WordPress-Wartung: Vertrag, Kostenlogik und Anbieterwechsel 2026
Einleitung: Wartung ist ein Vertrauensvertrag, kein Abo
Eine WordPress-Wartung ist auf dem Papier immer dasselbe: Updates, Backups, Monitoring, Support. Der Unterschied zwischen einem seriösen Wartungsvertrag und einem teuren Abo liegt nicht in der Leistungsliste, sondern in drei Dingen, die man erst sieht, wenn es brennt: Wurde das Backup jemals wirklich zurückgespielt? Wer geht an, wenn ein Update am Samstagabend die Produktion zerlegt? Und was übergibt der Anbieter, wenn Sie kündigen?
Genau dort setzt dieser Leitfaden an. Er ist für Entscheider geschrieben, die 2026 einen Wartungsvertrag abschließen, einen bestehenden hinterfragen oder den Anbieter wechseln wollen - ohne Ausfallzeit, ohne Datenverlust und ohne dass die Website drei Wochen als Geisel des alten Dienstleisters existiert. Wir bleiben dabei bewusst qualitativ: keine erfundenen Preispunkte, sondern die Kostenlogik, die hinter jedem seriösen Angebot steht, und die Vertragsbausteine, die den Unterschied machen.
Wir beschreiben die Ansprüche so, wie wir sie selbst in der Wartung von WordPress-basierten Websites tagtäglich einlösen: Updates zuerst auf Staging, tägliche Backups, Monitoring rund um die Uhr, Incident-Reaktion in unter vier Stunden. Wenn Sie nach der Lektüre Ihren aktuellen Vertrag mit dieser Liste vergleichen und feststellen, dass Hälfte davon fehlt, war das Papier seinen Preis schon wert.
Was ein seriöser Wartungsvertrag 2026 enthalten muss
Ein Wartungsvertrag ist ein Dienstleistungsversprechen über Zeit. Damit es einhaltbar ist, muss jede zentrale Leistung konkret, messbar und überprüfbar beschrieben sein. Die folgenden sechs Bausteine trennen professionelle Verträge von Marketingbroschüren.
1. Update-Management mit Kompatibilitätsprüfung. Der Vertrag muss festlegen, welche Komponenten aktualisiert werden (WordPress-Core, Plugins, Themes, PHP-Version), in welchem Rhythmus und - entscheidend - in welcher Reihenfolge. Seriös heißt: Updates laufen zuerst auf einer Staging-Umgebung, die die Produktion realistisch abbildet, werden auf geschäftskritische Pfade getestet (Login, Checkout, Formulare, Schnittstellen) und erst danach mit einem definierten Rollback-Pfad auf Produktion übertragen. Sicherheitspatches werden priorisiert und deutlich schneller eingespielt als funktionale Updates. Steht im Vertrag nur “regelmäßige Updates”, ohne Staging und Rollback zu erwähnen, kaufen Sie keine Wartung, sondern ein Glücksspiel.
2. Backups mit Restore-Tests. Ein Backup-Plan besteht aus vier Fragen: Was wird gesichert (Dateien und Datenbank, getrennt voneinander), wie oft, wo liegt es (Off-Site, außerhalb des Hosting-Kontos, in einer anderen Jurisdiktion als der Webserver) und - der Punkt, der fast immer fehlt - wann wurde es zuletzt zurückgespielt? Ein ernstzunehmender Anbieter testet Restores regelmäßig in einer isolierten Umgebung und dokumentiert das Ergebnis. Für DSGVO-pflichtige Sites gehört dazu auch, dass der Backup-Speicher über einen eigenen Auftragsverarbeitungsvertrag abgesichert ist.
