WordPress Wartung & Support in Augsburg

Laufende WordPress-Wartung für Unternehmen in Augsburg und der Region Schwaben: getestete Updates, tägliche Backups, Sicherheits- und Performance-Monitoring sowie Support nach klar dokumentiertem Service-Level. Diese Seite beschreibt, wie der Wartungsbetrieb für eine bestehende WordPress-Installation abläuft, und worauf es im deutschen Rechts- und E-Commerce-Umfeld konkret ankommt.

#WordPress-Wartung und Support in Augsburg

Augsburg ist eine der ältesten Städte Deutschlands und zugleich ein technischer Industriestandort: Robotik und Automatisierung bei KUKA, Maschinen- und Energietechnik bei MAN Energy Solutions, IT-Dienstleistung rund um Fujitsu sowie ein wachsender Mittelstand im Augsburg Innovationspark und im Technologiezentrum Augsburg (TZA). Die regionale Wirtschaft wird gern in vier Kompetenzfeldern beschrieben: Faserverbund, Mechatronik und Automation, IT sowie Umwelt. Wer in diesem Umfeld eine WordPress-Seite betreibt, sei es ein Maschinenbau-Zulieferer mit Produktkatalog, eine Kanzlei am Rathausplatz oder ein Handwerksbetrieb in Lechhausen, braucht weniger einen Relaunch als verlässlichen, dokumentierten Wartungsbetrieb.

Ich arbeite mit Teams, die einen technischen Partner suchen, der Updates, Sicherheit und Performance zusammendenkt, statt jeden Vorfall einzeln zu eskalieren. Der Service ist remote organisiert, mit schriftlichem Ticket-Kanal und monatlichem Statusbericht, und an die rechtlichen Erwartungen des deutschen Marktes angepasst.

#Was im Wartungsbetrieb enthalten ist

• Getestete Updates von WordPress-Core, Plugins und Themes, zuerst im Testumgebung gegen Regressionen geprüft, dann mit dokumentiertem Rückrollpfad in die Produktion überführt
• Tägliche Backups mit 30 Tagen Aufbewahrung an einem getrennten Speicherort, mit regelmäßig getesteter Wiederherstellung, damit ein Backup im Ernstfall nicht zum ersten Mal angefasst wird
• Sicherheitsmonitoring mit Malware-Scanning, Dateiintegritätsprüfung, Überwachung von Login-Versuchen und Web Application Firewall, abgestimmt auf typische Angriffsmuster gegen WordPress-Logins und veraltete Plugins
• Uptime- und PageSpeed-Monitoring mit Alarmierung, damit ein Ausfall vor dem Kunden bemerkt wird und nicht erst, wenn ein Interessent das Kontaktformular nicht erreicht
• Ein definiertes Kontingent kleinerer Entwicklungsänderungen pro Monat für Anpassungen, die ohne separates Projekt erledigt werden können
• Priority Support mit dokumentierter Reaktionszeit an Werktagen und auditierbarer Vorfalldokumentation

#Warum der deutsche Rechtsrahmen die Wartung prägt

In Deutschland ist Website-Wartung nie nur technisch. Mehrere rechtliche Anforderungen wirken direkt in den laufenden Betrieb hinein, und genau hier scheitern viele vernachlässigte WordPress-Seiten:

• Impressumspflicht (§ 5 DDG): Ein vollständiges, erreichbares Impressum gehört auf jede geschäftliche Seite. Bei Wartungsübernahmen prüfe ich, ob das Impressum noch korrekt verlinkt ist, etwa nachdem ein Theme-Update das Footer-Menü überschrieben hat.
• DSGVO und Einwilligung: Cookie-Banner, eingebundene Schriftarten, Kartendienste und Tracking müssen einwilligungskonform geladen werden. Ein häufiger Befund im Onboarding ist ein Consent-Tool, das Skripte zwar protokolliert, aber nicht blockiert, sodass Google Fonts oder Analytics bereits vor der Zustimmung laden.
• Widerrufsrecht und Pflichtangaben im Shop: Bei WooCommerce-Seiten gehören Widerrufsbelehrung, Preisangaben inklusive Grundpreis und die Bestätigungsschritte im Checkout zum wartungsrelevanten Bereich, weil ein Plugin-Update den Checkout-Flow verändern kann.
• Trusted Shops und Zahlungsanbieter: Viele Augsburger Händler setzen auf das Trusted-Shops-Siegel sowie auf Klarna, PayPal, SEPA-Lastschrift und giropay-Nachfolger. Deren Plugins und Schnittstellen sind ein klassischer Konfliktpunkt nach Core-Updates und stehen im getesteten Update-Zyklus deshalb weit oben.

