WordPress Wartung & Support in Duisburg

Manche Ausfälle einer Firmenwebsite haben mit WordPress nichts zu tun. Die Domain läuft ab, weil die Erinnerung an eine Adresse ging, die niemand mehr liest. Ein DNS-Eintrag verschwindet beim Wechsel des Hosters. Ein Zertifikat wird nicht erneuert. Die Bestätigungsmail des Kontaktformulars landet im Spam-Ordner des Kunden. In allen vier Fällen läuft das Backend weiter und die Updates sind aktuell, aber Besucher sehen eine Fehlerseite oder Ihre Anfragen kommen nicht an.

Diese Seite beschreibt, was ich in der laufenden WordPress-Wartung für Unternehmen in Duisburg und im Ruhrgebiet um die Website herum prüfe. Ich bin ein einzelner Entwickler, arbeite remote und schriftlich, ohne Meetings. Das Layout kommt von Ihnen, ich setze es um. Einen Neubau beschreibt die Seite zur WordPress-Entwicklung in Duisburg.

#Vier Dinge, die still ausfallen

Alle vier liegen außerhalb des WordPress-Verzeichnisses. Ein Backup der Website sichert sie nicht, und ein Update-Test auf der Testumgebung findet sie nicht. Sie fallen erst auf, wenn sie kaputt sind, und dann meist über einen Kunden. Deshalb stehen sie als eigene Prüfpunkte in der Wartung und im Monatsbericht.

#Domain: Inhaber, Verlängerung und die Adresse für die Erinnerung

Die häufigste Ursache ist nicht das Geld, sondern der Absender. Registrare schreiben an die Adresse des Domaininhabers. Diese Adresse hat oft ein früherer Dienstleister oder eine Mitarbeiterin angelegt, die das Unternehmen verlassen hat.

Für gTLD-Domains wie .com regelt die ICANN-Richtlinie zur Wiederherstellung abgelaufener Registrierungen, was der Registrar tun muss:

• Er muss den Inhaber vor dem Ablauf mindestens zweimal benachrichtigen, etwa einen Monat und etwa eine Woche vorher.
• Ist die Domain fünf Tage nach dem Ablauf weder verlängert noch gelöscht, muss er eine weitere Mail mit Anleitung senden.
• Spätestens in den letzten acht Tagen, in denen die Domain noch verlängert werden kann, muss die Namensauflösung unterbrochen sein. Die Website ist dann nicht mehr erreichbar.
• Nach der Löschung bieten die Registries eine Wiederherstellungsfrist von 30 Tagen, in der keine Auflösung stattfindet.

Für .de ist diese Richtlinie nicht maßgeblich, dort zählen die Bedingungen Ihres Registrars. Daneben gibt es die regionale Endung .ruhr, die seit 2013 am Netz ist. Wer Namen unter mehreren Endungen hält, etwa .de, .com und .ruhr, hat oft mehrere Registrare und damit mehrere Erinnerungsadressen.

Ich lese in der Wartung das Ablaufdatum jeder Domain, notiere den Registrar und die Kontaktadresse und trage beides in den Monatsbericht ein. Bei einer Übernahme klärt der erste Schritt, auf wen die Domain eingetragen ist. Gehört sie dem früheren Dienstleister, liegt das Risiko bei Ihnen und nicht bei ihm.

#DNS: jeder Eintrag braucht einen Zweck

Die DNS-Zone ist die Liste, die sagt, wohin Website, Mails und Verifizierungen zeigen. Sie wächst über Jahre: ein Eintrag für das alte Newsletter-Tool, einer für eine Verifizierung der Search Console, ein Mail-Eintrag des früheren Hosters. Ändert jemand beim Umzug die Nameserver, ohne die Zone zu kopieren, fehlen plötzlich Einträge, und niemand weiß, wofür sie waren.

In der Wartung gehe ich so vor:

1. Ich lese die vollständige Zone aus, soweit der Anbieter es zulässt, und lege sie als Kopie in die Dokumentation der Installation.
2. Ich ordne jedem Eintrag einen Zweck zu: Website, Mail, Absender, Verifizierung.
3. Ich markiere Einträge ohne erkennbaren Zweck und lasse sie von Ihnen bestätigen. Gelöscht wird erst nach Ihrer Zustimmung.
4. Vor jedem Hosting- oder Nameserver-Wechsel vergleiche ich die alte und die neue Zone Eintrag für Eintrag.

#TLS-Zertifikat: kürzere Laufzeiten, mehr Automatik

Das Zertifikat der Website hat ein Ablaufdatum, und dieses Datum rückt näher. Das CA/Browser Forum legt in den Baseline Requirements fest, wie lange öffentlich vertrauenswürdige Zertifikate höchstens gelten:

Let’s Encrypt hat angekündigt, den Standard von 90 auf 64 Tage am 10. Februar 2027 und bis 2028 auf 45 Tage zu senken. Ein Zertifikat, das jemand einmal im Jahr von Hand verlängert, passt zu diesen Fristen nicht mehr. Die Erneuerung muss automatisch laufen, und jemand muss prüfen, ob sie es tut.