3. Uptime- und Sicherheitsmonitoring. Monitoring heißt nicht “ein Ping an die Homepage”. Relevante Checks beobachten die Verfügbarkeit in Minutenintervallen, prüfen Datei-Integrität, scannen auf Malware, erkennen Brute-Force-Angriffe auf den Login und - bei Shops - überwachen synthetisch die Pfade, die Geld kosten: Checkout, Zahlungs-Webhooks, Consent-Banner. Ein Alarm, der in eine ungenutzte Mailbox läuft, ist kein Monitoring. Fragen Sie konkret: In welchem Channel landen Alarme, und wer liest sie wann?
4. Incident-Reaktion mit definierten Reaktionszeiten. “Best effort” ist keine Reaktionszeit. Der Vertrag muss für Prioritätsstufen schreiben, was gilt: wann beginnt die Fehleranalyse nach einem kritischen Ausfall, in welchem Zeitfenster (Zeitzone!) wird reagiert, und wie wird eskaliert? Wir garantieren unseren Wartungskunden Incident-Reaktion in unter vier Stunden während der Geschäftszeiten in MEZ - solche Zahlen gehören in jeden Vertrag, nicht in einen Sales-Anruf.
5. Monatliches Reporting. Ohne Bericht keine Nachvollziehbarkeit. Ein brauchbarer Monatsbericht zeigt: eingespielte Updates (inklusive dessen, was bewusst gepinnt wurde), Backup- und Restore-Status, Uptime-Quote, Sicherheitsvorfälle samt Gegenmaßnahmen und Performance-Trends der Core Web Vitals. Der Bericht ist zugleich das Beweismittel, falls Sie Ihren Vertrag kündigen und der Nachfolger eine saubere Ausgangslage braucht.
6. Ein Budget für kleine Verbesserungen. Wartung, die nur reagiert, lässt eine Seite über Jahre technisch einfrieren. Gute Verträge enthalten eine definierte Menge an Arbeitszeit für Kleinkram, der sonst nie passiert: ein Plugin, das durch eine Core-Funktion ersetzt wird, ein Formular-Text, ein Redirect, ein Caching-Tuning. Diese Tranche verhindert, dass die Site bei jedem echten Change zum Projekt wird.
Fehlt einer dieser sechs Bausteine, ist das kein Dealbreaker - aber es ist ein Gesprächsthema vor der Unterschrift, nicht danach.
Warnsignale: Woran Sie schlechte Wartungsverträge erkennen
Die meisten schlechten Wartungsverträge sind nicht betrügerisch, sondern schlicht unterdimensioniert. Sie versprechen das Wort “Wartung” und liefern ein Bruchteil davon. Diese Muster sehen wir am häufigsten, wenn wir Sites von Vorgängeranbietern übernehmen.
Der Backup-only-Vertrag. Der Anbieter erstellt tägliche Backups und sonst nichts. Kein Staging, kein Update-Management, kein Monitoring. Das klingt nach Sicherheitsnetz, ist aber nur eine Versicherung gegen den Moment, in dem es zu spät ist. Wer die Updates nicht managed, verschiebt das Risiko vom Anbieter auf den Kunden - und der Ausfall, für den das Backup gedacht war, wird gerade durch ungepatchte Komponenten wahrscheinlicher.
Backups ohne Restore-Tests. Ein Archiv, das drei Jahre lang “grün leuchtet”, aber nie zurückgespielt wurde, hat einen unbekannten Zustand. Wir haben Websites übernommen, deren Backup-Kette korrupt war, während das Dashboard erfolgreich grün meldete. Die Frage, die Sie jedem Anbieter stellen sollten: Wann haben Sie zuletzt ein Backup tatsächlich in einer Sandbox zurückgespielt, angemeldet, durchgeklickt und die Datenbank geprüft - nicht nur die Integrität verifiziert?
Unmanaged Plugin-Updates. Automatische Updates ohne Staging sind der häufigste Auslöser für den klassischen Anruf: “Die Seite ist seit heute früh weiß.” Ein Consent-Plugin, das nach einem nächtlichen Auto-Update nicht mehr injiziert wird, ist technisch ein Zwischenfall - aus DSGVO-Sicht aber ein Problem mit Meldepflicht-Potenzial, wenn die Seite 48 Stunden ohne wirksame Einwilligung online war. Genau deshalb testen wir jedes Consent- und Payment-Update manuell und kontrolliert, statt es dem Automatismus zu überlassen.