So bleibt die Seite nicht nur technisch lauffähig, sondern auch abmahnsicher in einem Markt, in dem fehlerhafte Pflichtangaben reale Kosten verursachen.

#Wartung nach Branchenprofil in Augsburg

Die Stadt hat keine einheitliche Kundschaft, und das schlägt sich im Wartungsplan nieder. Ein paar typische Profile aus dem Augsburger Umfeld:

• Industrie und Maschinenbau im Umfeld von KUKA, MAN und den Faserverbund-Clustern: Hier dominieren Produktkataloge, PDF-Datenblätter und Karriereseiten. Wartungsrelevant sind stabile Formulare (Bewerbung, Anfrage), funktionierende Downloads und eine Suche, die auch bei hunderten Produktseiten schnell bleibt. Sicherheit und Verfügbarkeit wiegen schwerer als gestalterische Experimente.
• Kanzleien, Steuerberater und Praxen in der Innenstadt: Pflichtangaben, Datenschutzerklärung und ein einwilligungskonformes Terminbuchungs- oder Kontaktformular stehen im Vordergrund. Solche Seiten verarbeiten sensible Anfragen, weshalb Verschlüsselung, Zugriffsrechte und ein sauberer AVV mit dem Hoster früh geprüft werden.
• Handel und Gastronomie in Stadtteilen wie Lechhausen, Pfersee oder Göggingen: lokale Sichtbarkeit, mobile Geschwindigkeit und im Shop-Fall ein verlässlicher Checkout. Genau hier zahlt sich getestetes Update-Management aus, weil ein gebrochener Bestellvorgang am Wochenende direkt Umsatz kostet.

Der Wartungsumfang bleibt derselbe, die Gewichtung verschiebt sich je nach Profil. Diese Einordnung passiert im Onboarding und steuert, welche Aufgaben in den ersten Wochen Vorrang haben.

#Zahlung und Versand im deutschen Onlinehandel

Bei WooCommerce-Seiten ist die Wartung eng mit den deutschen Zahlungs- und Versandgewohnheiten verknüpft. Beliebte Bezahlmethoden sind Kauf auf Rechnung und Ratenzahlung über Klarna, PayPal, SEPA-Lastschrift sowie Kreditkarte; die giropay-Marke wurde inzwischen eingestellt, weshalb betroffene Shops im Wartungsbetrieb auf aktive Alternativen umgestellt werden müssen. Versandseitig dominieren DHL, DPD, GLS und Hermes, oft mit Packstation-Anbindung. Jedes dieser Plugins ist eine externe Abhängigkeit, die nach einem Core-Update brechen kann. Deshalb gehören Bestellabschluss, Versandkostenberechnung und die Rückgabe-/Widerrufsstrecke nach jedem getesteten Update zur Funktionsprüfung im Testumgebung, bevor die Änderung live geht.

#Onboarding einer bestehenden Seite

Der Einstieg beginnt mit einem Audit der vorhandenen Installation: Plugin-Inventar, Hosting-Setup, PHP-Version, Backup-Status, Sicherheitslage und eine Performance-Baseline per Lighthouse. Bei übernommenen Projekten ist der erste Monat erfahrungsgemäß mehr Sanierung als Wartung, etwa wenn ein veraltetes PHP, ein verwundbares Page-Builder-Add-on oder ein nie getestetes Backup auftaucht.

Aus diesem Befund entsteht eine kurze Behebungs-Liste mit Prioritäten, danach werden Monitoring und der erste getestete Update-Zyklus eingerichtet. Erst dann geht der Betrieb in die feste monatliche Kadenz über.