Ich prüfe deshalb nicht die Bestellung beim Anbieter, sondern das Zertifikat, das die Website tatsächlich ausliefert. Das Ablaufdatum steht im Monatsbericht. Läuft die Erneuerung nicht automatisch, melde ich das schriftlich und schlage vor, sie beim Hoster oder über einen ACME-Client einzurichten. Zur Frage, wer ein auslaufendes Zertifikat meldet, steht mehr in der Wartung für Nürnberg.

#Mails der Website: SPF, DKIM und DMARC

Eine WordPress-Seite verschickt Mails: Formularbestätigungen, Passwort-Zurücksetzen, Bestellmails, Benachrichtigungen an die Redaktion. Ist kein Absender gesetzt, nimmt WordPress laut Quelltext von wp_mail() die Adresse wordpress@ plus den Hostnamen der Website. Diese Mail geht oft direkt vom Webserver ab, ohne Signatur und ohne Eintrag, der den Server als Absender ausweist. Für Postfächer sieht das wie Spam aus.

#Was Google verlangt

Auf der Google-Hilfeseite für Absender stehen die Anforderungen, die seit dem 1. Februar 2024 gelten. Für alle Absender an Gmail-Adressen:

• SPF oder DKIM für die Absenderdomain
• gültige Forward- und Reverse-DNS-Einträge (PTR) der sendenden Adresse
• eine TLS-Verbindung beim Versand
• eine Spam-Rate in den Postmaster Tools unter 0,3 Prozent
• Nachrichten nach dem Internet Message Format (RFC 5322)

Wer mehr als 5000 Mails pro Tag an Gmail-Adressen sendet, braucht SPF und DKIM und zusätzlich DMARC, wobei die Richtlinie none genügt. Dazu kommen die Ausrichtung der Absenderdomain und bei Werbemails ein Abmeldelink mit Ein-Klick-Abmeldung. Nachrichten ohne Authentifizierung können als Spam markiert oder mit dem Fehler 5.7.26 abgelehnt werden. Google verlangt für Gmail einen DKIM-Schlüssel von mindestens 1024 Bit und empfiehlt 2048 Bit.

Yahoo nennt auf der Seite für Absender dieselben Grundlinien: SPF oder DKIM für alle, bei Massenversand SPF, DKIM und eine DMARC-Richtlinie mit mindestens p=none.

Ein Unternehmen mit Kontaktformular und Shop liegt weit unter 5000 Mails pro Tag. Für die formale Grenze reicht dann SPF oder DKIM. Ich richte trotzdem alle drei ein, weil jede Mail der Domain gleich behandelt wird, auch die Ihres Newsletter-Dienstes.

#SPF, DKIM, DMARC kurz erklärt

• SPF ist ein TXT-Eintrag, der alle Server nennt, die für die Domain senden dürfen. Nach RFC 7208 darf die Auswertung höchstens zehn Begriffe enthalten, die DNS-Abfragen auslösen. Wird das überschritten, ist das Ergebnis ein permanenter Fehler. Wer über die Jahre Include-Einträge für Newsletter-Tool, CRM und Hoster stapelt, erreicht die Grenze schneller als erwartet.
• DKIM signiert jede Mail. Der öffentliche Schlüssel steht im DNS, der Empfänger prüft damit, ob die Mail unterwegs verändert wurde.
• DMARC legt fest, was der Empfänger tun soll, wenn SPF und DKIM nicht zur Absenderadresse passen. Der Eintrag steht unter _dmarc vor Ihrer Domain. Die Richtlinie p kennt none, quarantine und reject.

Die Grundlage war lange RFC 7489 von 2015. Im Mai 2026 hat der Standard RFC 9989 sie abgelöst, der den Tag pct als historisch führt. Die drei Werte der Richtlinie p und die Berichtsadresse rua gelten weiter.

#Wie ich vorgehe

1. Ich sammle alle Absender der Domain: Webserver, Mailanbieter, Newsletter-Dienst, Shop, CRM.
2. Ich setze SPF und DKIM für jeden Absender und prüfe die Auswertung mit einer Testmail aus dem Kontaktformular. Im Header der empfangenen Mail steht, ob SPF, DKIM und DMARC bestanden haben.
3. Ich lasse WordPress die Mails über einen authentifizierten Versand schicken, nicht über die Standardfunktion des Webservers.
4. Ich setze DMARC mit der Richtlinie none und einer Berichtsadresse und lese die Berichte.
5. Erst wenn alle legitimen Absender bestehen, schlage ich quarantine oder reject vor. Die Entscheidung liegt bei Ihnen.

#Datenschutz: was wann gemeldet werden muss

Zuständig für Verantwortliche in Duisburg ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen. Verantwortliche müssen Verletzungen des Schutzes personenbezogener Daten nach Art. 33 DSGVO unverzüglich, möglichst binnen 72 Stunden melden, wenn mehr als nur ein geringes Risiko für die Betroffenen besteht. Intern dokumentiert wird jede Verletzung. Die Betroffenen sind bei hohem Risiko zu informieren.

