restore getestet. Monitoring läuft zentral, sodass ein Alarm bei einem verbreiteten Plugin alle betroffenen Kunden gleichzeitig erreicht. Und jeder Kunde bekommt monatlich einen Bericht im Klartext, kein Dashboard voller Zahlen, die niemand liest.

Ein Beispiel, das hängengeblieben ist: Ein Kunde mit einem WooCommerce-Shop kam zu mir, nachdem ein automatisches Plugin-Update bei seinem alten Anbieter den Checkout zerlegt hatte, drei Tage lang, ohne dass es jemand bemerkte. Drei Tage kein Verkauf, weil niemand nach dem Update die Kasse getestet hatte. Genau das ist der Unterschied zwischen einem Update-Skript und Wartung mit Verstand. Wenn Sie wissen wollen, ob Ihre Seite reif für eine solche Betreuung ist, schauen Sie bei meinen Leistungen rund um Websites vorbei oder schreiben Sie mir direkt über die Kontaktseite.

Häufige Fehler, die ich bei übernommenen Seiten sehe

Zum Abschluss die Muster, die mir immer wieder begegnen, wenn ich eine vernachlässigte Seite übernehme. Sie sind so verlässlich, dass ich sie fast vorhersagen kann.

Der erste Fehler ist die Annahme, dass eine Seite, die läuft, auch sicher ist. Sie läuft, weil noch niemand die offene Lücke ausgenutzt hat, nicht weil keine da wäre. Der zweite ist das Backup, das nie getestet wurde und im Ernstfall einen Fehler wirft. Der dritte sind zwanzig installierte Plugins, von denen die Hälfte seit Jahren nicht mehr gebraucht und nur deshalb gefährlich ist, weil sie veraltet im System schlummert. Jedes ungenutzte Plugin ist eine Angriffsfläche, die Sie ohne Gegenwert tragen.

Der vierte Fehler ist das Sparen am falschen Ende: ein Billigvertrag, der nur Auto-Updates dreht, während die Seite Umsatz macht. Und der fünfte, vielleicht teuerste, ist das Warten bis zum Schaden. Wartung ist Vorsorge, kein Reparaturdienst. Wer erst anruft, wenn die Seite schon down ist, zahlt die Notfallrechnung plus den Umsatzausfall plus die Nerven. Ein guter Wartungsvertrag kostet im Jahr oft weniger als ein einziger ernster Vorfall ohne Vertrag.

Unterm Strich: WordPress Wartung als Service ist 2026 keine Frage von ob, sondern von welcher Stufe. Die Preise sind transparent, die Leistungen klar definierbar, und die Rechnung geht in fast jedem Fall zu Ihren Gunsten auf, sobald Ihre Zeit etwas wert ist. Prüfen Sie ein Angebot an den sieben Leistungen, fragen Sie nach getesteten Backups und einem schriftlichen SLA, und rechnen Sie mit Ihrem eigenen Stundenwert. Dann wissen Sie, ob Sie weiter selbst basteln oder die Sache jemandem übergeben, der sie jeden Tag macht.

Häufige Fragen

Was kostet WordPress Wartung als Service 2026 im Monat?

Realistisch liegen die Preise zwischen 39 und 399 Euro pro Monat. Eine einfache Visitenkartenseite läuft mit einem Basispaket für 39 bis 59 Euro. Eine betreute Business-Website mit mehreren Plugins, Formularen und Reporting kostet 79 bis 150 Euro. Ein WooCommerce-Shop oder eine komplexe Seite mit vielen Erweiterungen, Staging und engem SLA liegt bei 249 bis 399 Euro. Angebote unter 20 Euro sind in der Regel reine Automatik-Updates ohne Kontrolle und ohne Haftung, also keine echte Wartung.

Lohnt sich ein Wartungsvertrag für eine kleine Website überhaupt?