#Typische Probleme, mit denen Unternehmen in Augsburg kommen

• Gehackte oder mit Spam verseuchte Seiten: forensische Analyse, Entfernung des Schadcodes, Schließen der Schwachstelle, Zurücksetzen kompromittierter Zugangsdaten und ein Antrag auf erneute Prüfung, falls Google die Seite bereits markiert hat. Im Anschluss härte ich Login, Datei-Rechte und Plugin-Auswahl.
• Plugin-Konflikte nach Updates: Gerade bei Shops mit Klarna- oder PayPal-Anbindung und einem Page-Builder bricht nach einem unbedachten Update gern der Checkout. Jedes Update läuft deshalb zuerst im Testumgebung mit Funktionsprüfung der Bestellstrecke.
• Redaktionelle Pannen: versehentlich zerschossene Layouts oder halbfertig veröffentlichte Seiten. Hier helfen Revisionskontrolle, geplante Veröffentlichung, Freigabeketten und passend gesetzte Benutzerrollen, damit das Marketing-Team nicht aus Versehen den Seitenaufbau verändert.

#Sicherheit konkret

Die Sicherheits-Baseline umfasst HTTPS mit HSTS, eine Content-Security-Policy gegen XSS, Schwachstellen-Scanning der Abhängigkeiten, Zwei-Faktor-Authentifizierung für Admin-Konten und regelmäßig getestete Backups. Für Seiten, die personenbezogene Daten verarbeiten, kommen DSGVO-konformes Einwilligungsmanagement, ein Auftragsverarbeitungsvertrag (AVV) mit dem Hoster und eine Privacy-by-Design-Architektur hinzu. Sinnvoll ist außerdem ein in der EU oder in Deutschland gehostetes Setup, weil das die AVV- und Drittlandfragen für viele Augsburger Mittelständler spürbar vereinfacht.

#Performance und Core Web Vitals

Geschwindigkeit zahlt direkt auf Conversion und Sichtbarkeit ein, gerade bei mobilen Besuchern, die ein Produkt oder eine Dienstleistung in Augsburg suchen. Der Wartungsbetrieb hält die Core Web Vitals (LCP, INP, CLS) im Blick und greift ein, bevor ein langsam gewordenes Plugin oder ein aufgeblähtes Bildarchiv das Ranking belastet. Die Hebel sind unspektakulär, aber wirksam:

• Asset-Optimierung: responsive Bilder in WebP und AVIF, bereinigtes und routenweise gesplittetes CSS, schlankeres JavaScript ohne ungenutzte Skripte
• Caching: mehrstufig vom Browser- und CDN-Cache über einen Application-Cache bis zum Datenbankabfrage-Cache mit gezielter Invalidierung
• Netzwerk: HTTP/3, Brotli-Kompression sowie Preconnect- und DNS-Prefetch-Hinweise für externe Zahlungs- und Schriftdienste
• Rendering: Critical CSS, asynchrone Stylesheets und Lazy Loading für Bilder und eingebettete Karten

Jede Änderung wird vorher und nachher gemessen und im Monatsbericht dokumentiert, damit Performance keine Behauptung bleibt.

#Lokale Sichtbarkeit und SEO

Für ein Unternehmen mit Sitz in Augsburg zählt die Auffindbarkeit im lokalen Umfeld. Im Wartungsbetrieb gehören dazu ein gepflegtes Schema.org-Markup (LocalBusiness mit korrekter Adresse und Öffnungszeiten), saubere interne Verlinkung, funktionierende Sitemaps und die Abstimmung mit dem Google-Unternehmensprofil. Bei mehrsprachigen Seiten, etwa wenn ein Zulieferer der Augsburger Industrie auch englischsprachige Kunden anspricht, prüfe ich hreflang, Sprachrouting und übersetzte Metadaten, damit die deutsche und die englische Fassung nicht miteinander konkurrieren.

Mit der wachsenden Bedeutung KI-gestützter Suche (Google AI Overviews, ChatGPT, Perplexity) helfen klare Entity-Definitionen, faktische Aussagen und belastbare strukturierte Daten, in maschinengenerierten Antworten zur lokalen Suche aufzutauchen.