Eine falsch eingestellte SPF-Zeile ist keine Datenpanne. Anders ist es, wenn ein Konto oder Postfach übernommen wurde und Formulardaten abgeflossen sind. In diesem Fall liefere ich Ihnen als Auftragsverarbeiter die technische Zeitachse und die betroffenen Datenkategorien. Ob und was gemeldet wird, entscheiden Sie. Den Vertrag zur Auftragsverarbeitung schließe ich mit Ihnen vor Beginn der Arbeit.

#Die Prüfpunkte im Überblick

Jede Zeile ist ein Eintrag im Monatsbericht. Findet sich ein Mangel, steht dort, wer was tun muss.

#Was ich dafür brauche

• einen eigenen Zugang zur Verwaltung der Domain beim Registrar, zum DNS und zum Mailanbieter, jeweils auf meinen Namen und nicht mit dem Passwort eines Vorgängers
• die Liste aller Dienste, die im Namen der Domain Mails senden
• die Angabe, wer fachlich für Domain und Mail verantwortlich ist und wer Rechnungen des Registrars bekommt
• Zugang zu Hosting und WordPress wie bei jeder Wartung

Zahlungen und Verträge mit Registrar und Hoster bleiben bei Ihnen. Die Website selbst bleibt auf der Testumgebung der Ort, an dem Updates zuerst geprüft werden. Backups von Dateien und Datenbank liegen außerhalb des Hosting-Kontos, damit ein Ausfall des Hosters sie nicht mitnimmt.

Foto: Dietmar Rabich, CC BY-SA 4.0, Wikimedia Commons.

#Wie die Wartung abläuft

Ich arbeite allein. Die Abstimmung läuft schriftlich per Ticket oder Mail, ich antworte an Werktagen. Es gibt keine Meetings und keine Anrufe. Updates von Core, Plugins und Themes teste ich zuerst auf einer Testumgebung, die der Produktion gleicht. Ein Monitoring prüft die Erreichbarkeit der Website, und ein schriftlicher Monatsbericht fasst Updates, Auffälligkeiten, die oben genannten Prüfpunkte und offene Risiken zusammen.

Das Stundenkontingent legen Sie und ich vor dem Start schriftlich fest. Nicht genutzte Stunden gehen nicht in den nächsten Monat über. Grafik, Mockups und Wireframes bringen Sie mit, ich setze sie um.

#Häufige Fragen

Wer meldet mir, dass meine Domain ausläuft? Zunächst Ihr Registrar, per Mail an die hinterlegte Adresse des Domaininhabers. Bei gTLD-Domains wie .com verlangt die ICANN-Richtlinie zwei Hinweise vor dem Ablauf, etwa einen Monat und etwa eine Woche vorher. Landet diese Adresse bei einem früheren Dienstleister, liest niemand mit. In der Wartung steht das Ablaufdatum deshalb im Monatsbericht.

Reicht SPF allein, damit die Mails meiner Website ankommen? Für Gmail genügt formal SPF oder DKIM, solange Sie weniger als 5000 Mails pro Tag dorthin senden. Google empfiehlt trotzdem alle drei Verfahren. SPF bricht außerdem bei Weiterleitungen leicht, deshalb setze ich DKIM und DMARC dazu.

Muss ich DMARC auf reject stellen? Nein. Google lässt für Massenversender ausdrücklich die Richtlinie none zu. Ich beginne mit none und Berichtsadresse, lese die Berichte und ziehe erst danach auf quarantine oder reject an, wenn alle legitimen Absender bestehen.

Wie oft muss ich das Zertifikat künftig erneuern? Seit dem 15. März 2026 gelten für öffentliche Zertifikate höchstens 200 Tage, ab dem 15. März 2027 höchstens 100 Tage und ab dem 15. März 2029 höchstens 47 Tage. Ein jährlich manuell gekauftes Zertifikat passt dazu nicht mehr. Wichtig ist eine automatische Erneuerung und eine Prüfung des ausgelieferten Ablaufdatums.

Was gilt, wenn über meine Domain Spam im Namen meiner Firma verschickt wird? Das ist nicht automatisch eine Datenpanne. Es wird eine, wenn dabei personenbezogene Daten abfließen, etwa weil ein Postfach oder Konto übernommen wurde. Dann gilt Art. 33 DSGVO mit der Meldung an die LDI NRW, möglichst binnen 72 Stunden, sofern ein mehr als geringes Risiko besteht. Die Entscheidung trifft der Verantwortliche.

Übernehmen Sie auch Domain und Hosting für mich? Nein. Domain und Hosting bleiben auf Ihren Namen bei Ihrem Anbieter. Ich bekomme einen eigenen Zugang mit den nötigen Rechten und prüfe, was dort steht. Zahlungen und Verträge bleiben bei Ihnen.

#Anfrage

Schreiben Sie mir die Adresse Ihrer Website, den Registrar der Domain, den Mailanbieter und was Sie aktuell stört, etwa Mails im Spam-Ordner oder ein Zertifikatshinweis im Browser. Ich lese mir die Einträge an und schicke Ihnen schriftlich, was ich finde und was ich in der Wartung übernehmen würde. Die erste Einschätzung per Mail kostet nichts. Das Formular finden Sie unter Kontakt.