Keine Dokumentationsübergabe. Der Vertrag regelt die Kündigung, aber nicht, was bei Kündigung passiert. Kein Zugangsverzeichnis, keine Doku zur Staging-Infrastruktur, keine Liste der Custom-Plugins und ihrer Besonderheiten, kein Export der Monitoring-Konfiguration. Der Wechsel wird dann zum archäologischen Projekt - bezahlt vom neuen Anbieter in Ihrer Stunde.
Reaktionszeiten “best effort”, Bericht “auf Anfrage”. Zwei Formulierungen, die im Streitfall wertlos sind. Wenn der Vertrag keine Prioritätsstufen und keinen Zeitzonen-Bezug enthält, hat “best effort” im Ernstfall die Verbindlichkeit eines Tipps.
“Kostenlose Wartung beim Hosting”. Die ehrlichste Übersetzung dieser Zeile lautet: automatische Updates ohne Staging, ein Backup auf demselben Server wie die Site und eine Support-Warteschlange, in der WordPress-Fragen hinter allem anderen einsortiert werden. Für eine Broschürensite mag das reichen. Für eine Site, die Geld verdient, ist es kein Wartungsplan, sondern ein unverwalteter Auto-Updater.
Die Kostenlogik verstehen - ohne Zahlenraten
Wie viel Wartung kostet, hängt nicht vom Markt ab, sondern von vier Faktoren, die Sie selbst beantworten können. Wer diese Logik versteht, erkennt seriöse Angebote von unseriösen - ganz ohne Preisschilder.
Erstens: die Komplexität der Site. Eine Broschürensite mit zwölf Plugins kostet anders zu warten als ein WooCommerce-Shop mit Payment-Stack, ERP-Sync, Consent-Management und mehrsprachiger Struktur. Jede Schnittstelle ist ein Pfad, der nach jedem Update getestet werden muss. Die Plugin-Anzahl allein ist dabei weniger entscheidend als deren Natur: ein Paywall-Plugin verlangt mehr Aufmerksamkeit als ein Statistik-Tool.
Zweitens: die Reaktionszeit, die Sie kaufen. Eine verbindliche Incident-Reaktion in vier Stunden kostet den Anbieter Bereitschaft - Menschen, die ans Telefon gehen. “Next business day” ist eine andere Operations-Klasse und entsprechend anders zu kalkulieren. Beides ist legitim; schlecht ist nur, beides miteinander zu verschweigen.
Drittens: das Verhältnis von Prävention und Reparatur. Wartung ist die billige Hälfte des Lebenszyklus. Die teure Hälfte ist der ungeplante Notfall: restore ohne getestetes Backup, Malware-Cleanup unter Zeitdruck, ein Relaunch, der nur deshalb nötig wird, weil fünf Jahre niemand die Plattform gepflegt hat. Jeder Euro, der in strukturierte Wartung geht, verschiebt Ausgaben von der unprediktablen Kategorie in die planbare.
Viertens: Transparenz der Abrechnungsform. Es gibt im Markt im Wesentlichen vier Modelle - Stundenkontingent mit Übertrag, fester Monatsbetrag mit definiertem Umfang und Stunden-Cap, Incident-only-Bereitschaft, und die zu meidende “kostenlose” Variante. Keines davon ist objektiv falsch; falsch ist es, wenn der Vertrag nicht explizit macht, was drin ist und was Zusatzkosten auslöst. Unsere WordPress-Preisliste zeigt, wie so eine transparente Struktur aussieht - ohne versteckte Überschreitungen und mit nachvollziehbarer Abgrenzung von Wartung und Projektarbeit.
