Wartung von WordPress-basierten Websites

WPPoland (Mariusz Szatkowski) ist WordPress-Wartung für Deutschland, Österreich und die Schweiz: Updates zuerst auf Staging, tägliche Backups, Monitoring rund um die Uhr alle 1 bis 5 Minuten, Malware-Scan und Monatsbericht, festgehalten in einem schriftlichen Wartungsvertrag. WordPress seit 2006, aus Gdynia. Schriftliches Angebot nach kurzem Briefing.

#WordPress-Wartung als Service

Wartung einer WordPress-Website ist laufende technische Arbeit, von der abhängt, ob die Website erreichbar ist, schnell lädt und keine Malware verteilt. Eine Website ohne Updates sammelt Lücken in Plugins, und eine Website ohne geprüftes Backup kann beim ersten Ausfall des Hostings Bestellungen und Rechnungen verlieren.

Die meisten WordPress-Websites gehen an zwanzig Kleinigkeiten kaputt, für die niemand Zeit hatte: ein Sicherheitsalarm, der vor zwei Monaten stummgeschaltet wurde; ein Plugin, das auf einer alten Version festgehalten wird, weil die neue die Zahlungsanbindung gestört hat; ein Backup, das seit zwei Jahren grün leuchtet und nie zurückgespielt wurde. Wartung heißt, diese Kleinigkeiten nach Plan zu erledigen.

Bei Übernahmen und Umzügen des Stacks vor dem ersten Wartungsmonat beginnt die Arbeit mit der WordPress-Migrations-Einschätzung. Nach dem Umzug hält der Store Reliability Plan Monitoring und Update-Checks für den Shop verbindlich fest. Ist der Checkout schon ausgefallen, beginnen Sie mit dem WooCommerce Rescue Sprint vor einem Wartungsvertrag.

Ich arbeite aus der Ferne, deshalb bekommen Unternehmen in Berlin, Hamburg, München, Köln, Frankfurt, Wien und Zürich denselben Umfang. Für einige Städte gibt es eigene Seiten, etwa Wartung und Support in Frankfurt, München oder Wien. Ist die Website schon ausgefallen, brauchen Sie statt eines Wartungsvertrags die WordPress-Reparatur und technischen Support.

#Was die WordPress-Wartung umfasst

Die Wartung besteht aus mehreren festen Arbeiten. Für jede gibt es eine eigene Seite mit genauer Beschreibung.

Core, Plugins und Themes aktualisiere ich wöchentlich, zuerst auf Staging nach einem vollständigen Backup, und nach dem Update vergleiche ich Screenshots von vor und nach der Änderung. Auch der Wechsel auf eine neuere PHP-Version gehört zur Wartung. Hauptversionen von Plugins prüfe ich monatlich, die Plugin-Liste quartalsweise. Den Zeitplan, den Ablauf einer Runde und was ich tue, wenn ein Update etwas beschädigt, beschreibt die Seite WordPress-Updates-Service.

Das Monitoring scannt die Dateien auf Malware und prüft ihre Integrität. Kommt es zu einem Hack, arbeite ich in fester Reihenfolge: Beweise, Diagnose, Bereinigung auf einer Kopie, neue Passwörter, Antrag auf Überprüfung bei Google. Die Details und die Pflichten aus der DSGVO stehen auf der Seite WordPress-Malware entfernen. Eine einmalige, gründliche Bewertung der Sicherheit liefert das WordPress-Sicherheitsaudit.

Die Spannen für Firmenwebsite und Shop, was im Monatsbetrag enthalten ist und was ich separat berechne, stehen auf der Seite WordPress-Wartung: Kosten.

In der Wartung messe ich die Core Web Vitals monatlich und achte darauf, dass die Werte nicht abfallen. Eine einmalige, gezielte Beschleunigung mache ich im Rahmen der WordPress-Geschwindigkeitsoptimierung.

Gemessene Zahlen für eine Adresse, noch vor dem Gespräch über den Umfang, liefert der WordPress Website Check.

#Wie die Wartung beginnt

#Wie läuft die wöchentliche WordPress-Wartung ab?

Täglich, unabhängig vom Zeitplan, entsteht ein Backup, und das Monitoring prüft die Erreichbarkeit alle 1 bis 5 Minuten und wacht über die Dateien.

