WordPress-Wartung: was wirklich dazugehört

Eine WordPress-Website ist kein Prospekt, der einmal gedruckt wird und dann fertig ist. Sie besteht aus WordPress selbst, einem Theme für das Aussehen, meist zehn bis dreißig Plugins für Formulare, Galerien oder Buchungen, und sie läuft auf einem Server mit einer bestimmten PHP-Version. Jeder dieser Teile bekommt laufend neue Versionen, oft wegen Sicherheitslücken. Wird nichts davon gepflegt, altert die Website, auch wenn niemand sie anfasst.

„Wartung“ heißt dabei oft nur: ab und zu auf „Aktualisieren“ klicken. Das ist ein Teil, aber nicht der wichtigste. Hier steht, was wirklich dazugehört, wie oft, und was Sie davon gut selbst erledigen können.

Die sieben Aufgaben der WordPress-Wartung

1. Updates für WordPress, Plugins und Theme

Sicherheitslücken in WordPress-Websites stecken fast nie in WordPress selbst, sondern in Plugins und Themes. Allein 2025 wurden über 11.000 neue Lücken im WordPress-Umfeld bekannt. Viele Angriffe nutzen Lücken, für die es längst ein Update gibt. Updates sind deshalb die Grundlage. Aber: Jedes Update kann auch etwas verändern. Ein Formular sendet nicht mehr, ein Menü verrutscht, eine Seite zeigt einen Fehler.

Gute Praxis ist deshalb:

• vor jedem Update eine aktuelle Sicherung,
• Updates nach Möglichkeit zuerst in einer Kopie der Website einspielen (Testkopie, oft „Staging“ genannt),
• danach die wichtigsten Seiten ansehen: Startseite, Kontaktformular, alles, womit Sie Geld verdienen,
• wenn etwas nicht stimmt, zurück auf den Stand davor.

2. Sicherung, und zwar außer Haus

Eine Sicherung, die auf demselben Server liegt wie die Website, hilft bei einem Bedienfehler, aber nicht, wenn der Server ausfällt oder Angreifer Zugriff haben. Mindestens eine Kopie gehört an einen zweiten Ort. Gesichert werden müssen die Dateien (vor allem der Ordner mit Bildern, Theme und Plugins) und die Datenbank, in der Texte, Seiten und Einstellungen stehen. Wie oft, hängt davon ab, wie oft sich etwas ändert: Für eine Firmenwebsite reicht meist täglich, für einen Shop mit Bestellungen öfter.

3. Prüfen, ob sich die Sicherung zurückspielen lässt

Diese Aufgabe fehlt in den meisten Wartungsverträgen, und sie ist die wichtigste. Ob eine Sicherung etwas taugt, zeigt sich erst beim Zurückspielen. Unvollständige Sicherungen, abgebrochene Datenbank-Exporte oder fehlende Zugangsdaten fallen sonst erst im Ernstfall auf. Wie Sie das prüfen, steht im Ratgeber Backup ist nicht gleich Wiederherstellung.

4. Überwachung

Eine Website kann ausfallen, ohne dass Sie es merken, etwa am Wochenende. Eine einfache Überwachung prüft alle paar Minuten, ob die Seite antwortet, und meldet sich, wenn nicht. Dazu gehören:

• Erreichbarkeit der Website,
• Ablauf des SSL-Zertifikats (sonst warnt der Browser Ihre Besucher),
• Ablauf der Domain (verfallene Domains sind schnell weg),
• unerwartete Änderungen an WordPress-Dateien, ein häufiges Zeichen für einen Einbruch.

5. Die Server-Umgebung: PHP und Datenbank

WordPress läuft auf PHP. Auch PHP-Versionen haben ein Ablaufdatum: Danach gibt es keine Sicherheitsupdates mehr. Für PHP 8.2 enden die Sicherheitsupdates am 31. Dezember 2026. Viele ältere Websites laufen noch auf deutlich älteren Versionen, weil ein Plugin oder Theme mit einer neueren nicht zurechtkommt. Die Umstellung braucht deshalb dieselbe Sorgfalt wie ein Update: erst in einer Kopie testen, dann umstellen. Welche PHP-Version Ihre Website nutzt, sehen Sie in WordPress unter Werkzeuge → Website-Zustand → Bericht, Abschnitt „Server“.