#Fragen, die im Erstgespräch oft kommen

Arbeiten Sie nur mit Unternehmen aus Augsburg? Der Schwerpunkt liegt auf Augsburg und Schwaben, aber der Betrieb funktioniert remote für ganz Deutschland. Die lokale Texte hier dienen vor allem dazu, die typischen Anforderungen des Standorts greifbar zu machen.

Was unterscheidet das von einer klassischen Agentur? Der Leistungsumfang dreht sich um Wartung und Support, nicht um ein Relaunch-Paket. Sie bekommen direkte Engineering-Arbeit, dokumentierte technische Entscheidungen, getestete Updates und eine auditierbare Vorfalldokumentation.

Können Sie eine stark vernachlässigte Seite übernehmen? Ja. Die Auditphase deckt veraltetes PHP, verwundbare Plugins, defekte Backups oder Malware auf und liefert eine Behebungs-Liste, bevor die reguläre Wartung greift.

Wie läuft die Kommunikation? Schriftlich über einen Ticket-Kanal, mit monatlichem Statusbericht zu Updates, Sicherheit, Performance und offenen Risiken. Telefonate gibt es, wenn eine Entscheidung oder ein Vorfall das erfordert.

#Lokaler Lieferkontext

Der Augsburger Kontext priorisiert die Risiken, nicht das Thema. Ein Industrie-Zulieferer im Innovationspark gewichtet Sicherheit und Verfügbarkeit anders als ein lokaler Dienstleister, dem es zuerst um Sichtbarkeit in der lokalen Suche geht. Genau diese Gewichtung steuert, welche Wartungsaufgaben zuerst greifen: getestete Updates, Backup-Disziplin, Consent- und Impressums-Konformität, Core Web Vitals und ein klarer Eskalationspfad bei Vorfällen.

#Backups und Wiederherstellung, die im Ernstfall tragen

Ein Backup ist eine Datei, eine Wiederherstellung ist ein Prozess. Der Unterschied fällt fast immer im ungünstigsten Moment auf: Das Backup-Plugin meldet seit Monaten grüne Häkchen, die Archive liegen sauber im Zielordner, und beim ersten echten Rückspielversuch zeigt sich, dass der Datenbank-Export bei einer großen Tabelle abgebrochen ist, dass wp-content/uploads wegen eines Größenlimits gar nicht mitgesichert wurde oder dass niemand im Team mehr die Zugangsdaten für den externen Speicher hat. Ein ungeprüftes Backup ist eine Annahme, kein Sicherheitsnetz. Geprüft heißt: Das Archiv wurde auf einer separaten Umgebung eingespielt, die Startseite und eine dynamische Seite wurden aufgerufen, ein Login hat funktioniert, und bei einem Shop lief eine Testbestellung bis zur Bestätigungsseite durch.

Die 3-2-1-Regel ist der Mindeststandard, nicht die Kür. Drei Kopien der Daten (die Produktion plus zwei Sicherungen), auf zwei unterschiedlichen Medien oder Systemen, davon eine an einem anderen Ort. Der tägliche Snapshot im Panel des Hosters erfüllt das nicht, weil er auf derselben Plattform und häufig unter denselben Zugangsdaten liegt: Wer das Hosting-Konto übernimmt oder eine Verschlüsselungs-Schadsoftware einschleust, erreicht Produktion und Sicherung gleichzeitig. Deshalb gehört mindestens ein Ziel dazu, auf das die Website selbst keinen Schreibzugriff besitzt, etwa ein Sicherungslauf, den ein separater Backup-Host von sich aus anstößt (Pull-Verfahren), oder ein Objektspeicher mit Versionierung und Löschsperre (Object Lock). Die häufig zitierte Erweiterung 3-2-1-1-0 ergänzt genau diese unveränderliche Kopie sowie die Null für null Fehler im automatischen Prüflauf.