Ein Praxishinweis zum Schluss: Seriöse Anbieter nennen Preise erst nach einem kurzen Briefing oder Site-Audit. Ein Angebot, das ohne Kenntnis Ihrer Plugin-Liste aus dem Ärmel geschüttelt wird, kalkuliert nicht Ihren Aufwand - es kalkuliert Ihren Abschluss.
Der Anbieterwechsel: das komplette Spielbuch
Ein Anbieterwechsel ist in 2026 eine routinefähige Operation. Downtime entsteht nicht durch den Wechsel selbst, sondern durch vier klassische Fehler: fehlende Zugangs-Inventur, Übergabe ohne Audit, Cutover ohne Staging und Kündigungsfristen, die man erst am Ende gelesen hat. Hier ist der Ablauf, den wir bei Übernahmen selbst fahren.
Schritt 1: Zugriffs-Inventur erstellen
Bevor Sie irgendetwas kündigen, erstellen Sie ein vollständiges Verzeichnis aller Zugänge und ihrer Eigentumsverhältnisse. Die Kernliste:
- Domain-Registrar: Wo ist die Domain registriert, wem gehört das Konto, wer hält die Auth-Code-Hoheit? Die Domain muss in Ihrem Eigentum bleiben - niemals im Konto des Anbieters.
- DNS-Verwaltung: Wo liegt die DNS-Zone (Registrar, Cloudflare, Hosting-Panel), wer hat Zugriffsrechte, gibt es TTLs, die man vor dem Cutover absenken sollte?
- Hosting: Konto-Login, Rechnungszahler, Server-Panel. Auch hier: das Konto gehört Ihnen oder Ihrer Firma, nicht dem Dienstleister.
- WordPress-Admin: Liste aller Administrator-Konten, idealerweise mit Bereinigung der Alt-Konten vor dem Wechsel.
- SFTP/SSH und Datenbank: Zugangsdaten, Verbindungsweg, phpMyAdmin oder Adminer, Backup-Zugang zum Off-Site-Speicher.
- Sonstiges: CDN-Konto, Mail-Relay, Lizenzschlüssel für Premium-Plugins (wem gehören die Lizenzen?), Monitoring-Dienste, Staging-Hooks, CI/CD-Zugänge.
Grundsatz für jeden Punkt: Sie brauchen die Fähigkeit, jeden Zugang allein wiederherzustellen. Gehört ein Zugang dem alten Anbieter (Hosting-Konto unter dessen Rechnung, Lizenz unter dessen Name), ist genau das der erste Übergabepunkt - und die erste Verhandlungsposition.
Schritt 2: Audit vor der Übernahme
Der neue Anbieter sollte vor der Übernahme ein technisches Audit fahren: WordPress- und PHP-Version, Plugin-Inventar mit Abandonment-Check, Security-Baseline (Sicherheitsaudit zeigt hier schnell, ob gehärtet wurde oder nicht), Backup-Konfiguration inklusive eines ersten Restore-Tests, Performance-Zustand und - falls vorhanden - die Dokumentation des Vorgängers. Dieses Audit ist keine Höflichkeitsleistung: Es legt die Ausgangslage fest und verhindert, dass Vorschäden des alten Anbieters nach dem Wechsel dem neuen angelastet werden.
Schritt 3: Staging und paralleler Aufbau
Der neue Anbieter baut eine Staging-Umgebung auf, die Produktion realistisch abbildet, und zieht dort seine Werkzeuge auf: Monitoring mit sinnvollen Checks, Backup-Pipeline mit Off-Site-Verifikation, Update-Prozess mit Staging-first. Alle Arbeiten passieren zuerst auf Staging; die Produktion bleibt bis zum Cutover unberührt. In dieser Phase fallen auch die Fragen auf, die später teuer wären: angepinnte Plugins mit einem Grund, der niemand mehr kennt, Cronjobs, die gegen den Caching-Layer arbeiten, Custom-Code ohne Versionsverwaltung.
