Eine WordPress-Wartung hält Kern, Erweiterungen und Serverumgebung auf einem Stand, den die Hersteller noch mit Sicherheitsupdates versorgen, und sichert die Website vor jedem Eingriff. Das Hosting allein leistet das nicht. Der Hoster betreibt den Server, die Installation darauf altert ohne Zutun weiter. Die Statistik von WordPress zeigt am 26. Oktober 2026, dass rund 34 Prozent aller erfassten Installationen auf einer PHP-Version laufen, die keine Sicherheitsupdates mehr erhält, und dass 36 Prozent eine ältere Version als das aktuelle WordPress 7.1 nutzen. Ein Wartungsvertrag legt fest, wer Updates einspielt, wer vorher sichert, wer danach prüft und wer im Notfall erreichbar ist.
Was eine WordPress-Wartung umfasst
Der Kern der Wartung sind Updates auf drei Ebenen: WordPress selbst, die Plugins und Themes sowie die PHP-Version auf dem Server. Laut der WordPress-Dokumentation zu Updates spielt das System kleinere Wartungs- und Sicherheitsreleases von Haus aus automatisch ein. Hauptversionen aktualisieren sich nur bei Neuinstallationen ab Version 5.6 von selbst. Jedes Plugin und jedes Theme bleibt ohne Eingriff auf seinem Stand, es sei denn, Ihr schaltet die automatische Aktualisierung je Erweiterung ein. Genau dort entsteht die Lücke. Laut dem Sicherheitsreport von Patchstack betrafen 91 Prozent der 11.334 Schwachstellen des Jahres 2025 Plugins, 9 Prozent Themes und nur sechs Meldungen den Kern.
Die zweite Ebene ist die Sicherung. Die WordPress-Dokumentation zu Backups nennt Dateien und Datenbank als Paar, das nur gemeinsam eine vollständige Wiederherstellung erlaubt, und empfiehlt drei bis fünf aktuelle Kopien an unterschiedlichen Orten sowie eine Sicherung vor jedem Upgrade. Die dritte Ebene ist die Prüfung nach dem Update: Lädt die Startseite, funktionieren Formulare und Kasse, stimmen Darstellung und Ladezeit? Dazu kommen die Überwachung der Erreichbarkeit und ein Blick auf die Serverumgebung. WordPress empfiehlt in den Systemanforderungen PHP 8.3 oder neuer sowie MariaDB 10.11 oder MySQL 8.0 und warnt, dass ältere Versionen die Website Sicherheitslücken aussetzen.
Welcher Wartungsrhythmus zu Eurer Website passt
Der Takt richtet sich nach dem Tempo der Hersteller. Die Release-Übersicht von WordPress zeigt für den Herbst 2026 drei Sicherheitsreleases in drei Wochen: 7.1.1 am 17. September, 7.1.2 am 22. September und 7.1.3 am 6. Oktober 2026. WordPress weist dort darauf hin, dass nur die jeweils neueste Version der aktuellen Reihe als sicher gilt und gepflegt wird. Bei Plugins ist der Druck höher. Der gewichtete Median bis zur ersten Ausnutzung einer offengelegten Lücke liegt laut Patchstack bei fünf Stunden, und bei 46 Prozent der Meldungen gab es zur Offenlegung noch keinen Patch. Ein monatlicher Update-Termin deckt diese Fälle nicht ab. Dafür braucht es automatische Sicherheitsupdates plus eine Frühwarnung bei Lücken ohne Patch. Wie das Angriffsfenster im Alltag aussieht, beschreibt unser Artikel zur WordPress-Sicherheit, ein konkreter Fall steht im Beitrag zu wp2shell.
Für Backups gibt die WordPress-Dokumentation eine einfache Regel: kleine Websites mit wenigen Beiträgen wöchentlich sichern, stark genutzte täglich, und automatische Sicherungen gelegentlich von Hand prüfen, ob sie wirklich funktionieren. Für PHP gilt ein Jahresrhythmus. Jede Version erhält laut der Support-Übersicht von php.net zwei Jahre aktive Pflege und danach zwei Jahre Sicherheitsupdates. Für PHP 8.2 enden sie am 31. Dezember 2026, PHP 8.1 ist seit dem 31. Dezember 2025 ohne Pflege. Wer heute noch auf PHP 7.4 arbeitet, wie 15 Prozent aller erfassten WordPress-Installationen, läuft seit dem 28. November 2022 ohne Sicherheitsupdates für die Sprache, in der WordPress geschrieben ist. Der Wechsel auf eine aktuelle PHP-Version gehört deshalb einmal im Jahr auf den Wartungsplan, mit Test auf einer Kopie der Website, weil alte Plugins dabei ausfallen können.
Wer die WordPress-Wartung übernimmt
Drei Wege sind üblich. Ihr macht es selbst, was bei einer kleinen Website mit wenigen Plugins funktioniert, solange jemand die Updates regelmäßig einspielt, vorher sichert und danach prüft. Der Hoster übernimmt Server, PHP und meist ein Backup des Webspace, aber keine Updates von Plugins und Themes und keine Prüfung Eurer Website danach. Eine Agentur bündelt Updates, Sicherung, Test, Überwachung und Notfall in einem Vertrag mit festen Reaktionszeiten. Das Schaubild zeigt die Grenze zwischen Hosting und Wartung: Links läuft der Server stabil, während die Installation darauf altert und Lücken sammelt. Rechts hält der Wartungsvertrag dieselbe Website auf Stand, mit Sicherung vor jedem Eingriff und einer Prüfung danach. Ein guter Vertrag regelt mindestens diese Punkte:
- Update-Rhythmus und Reaktionszeit: wann reguläre Updates laufen und wie schnell eine gemeldete Sicherheitslücke geschlossen wird.