Ein vollständiger Snapshot besteht aus vier Teilen, nicht aus einem. Fehlt einer davon, ist die Wiederherstellung Rekonstruktionsarbeit statt Rückspielen:

• Datenbank: kompletter Dump mit Zeichensatz utf8mb4, erzeugt über wp db export oder mysqldump mit der Option --single-transaction, damit der Export bei InnoDB konsistent bleibt, ohne die Tabellen zu sperren. Sinnvoll ist es zu prüfen, ob Tabellenpräfix, Tabellenanzahl und die autoload-Optionen im Dump wirklich enthalten sind.
• Code und Konfiguration der Installation: Theme und Child-Theme, Plugins, das Verzeichnis mu-plugins und wp-config.php samt Salts. Werden die Salts nicht mitgesichert, sind nach dem Rückspielen alle angemeldeten Sitzungen ungültig, was bei Redaktions- und Kundenkonten unnötige Reibung erzeugt.
• Uploads: wp-content/uploads vollständig, inklusive der generierten Bildgrößen. Das ist bei Produktkatalogen und PDF-Datenblättern der mit Abstand größte Teil, und genau deshalb schließen viele Backup-Konfigurationen ihn stillschweigend aus, um unter einem Speicher- oder Laufzeitlimit zu bleiben.
• Serverkonfiguration: PHP-Version und aktivierte Erweiterungen, .htaccess oder der nginx-Serverblock, Cron-Einträge (bei WordPress zusätzlich wp cron event list), TLS-Zertifikat und DNS-Zonendaten, WAF- und CDN-Regeln, SMTP-Anbindung für den Mailversand sowie die Schlüssel der Zahlungs- und Versand-Plugins. Diese Ebene liegt in keinem Plugin-Backup und wird trotzdem für jede Wiederherstellung auf einer fremden Umgebung gebraucht.

Nicht ins Archiv gehören dagegen die hostgebundenen Dropins object-cache.php und advanced-cache.php samt Cache-Verzeichnissen. Sie zeigen auf einen Redis- oder Memcached-Dienst, den die Zielumgebung oft nicht hat, und erzeugen beim Rückspielen eine weiße Seite ohne Fehlermeldung. Dazu kommt eine kurze schriftliche Wiederherstellungsanleitung, die außerhalb der Website abgelegt ist: Reihenfolge der Schritte, Speicherorte, Ansprechpartner beim Hoster, Domain-Registrar und Zahlungsanbieter. Eine Anleitung im WordPress-Backend nützt nichts, wenn WordPress nicht startet.

Eine Wiederherstellung muss regelmäßig geprobt werden, sonst bleibt sie Theorie. Zwei Ebenen haben sich bewährt. Erstens ein automatischer Prüflauf, der zu jedem Backup-Zyklus gehört: Archiv entpacken, Datenbank in eine Wegwerf-Umgebung importieren, wp core verify-checksums laufen lassen, Startseite und eine dynamische Seite mit HTTP-Statuscode prüfen, Prüfsumme des Archivs per sha256sum mit dem Wert aus dem vorherigen Lauf vergleichen. Zweitens eine manuelle Vollprobe in festem Rhythmus, üblicherweise quartalsweise, bei der jemand die Anleitung Schritt für Schritt abarbeitet und die Stellen notiert, an denen sie nicht mehr stimmt. Zusätzlich wird immer dann geprobt, wenn sich am Setup etwas Grundsätzliches ändert: Hoster-Wechsel, Sprung auf eine neue PHP-Version, neue Zahlungsanbindung im Shop, Umstellung auf ein anderes Speicherziel. Wer nur nach Gefühl probt, probt in der Praxis nie.

RPO und RTO in klarer Sprache. Das Recovery Point Objective beantwortet die Frage, wie viel Arbeit im schlimmsten Fall verloren gehen darf, gemessen als Zeitraum zwischen der letzten Sicherung und dem Vorfall. Läuft die Sicherung einmal nachts, liegt das RPO rechnerisch bei bis zu einem Tag, und alles, was tagsüber entstanden ist, wäre weg. Das Recovery Time Objective beantwortet die zweite Frage, nämlich wie lange der Weg vom Vorfall zurück in den Normalbetrieb dauern darf. Es hängt von Datenmenge, Bandbreite und davon ab, wie viel Handarbeit die Anleitung verlangt: Ein Uploads-Verzeichnis im zweistelligen Gigabyte-Bereich, das erst aus einem entfernten Objektspeicher gezogen werden muss, verhält sich anders als eine schlanke Broschürenseite. Beide Werte sind eine Geschäftsentscheidung und keine Eigenschaft des Backup-Werkzeugs. Ein Zulieferer-Katalog, der nur ein paar Mal im Monat gepflegt wird, verträgt ein tägliches RPO problemlos; ein Shop mit laufenden Bestellungen braucht häufigere Datenbanksicherungen oder eine Sicherung auf Basis des Binärlogs, weil jede verlorene Stunde konkrete Bestellungen bedeutet. Festgehalten werden RPO und RTO zusammen mit den Reaktionszeiten im Wartungsvertrag, damit im Vorfall niemand über Erwartungen diskutieren muss.