Schritt 4: Dokumentation, die der neue Anbieter liefern sollte
Verlangen Sie spätestens zum Cutover diese Dokumentation - und machen Sie sie zur Vertragspflicht des neuen Anbieters, damit der nächste Wechsel einfacher wird:
- Zugangs- und Systemdokumentation (diese Inventur, aktualisiert)
- Plugin-Liste mit Entscheidungen: aktualisiert, gepinnt (mit Grund und Prüfdatum), ersetzt
- Backup-Architektur: was, wie oft, wohin, letzter Restore-Test mit Datum
- Monitoring-Übersicht: welche Checks existieren, welche Pfade decken sie ab
- Incident-Prozess: Prioritätsstufen, Reaktionszeiten, Eskalationswege
- Custom-Code-Verzeichnis: eigene Plugins und Themes, wo liegen sie, wie werden sie deployed
Schritt 5: Kündigungsfristen und Vertragsende - die EU-Perspektive
Lesen Sie den bestehenden Vertrag jetzt, nicht in der Kündigungswoche. Drei Punkte sind in der Praxis entscheidend. Erstens die Kündigungsfrist selbst: Monatsfristen sind der DACH-Standard bei B2B-Wartung, aber Jahresverträge mit dreimonatiger Nachlauf-Frist kommen vor. Zweitens die Form: Was ist schriftlich erforderlich, was reicht per E-Mail? Drittens - und das ist der EU-Verbraucherrechtswinkel: Bei Verträgen, die als Verbrauchervertrag geschlossen wurden, gilt ein 14-tägiges Widerrufsrecht beim Fernabsatz, sofern nichts anderes greift; bei laufenden Dienstleistungen erlischt es voll oder anteilig, sobald die Leistung vollständig erbracht ist und dem Widerruf ausdrücklich zugestimmt wurde. B2B-Verträge kennen dieses Recht nicht - dort zählt allein der Vertragstext. Ein weiterer, oft überlesener Satz in seriösen Verträgen: die Übergabepflicht. Der Anbieter verpflichtet sich bei Kündigung zur kooperativen Übergabe aller Zugänge, Daten und Dokumentationen. Fehlt dieser Satz, ist das ein Warnsignal - nicht nur für den Wechsel, sondern dafür, wie der Anbieter generell mit Abhängigkeit umgeht.
Schritt 6: Die Zero-Downtime-Cutover-Checkliste
Der eigentliche Umschalttag ist unspektakulär, wenn alles vorbereitet ist. Diese Liste hat sich bei unseren Übernahmen bewährt:
- Cutover-Fenster in der Low-Traffic-Zeit wählen (für DACH typisch: früher Morgen, MEZ), alle Stakeholder informiert.
- Vollständiges Backup der Produktion unmittelbar vor dem Cutover, direkt verifiziert.
- Deployments einfrieren: Der alte Anbieter pusht nichts mehr, die Redaktion publiziert nichts - ein Fenster von ein bis zwei Stunden reicht normalerweise.
- DNS-TTL vorab senken (Stunden statt Tage), damit ein eventuell nötiger Nameserver-Wechsel schnell zieht.
- Neue Werkzeuge parallel scharf schalten: Monitoring und Backup-Pipeline des neuen Anbieters laufen schon, bevor er die Verantwortung trägt.
- Smoke-Tests auf Produktion: Login, zentrale Landingpages, Formular-Absendung, bei Shops ein vollständiger Test-Kauf inklusive Zahlungs-Webhook, Consent-Banner im DOM.
- Rollback-Pfad steht: DNS-Änderung ist reversibel, das Vorab-Backup ermöglicht Restore. Wenn nach dem Cutover etwas klemmt, ist Zurück immer die Option - nicht Perfektion um jeden Preis.
- Nachbereitungs-Log: Was wurde umgeschaltet, welche Checks wurden durchgeführt, welche Auffälligkeiten gibt es in den ersten 48 Stunden.
Führen Sie diesen Wechsel als Software-Release, nicht als Firmenumzug. Ein Release hat Freeze, Rollback und Tests - ein Umzug hat Kartons. Letzteres ist die Erklärung für die meisten Ausfälle, die man “dem Wechsel zuschreibt”.