#Typische Fehlerbilder auf WordPress-Websites

Die folgenden Muster sind typische Fehlerbilder, die die Wartung abfangen soll. Sie beschreiben keinen bestimmten Kunden.

Ein automatisches Update des Consent-Plugins fällt mit einem automatischen Core-Update in derselben Nacht zusammen, und das Cookie-Banner wird nicht mehr eingebunden. Ein Funktionstest bemerkt das nicht, weil Formulare und Warenkorb weiter funktionieren. Deshalb steht das Banner auf der Liste der Seiten für den Screenshot-Vergleich.

Ein Konnektor zur Warenwirtschaft, etwa zu JTL-Wawi, verliert die Erneuerung seines Zugangstokens. Die Lagerbestände im Shop bleiben auf dem letzten Stand stehen, während weiter verkauft wird. Dagegen hilft eine Prüfung, ob der letzte Abgleich zu lange zurückliegt, mit Alarm an mich.

Ein Zahlungsanbieter antwortet in Spitzenzeiten zu langsam, die Bestellung sieht im Frontend erfolgreich aus, die Bestätigung des Anbieters kommt aber nicht an. Nach Updates prüfe ich deshalb den Ablauf Warenkorb, Daten, Versand, Zahlung ohne echte Bestellung. Für Shops, in denen das ständig geprüft werden soll, gibt es den Store Reliability Plan.

Ein Core-Update löst einen fatalen Fehler in einem eigenen Theme aus, das eine Funktion aufruft, die der Core zwei Hauptversionen früher als veraltet markiert und jetzt entfernt hat. Ohne Fehlerprotokoll (WP_DEBUG_LOG) an einem Ort, auf den ich Zugriff habe, ist das reines Raten. Mit Protokoll liegen Datei, Zeile und Korrektur schnell auf dem Tisch.

#Wie prüft man, ob ein WordPress-Backup wiederherstellbar ist?

UpdraftPlus, BlogVault, Snapshots des Cloud-Anbieters, die im Hosting-Tarif eingebauten Sicherungen: Alle erzeugen Dateien, die irgendwo in einem Speicher liegen und gesund aussehen, bis zu dem Tag, an dem sie gebraucht werden. Deshalb spiele ich regelmäßig ein echtes Backup in einer abgeschotteten Umgebung zurück, melde mich an, klicke mich durch, führe wp db check aus und prüfe, ob die Website zurückkommt. Im Bericht stehen der Zustand der Backups und das Datum des letzten Wiederherstellungstests.

Die Backups entstehen täglich und inkrementell, liegen in der Cloud außerhalb des Servers der Website und werden mindestens 30 Tage aufbewahrt. Ein inkrementelles Backup speichert nur die Änderungen seit dem vorherigen, belastet den Server also kaum und erlaubt trotzdem den Sprung zu mehreren Zeitpunkten. Das zählt, wenn ein Problem erst nach einigen Tagen auffällt.

Off-Site bedeutet ein anderer Anbieter als das Hosting-Konto, niemals derselbe Login. Für Unternehmen in DACH mit DSGVO-Anforderungen heißt das in der Praxis zum Beispiel: Hosting bei einem deutschen Anbieter, Backup-Speicher bei einem zweiten europäischen Anbieter mit eigenem AVV. Die Datenbank sichere und spiele ich getrennt von wp-content/uploads zurück, damit sich Inhalte wiederherstellen lassen, ohne Benutzerkonten und Bestellungen auf den Stand der Vorwoche zurückzudrehen. Nach einem Hack spiele ich ein Backup erst zurück, wenn das Datum der Infektion geklärt ist: Ein Backup von letzter Woche hilft nicht, wenn der Schadcode seit einem Monat auf der Website liegt.

#Updates und Sicherheit

Das Sicherheitsteam von WordPress veröffentlicht Korrekturen für gefundene Lücken, aber eine Korrektur wirkt erst, wenn sie auf Ihrer Website ankommt. Laut der Seite des Teams wird offiziell nur die neueste WordPress-Version unterstützt. Eine Website, die einige Versionen zurückliegt, kann ohne Korrektur bleiben.