6. Aufräumen

Mit den Jahren sammeln sich deaktivierte Plugins, nicht genutzte Themes und alte Benutzerkonten an. Jedes davon ist eine mögliche Angriffsfläche, auch wenn es ausgeschaltet ist. Zur Wartung gehört deshalb, regelmäßig zu entfernen, was niemand mehr braucht, und auf Plugins zu achten, die vom Hersteller nicht mehr gepflegt werden. Im WordPress-Verzeichnis steht bei jedem Plugin, wann es zuletzt aktualisiert wurde; ein Stand von vor zwei Jahren ist ein Warnzeichen.

7. Zugänge und Verantwortung

Wer hat ein Administratorkonto? Weiß jemand die Zugangsdaten zum Hosting, zur Domain und zur Datenbank? Bei vielen Betrieben liegen diese Daten beim früheren Webdesigner oder bei einem Mitarbeiter, der nicht mehr da ist. Wartung heißt auch: Es gibt eine aktuelle Liste der Zugänge, jedes Konto gehört einer bestimmten Person, Administratoren haben sichere Passwörter, am besten mit zweitem Faktor, und Sie als Inhaber kommen im Notfall selbst an alles heran.

Wie oft ist was zu tun?

• Laufend, automatisch: Sicherung, Überwachung.
• Wöchentlich: nach Updates sehen und sie einspielen. Bei Sicherheitslücken, die bereits ausgenutzt werden, auch sofort.
• Monatlich: eine Sicherung probeweise zurückspielen; kurz prüfen, ob Formulare noch ankommen.
• Zweimal im Jahr: Aufräumen, Zugänge durchsehen, PHP-Version prüfen.

Mehr ist für eine typische Firmenwebsite nicht nötig. Weniger aber auch nicht, wenn die Website für Ihren Betrieb eine Rolle spielt.

Was Sie selbst machen können

Vieles davon ist keine Hexerei. Wenn Sie sich ein bis zwei Stunden im Monat nehmen, können Sie Folgendes gut selbst erledigen:

• Updates einspielen, wenn Ihr Hoster vorher automatisch sichert und Sie wissen, wie Sie zurückkommen,
• nicht genutzte Plugins und Themes löschen,
• Benutzerkonten durchsehen und Passwörter erneuern,
• einen kostenlosen Überwachungsdienst für die Erreichbarkeit einrichten,
• nach jedem größeren Update das Kontaktformular selbst ausprobieren.

Schwieriger wird es bei der Testkopie, bei der Sicherung außer Haus und vor allem beim Zurückspielen zur Probe. Dafür braucht es Zugang zum Server und etwas Übung. Hier lohnt sich Hilfe, oder ein Hoster, der das von sich aus anbietet.

Woran Sie ein gutes Wartungsangebot erkennen

Ob Sie die Wartung Ihrem Webdesigner, Ihrem Hoster oder einem anderen Anbieter übergeben: Diese Fragen helfen beim Vergleich.

1. Werden Updates vorher getestet? Oder direkt auf der echten Website eingespielt?
2. Wo liegen die Sicherungen? Auf demselben Server oder an einem zweiten Ort? Wie lange werden sie aufbewahrt?
3. Wird das Zurückspielen geprüft? Wie oft, und sehen Sie das Ergebnis?
4. Was passiert, wenn ein Update etwas kaputt macht? Ist die Reparatur dabei, oder wird sie extra verrechnet, und zu welchem Preis?
5. Bekommen Sie einen Bericht? Welche Updates, wann gesichert, wie verfügbar war die Website.
6. Was ist nicht dabei? Inhaltsänderungen, neue Seiten und Bilder sind meist ein eigenes Thema. Gut ist, wenn das klar dasteht.
7. Wie lange binden Sie sich? Monatlich kündbar oder ein Jahr und länger?

In Österreich kosten Wartungsverträge für WordPress grob zwischen 20 und 150 Euro im Monat. Der Unterschied liegt selten in den Updates, sondern in den Punkten 1, 3 und 4.

Kurz zusammengefasst

• Updates sind nötig, aber nur mit Sicherung davor und Prüfung danach.
• Eine Sicherung ist erst etwas wert, wenn das Zurückspielen geprüft ist.
• Überwachung, PHP-Version, Aufräumen und klare Zugänge gehören dazu.
• Vieles können Sie selbst, die Testkopie und die Probe-Wiederherstellung sind der schwierige Teil.

Sie möchten sich darum nicht selbst kümmern? Mit Betreut spielen wir Updates zuerst in einer Kopie ein, sichern täglich an einem zweiten Standort und spielen die Sicherung jeden Monat probeweise zurück. Das Ergebnis steht in Ihrem Monatsbericht. Und wenn es schon brennt: Was zu tun ist, wenn Ihre WordPress-Seite gehackt wurde.