- Sicherung: Backup vor jedem Update, Aufbewahrungsdauer der Kopien, Speicherort in der EU und eine Wiederherstellung, die regelmäßig geprobt wird.
- Prüfung nach dem Update: Sichtprüfung der wichtigsten Seiten, Test von Formularen, Buchungsstrecken und Kasse, bei größeren Änderungen vorab auf einer Testkopie.
- Überwachung: Erreichbarkeit, SSL-Zertifikat, Ladezeit und Warnung bei neuen Administratorkonten oder veränderten Dateien.
- Notfall: Wiederherstellung aus dem Backup, Bereinigung nach einem Hack und ein erreichbarer Ansprechpartner mit zugesagter Reaktionszeit.
- Bericht und Datenschutz: ein monatlicher Bericht über alle Eingriffe und ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, weil die Agentur mit dem Administratorzugang auf personenbezogene Daten zugreifen kann.
Was die Wartung kostet und was den Preis treibt
Die Preise hängen am Umfang, und die folgenden Zahlen stammen von den Anbietern selbst.Kopf & Stift staffelt seine Pakete von 25 € netto im Monat für kleine Content-Websites mit monatlichem Update-Durchgang und 30 Tagen Backup-Aufbewahrung bis 124 € netto für WooCommerce-Shops mit Testbestellung nach jedem Update. Forge12 nennt 29 € im Monat als Einstieg und rechnet im eigenen Kostenvergleich mit 50 € im Monat. WPBeginner setzt im Dezember 2025 eine Geschäftswebsite bei 100 bis 300 US-Dollar im Monat an, Online-Shops bei 300 bis 1.000. Zum Vergleich der Notfall: Forge12 kalkuliert für eine Wiederherstellung nach einem Hack acht Stunden zu 35 bis 160 € pro Stunde, also 280 bis 1.280 €. Den Preis bestimmen vor allem diese Faktoren:
- Zahl der Erweiterungen: jedes Plugin und jedes Theme bedeutet eigene Updates und eigene Prüfpunkte.
- Funktionen mit Geschäftsrisiko: Shop, Buchungssystem, Mitgliederbereich oder Mehrsprachigkeit erhöhen den Testaufwand nach jedem Update.
- Reaktionszeit und Intervall: Updates innerhalb von 24 Stunden und Erreichbarkeitsprüfung alle 15 Minuten kosten mehr als ein monatlicher Durchgang.
- Enthaltene Stunden: kleine Änderungen und Support im Paket oder nach Aufwand abgerechnet.
- Lizenzen: Premium-Plugins und Themes brauchen laufende Lizenzen, sonst bleiben Updates aus.
- Verbindlichkeit: eine WordPress-Agentur Düsseldorf sollte jeden Punkt der Vertragsliste oben schriftlich zusagen.
FAQs zur WordPress-Wartung
Warum ist eine WordPress-Wartung sinnvoll?
Weil WordPress nur die kleineren Updates des Kerns von selbst einspielt und Plugins, Themes und PHP ohne Eingriff altern. 2025 wurden laut Patchstack 11.334 Schwachstellen im WordPress-Ökosystem gemeldet, 91 Prozent davon in Plugins. Eine WordPress-Wartung schließt diese Lücken zeitnah, sichert die Website vorher und prüft sie danach.
Wie oft sollte WordPress aktualisiert werden?
Sicherheitsupdates sofort, reguläre Updates mindestens monatlich. Im Herbst 2026 erschienen drei Sicherheitsreleases von WordPress in drei Wochen, und offengelegte Plugin-Lücken werden im Median nach fünf Stunden ausgenutzt. Die PHP-Version gehört einmal im Jahr auf den Plan, weil jede Version nach vier Jahren keine Sicherheitsupdates mehr erhält.
Was kostet WordPress-Wartung im Monat?
Nach Anbieterangaben zwischen 25 und 60 € netto im Monat für eine Unternehmenswebsite ohne Shop und ab etwa 120 € für WooCommerce-Shops mit Testbestellung nach jedem Update. Internationale Anbieter setzen Geschäftswebsites bei 100 bis 300 US-Dollar an. Der Preis steigt mit der Zahl der Plugins, mit Shop- und Buchungsfunktionen und mit kurzen Reaktionszeiten.
Reicht das Backup meines Hosters?
Nein, als einzige Sicherung reicht es meist nicht. WordPress empfiehlt drei bis fünf aktuelle Kopien an unterschiedlichen Orten, jeweils aus Dateien und Datenbank, und eine zusätzliche Sicherung vor jedem Update. Das Hoster-Backup läuft nach dessen Zeitplan und selten unmittelbar vor Eurem Update. Seine Wiederherstellung solltet Ihr einmal geprobt haben, bevor Ihr Euch darauf verlasst.
Kann ich die WordPress-Wartung selbst übernehmen?
Ja, bei einer kleinen Website mit wenigen Plugins und ohne Shop. Dann gehören dazu: automatische Updates für Kern und geprüfte Plugins aktivieren, vor jedem manuellen Update sichern, danach die wichtigsten Seiten und Formulare prüfen und einmal im Jahr die PHP-Version anheben. Sobald Umsatz an der Website hängt oder niemand die Updates verlässlich einplant, lohnt sich ein Wartungsvertrag.