Die erste Stunde nach einem Datenverlust entscheidet über den Rest. Die Reihenfolge ist wichtiger als die Geschwindigkeit:

1. Nichts überschreiben. Kein schnelles zusätzliches Backup über den letzten guten Stand, keine Reparaturskripte direkt auf der Produktionsdatenbank. Der erste Schritt ist eine forensische Kopie des aktuellen Zustands, so beschädigt er auch ist, inklusive Serverlogs.
2. Ausmaß und Zeitpunkt eingrenzen. Gelöschte Inhalte, ein fehlgeschlagenes Update, ein Datenbankfehler oder eine kompromittierte Installation verlangen unterschiedliche Wege. Serverlogs, die Liste der letzten Plugin-Aktualisierungen und ein Blick auf Werte wie siteurl und home per wp option get zeigen meist schnell, in welche Richtung es geht.
3. Kontrolliert stilllegen, wenn Schadcode oder Datenabfluss im Spiel ist. Eine Wartungsseite mit Statuscode 503 ist besser, als Besucher auf eine infizierte Seite laufen zu lassen. Bei Shops wird die Zahlungsanbindung pausiert, damit keine Bestellungen in einem Zwischenzustand entstehen.
4. Die passende Sicherung auswählen und zuerst daneben einspielen. Gewählt wird ein Stand vor dem Ereignis, geprüft werden Dateigröße, Prüfsumme und Tabellenanzahl, und eingespielt wird auf einer separaten Umgebung, nicht über die Produktion. Erst wenn dort Login, Formular und Bestellstrecke funktionieren, geht der Stand live.
5. Kommunikation und Pflichten klären. Intern wird festgelegt, wer entscheidet; nach außen, was Kunden erfahren. Besteht der Verdacht einer Verletzung des Schutzes personenbezogener Daten, greift Art. 33 DSGVO: die Meldung an die Aufsichtsbehörde erfolgt unverzüglich und möglichst binnen 72 Stunden ab Kenntnisnahme, weshalb die Zeitachse ab der ersten Feststellung lückenlos protokolliert wird.
6. Erst danach die Ursache schließen. Zugangsdaten und Salts erneuern, die verwundbare Komponente ersetzen oder aktualisieren, Datei- und Verzeichnisrechte zurücksetzen, den Befund im Monatsbericht dokumentieren und die Wiederherstellungsanleitung um das ergänzen, was diesmal gefehlt hat.

Für einen Maschinenbau-Zulieferer im Augsburger Umfeld heißt das in der Regel: großes Uploads-Verzeichnis, moderates RPO, Schwerpunkt auf einer belastbaren Kopie außerhalb des Hosters. Für einen Händler oder Gastronomiebetrieb mit Online-Bestellung verschiebt sich das Gewicht auf häufigere Datenbanksicherungen und eine kurze, geübte Wiederherstellungsstrecke, weil dort jeder Ausfall unmittelbar Bestellungen kostet. In beiden Fällen gilt derselbe Grundsatz: Die Backup-Strategie wird an der letzten erfolgreichen Wiederherstellung gemessen, nicht an der Zahl der Archive im Speicher.

#So starten wir

Am Anfang steht ein Verständnis der bestehenden Installation und der geschäftlichen Anforderungen, danach ein klarer Vorschlag mit Leistungsumfang, Kadenz und Reaktionszeiten. Die Wartung beginnt mit dem Onboarding-Audit, dem Einrichten von Monitoring und Backups und dem ersten getesteten Update-Zyklus, bevor der feste Monatsrhythmus übernimmt. Die Preisgestaltung ist individuell und richtet sich nach Umfang, Plugin-Landschaft und Verfügbarkeitsanforderungen.