Meistens ja. Die Rechnung läuft über Ihren eigenen Stundenwert. Liegt der bei 40 Euro oder mehr, decken schon zwei bis vier eingesparte Stunden im Monat den Vertrag. Ein einziger ungepatchter Plugin-Fehler kann Sie einen ganzen Tag Wiederherstellung kosten, und bei einer Lead-Seite reicht eine verpasste qualifizierte Anfrage, um den Ausfall teurer als Jahre Wartung zu machen.

Was passiert, wenn ich WordPress gar nicht warte?

WordPress-Websites werden im Schnitt alle 22 Minuten angegriffen, und 91 Prozent der 2025 gemeldeten Schwachstellen steckten in Plugins. Bots scannen rund um die Uhr nach bekannten Lücken. Ohne regelmäßige Updates ist es keine Frage ob, sondern wann ein veraltetes Plugin ausgenutzt wird. Dazu kommen langsam schleichende Probleme: kaputte Formulare, brüchige Layouts nach PHP-Updates, sinkende Ladezeiten.

Sind automatische Updates nicht genug?

Nein, automatische Updates sind nur die halbe Miete. Sie schließen Lücken schnell, können aber auch die Seite zerlegen, wenn zwei Plugins nach dem Update nicht mehr zusammenspielen. Genau hier trennt sich Auto-Update von echter Wartung: Eine seriöse Wartung testet kritische Updates auf einer Staging-Kopie, prüft danach die Live-Seite und kann notfalls per Backup zurückrollen. Auto-Update allein merkt nicht, dass die Kasse im Shop kaputt ist.

Wie oft sollte WordPress aktualisiert werden?

Sicherheitsupdates gehören sofort eingespielt, im Schnitt heißt das wöchentlich. 2026 erscheinen über 250 Plugin-Schwachstellen pro Woche, also rund 36 pro Tag. Bei einer kritischen Lücke zählt jede Stunde, weil die mediane Zeit bis zur Massenausnutzung 2025 bei nur fünf Stunden lag. Funktionsupdates ohne Sicherheitsbezug kann man bündeln und im Wartungsfenster einspielen, immer mit Backup davor.

Was ist ein SLA und warum ist es wichtig?

SLA steht für Service Level Agreement und legt fest, wie schnell Ihr Dienstleister reagiert. Gute Verträge trennen normale Anfragen, oft 24 Stunden, von Notfällen wie einem Totalausfall, oft 4 Stunden oder weniger. Ohne SLA haben Sie nur eine Absichtserklärung. Mit SLA wissen Sie genau, wann jemand abnimmt, wenn der Shop am Samstagabend down ist. Achten Sie auch auf die Geschäftszeiten, in denen das SLA gilt.

Brauche ich Wartung auch wegen der neuen Gesetze wie BFSG?

Wartung ersetzt keine Rechtsberatung, aber sie hält Ihre Seite technisch in dem Zustand, der für rechtssichere Anpassungen nötig ist. Das Barrierefreiheitsstärkungsgesetz gilt seit dem 28. Juni 2025 für viele B2C-Angebote, Kleinstunternehmen können ausgenommen sein. Auch die Widerrufsbutton-Pflicht ab dem 19. Juni 2026 betrifft viele Shops. Eine gepflegte, aktuelle Seite lässt sich für solche Pflichten viel einfacher anpassen als eine veraltete Installation.

Was unterscheidet einen seriösen Anbieter von einem Billigpaket?

Vier Dinge: getestete Backups statt nur erzeugter Backups, Staging vor Live-Updates, ein schriftliches SLA mit Reaktionszeiten und ein monatliches Reporting, das zeigt was gemacht wurde. Billigpakete erzeugen oft nur ein Backup und drehen den Auto-Update-Schalter an. Fragen Sie konkret: Wird ein Restore getestet? Wo liegen die Backups? Was passiert bei einem Notfall um 22 Uhr? Die Antworten verraten den Anbieter.