Eine WordPress-Website besteht aus PHP, JavaScript und einer Datenbank, und alles darum herum ändert sich laufend: neue PHP-Versionen, neue Plugin-Releases, neue Sicherheitslücken in verbreiteten Plugins. Eine Website, die ein Jahr lang niemand anfasst, hat in der Regel mehrere bekannte Schwachstellen und mindestens ein Plugin, das nicht mehr gepflegt wird.
Ich bin Mariusz Szatkowski und arbeite seit 2006 mit WordPress. Die Wartung übernehme ich allein, aus Gdynia in Polen. Dieser Leitfaden beschreibt, was Wartung in der Praxis umfasst und woran Sie erkennen, ob jemand sie sorgfältig macht.
WordPress-Wartung selbst machen oder auslagern?
| Bereich | Ohne festen Ablauf | Mit festem Ablauf |
|---|---|---|
| Updates | ”Alle auswählen” im Dashboard der Live-Seite, weißer Bildschirm am Freitagabend | Zuerst Staging-Kopie und visueller Vergleich, Sicherheitspatches sofort, der Rest mit 24 bis 48 Stunden Abstand |
| Backups | Nur die Backups des Hosters, die mit dem Account verschwinden, wenn er kompromittiert wird | Kopien außerhalb des Servers, in EU-Ländern, mindestens 30 Tage, mit Wiederherstellungstest |
| Sicherheit | Eine Infektion über ein verwaistes Plugin bleibt wochenlang unbemerkt | Dateiintegritätsprüfung und Uptime-Monitoring alle 1 bis 5 Minuten |
| Performance | Reparatur erst, wenn die Seite schon langsam ist | Datenbankbereinigung und Messung der Core Web Vitals jeden Monat |
Wie aktualisiert man WordPress sicher?
Die meisten Ausfälle, die ich repariere, gehen auf ungeprüfte Updates zurück. Ich gehe in drei Schritten vor:
- Staging: Jedes Update landet zuerst auf einer Kopie der Website.
- Visueller Vergleich: Screenshots der wichtigsten Seiten vor und nach dem Update zeigen verschobene Layouts, die in keinem Fehlerprotokoll auftauchen.
- Reihenfolge: Sicherheitspatches spiele ich sofort ein, Funktionsupdates warten 24 bis 48 Stunden, bis andere Nutzer offensichtliche Fehler gemeldet haben.
Vor dem Update prüfe ich die Kompatibilität: Läuft Ihr Theme unter PHP 8.4, unterstützt die WooCommerce-Erweiterung die aktuelle Core-Version? Den Leistungsumfang beschreibt die Seite zur WordPress-Wartung.
WordPress-Backups nach der 3-2-1-Regel
Backups beim Hoster reichen nicht. Wird der Hosting-Account gesperrt oder übernommen, sind Website und Backups gleichzeitig weg. Die 3-2-1-Regel:
- 3 Kopien der Daten,
- 2 verschiedene Speichermedien,
- 1 Kopie außerhalb des Webservers.
Meine Backups liegen außerhalb des Servers in EU-Ländern und werden mindestens 30 Tage aufbewahrt. Ein Backup zählt erst, wenn es sich wiederherstellen lässt, deshalb teste ich die Wiederherstellung regelmäßig auf einer getrennten Kopie.
Wie überwacht man die WordPress-Sicherheit?
- Dateiintegrität: Abgleich von Core-, Plugin- und Theme-Dateien mit den Originalversionen, um unbefugte Änderungen zu finden, die typische Spur von Schadcode.
- Uptime-Monitoring: Prüfung alle 1 bis 5 Minuten, ob die Website antwortet. Fällt sie aus, bekomme ich eine Meldung.
- Firewall (WAF): Regeln in Cloudflare oder auf Serverebene, die bösartige Bots abfangen, bevor sie WordPress erreichen.
Wie optimiert man die WordPress-Performance?
Schnellere Seiten erreichen bessere Core Web Vitals, die Google als Signal für die Seitenerfahrung verwendet. Zur Wartung gehören:
- Datenbankbereinigung: Revisionen, Spam-Kommentare, abgelaufene Transients,
- Blick auf die Serverressourcen, damit die Seite Lastspitzen übersteht,
- automatische Umwandlung neuer Uploads in AVIF oder WebP.
Die Core Web Vitals messe ich an echten Besuchen Ihrer Website, soweit CrUX-Daten vorliegen, und arbeite mit diesen Werten statt mit einem einzelnen Lighthouse-Lauf.
Wie läuft die Fehlerbehebung ab?
Einen 24/7-Bereitschaftsdienst und garantierte Reaktionszeiten biete ich nicht an. Ich lege vorher fest, welche Ereignisse kritisch sind: Ein Ausfall der Zahlung, ein gesperrter Login und ein kosmetischer Fehler haben unterschiedliche Priorität.
Bevor ich etwas ändere, sichere ich einen Wiederherstellungspunkt, stelle den Fehler wenn möglich außerhalb der Live-Seite nach und grenze die Ursache ein: Hosting, Core, Theme, Plugin, eigener Code, Cache, DNS oder ein externer Dienst. Nach der Reparatur prüfe ich den ursprünglichen Ablauf und die angrenzenden Funktionen, bei einem Shop also Warenkorb, Zahlung, Bestätigung, E-Mail und Lagerbestand. Ursache, Änderung und Testergebnis halte ich schriftlich fest.
DSGVO und Wartung
Art. 32 DSGVO verlangt Sicherheitsmaßnahmen, die dem Risiko angemessen sind. Für eine WordPress-Website heißt das konkret: aktuelle Software, verschlüsselte Backups in der EU, TLS und Zwei-Faktor-Anmeldung für Administratoren. Bevor ich Zugang zu einer Website mit personenbezogenen Daten bekomme, schließen wir einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Unterauftragsverarbeiter setze ich keine ein.
Was kostet es, WordPress selbst zu warten?
Rechnen Sie die tatsächlichen Kosten durch:
- Zeit: 2 bis 4 Stunden im Monat allein für Updates und Backups.
- Risiko: Was tun Sie, wenn ein Update die Kasse im Shop lahmlegt und Sie ein PHP-Fehlerprotokoll lesen müssen?
- Opportunitätskosten: Jede Stunde mit Plugins fehlt Ihnen im eigenen Geschäft.
Wie arbeite ich zusammen?
Die Kommunikation läuft schriftlich per E-Mail, in Dokumenten und im Repository, so bleiben Entscheidungen später nachlesbar. Wenn Sie ein Telefonat brauchen, sagen Sie es mir. Der Vertrag folgt polnischem Recht, die Rechnung läuft im Reverse-Charge-Verfahren mit meiner EU-USt-IdNr. PL7393037445. Die Arbeit beginnt nach Eingang der ersten Zahlung, im ersten Monat mit einer Bestandsaufnahme Ihrer Installation.