Der Update-Ablauf in der Wartung ist immer gleich: vollständiges Backup, Update auf Staging, Tests der wichtigsten Funktionen, Screenshot-Vergleich, Veröffentlichung im Fenster, 24 Stunden verstärkte Beobachtung. Geht etwas schief, kehre ich aus dem Backup zum vorherigen Stand zurück. Staging zuerst, deshalb lag WP Rocket 3.23.2.2 auf dem Klon vor WordPress 7.1: WP Rocket, Fatal Error unter WordPress 7.1 und Cloudflare.php. Eine neue Hauptversion von WordPress installiere ich nie am Erscheinungstag.

Kritische Sicherheitskorrekturen warten nicht auf den Wochenzyklus. Sie gehen zuerst durch, auf demselben Weg über Staging, und das genaue Fenster dafür steht im Angebot. Von Lücken erfahre ich aus Schwachstellendatenbanken, unter anderem WPScan und Patchstack.

#Performance, technisches SEO und Bericht

Die Geschwindigkeit wirkt auf die Nutzererfahrung und auf die Platzierung in der Suche, weil Google die Core Web Vitals (LCP, INP, CLS) berücksichtigt. In der Wartung messe ich sie monatlich. Fallen die Werte, suche ich die Ursache: ein neues Plugin, größere Bilder, eine wachsende Datenbank. Den Zustand der Datenbank beurteile ich nach Größe, Abfragezeiten und Tabellenstruktur und prüfe unter anderem Transients, Revisionen, verwaiste Metadaten und fehlende Indizes. Daten entferne ich erst, wenn feststeht, dass die Anwendung sie nicht braucht, und jede Änderung vergleiche ich mit einer Basismessung.

Viele technische Faktoren, die Google berücksichtigt, hängen vom Zustand der Website ab: Geschwindigkeit, HTTPS, korrekte kanonische Adressen, XML-Sitemap, robots.txt. Ich prüfe, ob neue Inhalte indexiert werden und ob in der Search Console Indexierungsfehler oder Spam-Spuren nach einem Hack auftauchen. Ich kontrolliere Sicherheitswarnungen, HTTPS und die Gültigkeit des Zertifikats, und übernimmt der Hoster die Erneuerung, prüfe ich, ob diese Automatik funktioniert.

Der Monatsbericht zeigt Update-Stand, Verfügbarkeit, Performance und Indexierungsfehler, dazu eine Liste der nächsten Schritte. Er ersetzt keine Content-Strategie und keine eigene SEO-Betreuung.

#Welche Werkzeuge werden für die WordPress-Wartung genutzt?

Für die Verwaltung mehrerer Websites nutze ich je nach Hosting ManageWP oder MainWP. Backups mit Off-Site-Prüfung laufen über BlogVault oder UpdraftPlus in einen getrennten S3-kompatiblen Speicher, idealerweise in einer zweiten EU-Jurisdiktion, mit eigenem AVV. Wordfence und Sucuri übernehmen Dateiintegrität und Malware-Scans, und die Alarme landen dort, wo ich sie tatsächlich lese. New Relic oder Better Uptime prüfen die Adressen, die zählen (Login, Checkout, Rückmeldung des Zahlungsanbieters, Cookie-Banner, Abgleich mit der Warenwirtschaft, wichtige Landingpages) zusätzlich zur Startseite.

WP-CLI ist das Werkzeug für alles andere: wp db search-replace bei Umzügen zwischen Domains, wp option update beim Aufräumen, wp transient delete --all nach Konfigurationsänderungen, wp cron event run, wenn ein Caching-Layer die geplanten Aufgaben ausgebremst hat. Eigenen Code halte ich in der Versionsverwaltung, prüfe ihn mit PHP_CodeSniffer nach den WordPress Coding Standards und mit PHPStan, Code außerhalb von WordPress nach PSR-12, und sehe jede Änderung vor der Veröffentlichung noch einmal getrennt vom Schreiben durch. So hat Ihre Website nach einem Jahr Wartung eine Änderungshistorie, die jeder andere Entwickler übernehmen kann.

#Wartung neben Migration, Schnittstellen und Audits

Die Wartung hält in Betrieb, was schon läuft. Braucht die Website eine größere Änderung, mache ich sie als eigenes Projekt mit eigenem Angebot, danach kehrt die Website in die normale Wartung zurück.