DACH-Besonderheiten: DSGVO, AVV, BFSG und EUR-Rechnungen
AVV nach Art. 28 DSGVO. Sobald Ihr Wartungsanbieter Zugriff auf personenbezogene Daten der Website hat - Kontaktformulare, Bestellungen, Nutzerkonten, Logs, Backups dieser Daten -, verarbeitet er als Auftragsverarbeiter. Der Auftragsverarbeitungsvertrag ist dann gesetzliche Pflicht. Achten Sie auf drei Details, die in der Praxis übersehen werden: Der AVV muss auch Subunternehmer abdecken (etwa den Backup-Speicheranbieter); der Off-Site-Backup-Speicher sollte in der EU liegen und einen eigenen AVV haben; und der AVV sollte dokumentierte Lösch- und Rückgabepflichten für das Vertragsende enthalten - auch das gehört zur sauberen Übergabe.
BFSG: Barrierefreiheit endet nicht mit dem Launch. Das Barrierefreiheitsstärkungsgesetz hat die Pflichten für viele B2C-Online-Angebote in Deutschland verbindlich gemacht - und diese Pflichten bestehen unter laufender Wartung fort. Ein Theme-Update, ein neues Plugin oder ein getauschtes Formular-Widget kann Kontraste, Fokus-Reihenfolge oder Tastatur-Bedienbarkeit unbemerkt verschlechtern. Ein Wartungsvertrag, der Barrierefreiheit nicht erwähnt, behandelt sie als einmaliges Launch-Kriterium. Besser: Regressionstests der kritischen Accessibility-Merkmale bei relevanten Updates und ein jährlicher Stand, ob die Site noch im Umfang der BFSG-Anforderungen konform ist.
EUR-Rechnung und schriftliche Reaktionszeiten. Für DACH-Kunden gehört zum seriösen Rahmen auch das Banale: Rechnungen in EUR, umsatzsteuerlich sauber (bei EU-Dienstleistern mit korrekter Reverse-Charge-Behandlung), und alle zugesagten Reaktionszeiten schriftlich im Vertrag - mit Zeitzonenbezug. “Wir sind immer erreichbar” ist Marketing; “Fehleranalyse beginnt innerhalb von vier Stunden nach Meldung, MEZ-Geschäftszeiten” ist eine Vertragsklausel. Wir arbeiten mit deutschen und österreichischen Kunden seit Jahren genau nach diesem Muster, und die Reaktionszeit-Zeile im Vertrag hat im Ernstfall noch nie geschadet.
Fazit: Vertrag vor Wechsel, Wechsel ohne Drama
Ein guter Wartungsvertrag 2026 ist erkennbar an derart banalen Dingen wie einem Restore-Test mit Datum, einer Reaktionszeit mit Zeitzone und einem Bericht, der jeden Monat wirklich ankommt. Ein guter Anbieterwechsel ist erkennbar daran, dass er wie ein Software-Release abläuft: Inventur, Audit, paralleler Aufbau, Freeze, Cutover, Rollback-Option. Beides erfordert keine Spezialtechnik - sondern Disziplin, die man vertraglich festlegen kann.
Wenn Sie Ihren aktuellen Vertrag gerade mit dieser Liste vergleichen oder einen Wechsel planen: Die Wartung von WordPress-basierten Websites beschreibt unseren Ansatz im Detail, die WordPress-Preisliste zeigt unsere transparente Kalkulationsstruktur, und über das Kontaktformular erhalten Sie nach einem kurzen Briefing ein schriftliches Angebot. Für die strategische Vorauswahl lohnt vorab ein Blick auf unseren Agentur-Vergleich 2026 und den Artikel zu erweitertem Security-Hardening - Letzterer ist der beste Test, ob Ihr aktueller Anbieter die Themen kennt, über die er Ihnen im Vertrag schreibt.