Der Umzug von WordPress auf einen anderen Server umfasst Kopie, Übertragung von Datenbank und Dateien, DNS-Umstellung und Kontrolle nach dem Umzug. Braucht die Website eine andere Architektur, übernehme ich die Migration zu Next.js oder Astro.

Schnittstellen von Shop und Website zu anderen Systemen (ERP, CRM, Zahlung, E-Rechnung im Format XRechnung oder ZUGFeRD) beschreibe ich in den Leitfäden WooCommerce-ERP-Integration, WordPress API-first und E-Rechnung im WooCommerce-Shop. In der Wartung achte ich darauf, dass bestehende Schnittstellen nach Updates weiter funktionieren; nach dem Update eines Rechnungs-Konnektors stelle ich eine Testrechnung in der Testumgebung des Anbieters aus. Der Bau einer neuen Schnittstelle ist ein eigenes Projekt.

WooCommerce-Shops, in denen jeder Verkaufstag zählt, betreue ich im Store Reliability Plan, einen Shop mit ausgefallenem Warenkorb zuerst im WooCommerce Rescue Sprint. Wie sich die Performance eines Shops ohne Neubau zurückholen lässt, zeigt die anonymisierte Fallstudie zu einem WooCommerce-Shop.

Websites, die Konformität mit EU-Vorgaben nachweisen müssen, beginnen mit einem Audit: Barrierefreiheit nach BFSG, Core Web Vitals oder Readiness für NIS2 und DORA. Die Wartung hält das Ergebnis des Audits danach.

#Wartung für Websites außerhalb von WordPress

Manche Unternehmen haben neben WordPress eine Website auf einem anderen System oder die ganze Website außerhalb von WordPress. Auch solche Websites betreue ich, nach demselben Prinzip: Backup, Staging, Tests, Veröffentlichung im Fenster, Rückfallplan.

• Drupal: Sicherheitsupdates in einem Ablauf mit Composer und Drush, Migrationen zwischen Versionen, eigene Module. Drupal 10 erreicht am 9. Dezember 2026 sein Supportende, was der Beitrag Drupal 10 End of Life: Upgrade oder Migration einordnet.
• TYPO3: Sicherheitsupdates, Wechsel auf neue LTS-Versionen, Erweiterungen in Extbase und Fluid.
• Laravel: Korrekturversionen innerhalb weniger Tage live, zusammen mit dem Update der Composer-Abhängigkeiten, immer zuerst auf dem Testserver.
• Symfony: Updates von älteren Versionen, Integrationsschichten zwischen WordPress oder WooCommerce und ERP, CRM oder PIM.

Die Wartung eines solchen Systems kalkuliere ich nach einem Audit, weil der Umfang von Version, Zahl der Module und der Frage abhängt, wer den Server verwaltet. Lohnt sich der Betrieb des alten Systems nicht mehr, kommt ein Wechsel zu WordPress in Frage. Den Ablauf zeigt die anonymisierte Fallstudie TYPO3 zu WordPress, wann sich die Migration lohnt, beschreibe ich in den Beiträgen TYPO3 nach WordPress migrieren und Joomla zu WordPress.

#WordPress-Wartungsvertrag: wie abgerechnet wird und wo die Fallen liegen

In der Praxis gibt es drei Abrechnungsformen, und jede passt zu einer anderen Website.

Ein fester Monatsbetrag mit Stundenkontingent ist das, was die meisten Inhaber kleiner und mittlerer Unternehmen wollen: festgelegter Umfang, festgelegtes Reaktionsfenster, ein Kontingent an Entwicklerstunden pro Monat, Stunden darüber zu einem bekannten Satz. Die Falle ist schleichende Ausweitung des Umfangs, getarnt als kleine Gefälligkeit. Deshalb steht schriftlich fest, was drin ist und was nicht.

Ein Einsatz nur bei Vorfällen passt zu Websites mit einer fähigen Person im Haus, die die Routine selbst erledigt. Für eine Website ohne Wartungsvertrag läuft ein Ausfall oder Hack über die WordPress-Reparatur: Preis nach Beschreibung des Vorfalls, danach auf Wunsch Übergang in die Wartung.

Die dritte Form ist die zu vermeidende. Kostenlose Wartung beim Hosting heißt in der Praxis oft: automatische Updates ohne Staging, ein Backup auf demselben Server wie die Website und eine Support-Warteschlange, in der WordPress-Fragen hinten anstehen. Für eine Website, die Geld verdient, reicht ein automatischer Updater ohne Aufsicht nicht aus.

Was beim Vertrag und beim Wechsel des Anbieters zu prüfen ist, von Kündigungsfristen bis zur Übergabe der Zugänge, beschreibt der Beitrag WordPress-Wartungsvertrag und Anbieterwechsel.

#Welche Fragen sollte man einem Wartungsanbieter stellen?

Drei Fragen trennen Anbieter mit operativer Disziplin von den übrigen. Die erste gilt dem Datum, an dem der Anbieter zuletzt ein Backup tatsächlich zurückgespielt und nicht nur geprüft hat. Die zweite gilt dem Fall, dass ein Update die Live-Website beschädigt: wer reagiert, zu welchen Zeiten und wie die Rücknahme läuft. Die dritte ist die Bitte um einen anonymisierten Beispielbericht.

#Wie funktioniert WordPress-Wartung für 5 bis 10 Websites eines Inhabers?

Mehrere Websites, ein Inhaber, ein Ansprechpartner. So gehe ich vor:

• Zu Beginn steht eine gemeinsame Übersicht: wo jede Website gehostet ist, wer die Zugänge zu Hosting und Domain hat und welche Websites Shops sind.
• Der Umfang wird für jede Website schriftlich festgehalten, denn ein WooCommerce-Shop braucht andere Aufmerksamkeit als eine Visitenkarte.
• Stundenkontingent und Reaktionszeit stehen im Angebot als konkrete Werte.
• Ein Multisite-Netzwerk wird individuell kalkuliert, wie der Rest des Portfolios.
• Die Spannen stehen auf der Seite WordPress-Wartung: Kosten und in der Preisliste. Den Preis für Ihr Portfolio nenne ich im Angebot nach einem kurzen Briefing.

#Was ist in der WordPress-Wartung enthalten und was nicht?

#Wie funktionieren Stundenkontingent und Reaktionszeit?

Entwicklerstunden haben ein Monatskontingent, das im Angebot steht, zusammen mit dem Satz für Stunden darüber. Eine Zahl nennt diese Seite nicht, weil sie von Zahl und Art Ihrer Websites abhängt. Nicht genutzte Stunden werden nicht auf den Folgemonat übertragen. Arbeit außerhalb des Umfangs bekommt ein eigenes Angebot und startet nach Ihrer Bestätigung.

Das Monitoring läuft rund um die Uhr. Ich antworte an Werktagen (MEZ), ohne garantierte Reaktionszeit. Die Reaktionszeit gilt an Werktagen (MEZ) und bedeutet Diagnose und Plan, keine garantierte Reparaturzeit. Wartung senkt das Risiko eines Hacks, ist aber keine Garantie, dass eine Website nie gehackt wird. Die Haftung beider Seiten regelt der Vertrag.

#Wer die Wartung macht

WPPoland ist Mariusz Szatkowski, Senior WordPress Developer, mit WordPress seit 2006. Die Wartung mache ich persönlich: Updates, Backups, Monitoring und Berichte erledigt dieselbe Person, mit der Sie den Umfang vereinbaren, und Sie müssen den Kontext Ihrer Website nicht jedes Mal neu erklären. Das Angebot schreibe ich nach einem kurzen Briefing, und der erste Wartungsmonat beginnt mit dem Startaudit, das in der Gebühr für diesen Monat enthalten ist. Schwierige Einzelfälle ohne Wartungsvertrag, etwa wiederkehrende Ausfälle oder Malware, übernehme ich als WordPress-Spezialist.

Bevor wir den Umfang festlegen, schauen Sie selbst nach: Der WordPress Website Check ruft die öffentliche Fassung einer Adresse ab und nennt gemessene Zahlen, darunter die Anfragen, die den ersten Bildaufbau blockieren, und deren Gewicht. Das Ergebnis erscheint sofort und ohne E-Mail-Adresse.