# Website-Wartung: Was regelmäßig passieren muss

> Der Wartungsplan als Tabelle, Updates mit Testumgebung, Backups nach 3-2-1 mit Wiederherstellungstest, Monitoring, Sicherheit und die Fristen, die niemand im Kalender hat.

- Veröffentlicht: 2026-09-27
- Aktualisiert: 2026-10-16
- Quelle: https://art-kon-tor-digital.de/wissen/website-wartung-was-regelmaessig-passieren-muss/

---

Eine Website braucht Wartung in festen Rhythmen: Sicherheitsupdates sofort, übrige Updates wöchentlich auf einer Testumgebung geprüft, Backups täglich und getrennt vom Webserver, laufendes Monitoring von Erreichbarkeit und Zertifikaten. Monatlich prüfst du Formulare, Fehlerprotokolle, Ladezeit und tote Links, vierteljährlich Plugins, Benutzerkonten und PHP-Version, jährlich Rechtstexte, Barrierefreiheit und Inhalte. Und mindestens zweimal im Jahr stellst du ein Backup testweise wieder her. Wer das nicht plant, merkt die Lücken erst, wenn die Website steht oder gehackt ist. Dieser Artikel ist unser Wartungsplan aus Jena, egal, ob du ihn selbst umsetzt oder abgibst.

## Der Wartungsplan auf einen Blick

Eine WordPress-Website oder ein Shop besteht aus vielen Teilen, die sich unabhängig voneinander ändern: WordPress selbst, Theme, Plugins, PHP, Server, Zertifikat, Domain. Jeder Teil hat seinen eigenen Rhythmus. Diese Übersicht nutzen wir als Grundlage:

| Rhythmus | Aufgabe | Warum |
| --- | --- | --- |
| Laufend | Monitoring: Erreichbarkeit, Antwortzeit, Zertifikat, Speicherplatz | Ausfälle fallen auf, bevor Kunden anrufen |
| Sofort | Sicherheitsupdates für bekannte Lücken | Lücken werden nach Bekanntwerden schnell automatisiert ausgenutzt |
| Täglich | Backup von Dateien und Datenbank, getrennt vom Webserver | Ohne Kopie keine Wiederherstellung |
| Wöchentlich | Updates von WordPress, Theme und Plugins, erst Test, dann live | Kleine Schritte sind leichter zu prüfen als große |
| Monatlich | Formulare testen, Fehlerprotokoll lesen, 404-Seiten, Ladezeit, Spam | Vieles geht still kaputt, ohne Fehlermeldung |
| Vierteljährlich | Plugin-Inventur, Benutzerkonten und Rechte, PHP-Version, Wiederherstellungstest | Altlasten sammeln sich an |
| Jährlich | Rechtstexte, Barrierefreiheit, veraltete Inhalte, Domain und Verträge | Recht, Angebot und Team ändern sich |

Stand: 09/2026. Unser Standard für WordPress-Websites und Shops; bei großen Shops enger getaktet.

Der jährliche Teil wird am häufigsten vergessen, weil er keine Technik ist: Stimmen Datenschutzerklärung und Impressum noch, sind neue Dienste eingebunden, stehen ausgeschiedene Mitarbeiter noch auf der Teamseite, gibt es Seiten zu Leistungen, die niemand mehr anbietet? Wer unter das BFSG fällt, prüft bei dieser Gelegenheit auch die [Barrierefreiheitserklärung](/wissen/barrierefreiheitserklaerung-schreiben/).

## Updates: Reihenfolge und Testumgebung

Updates sind der Kern der Wartung und gleichzeitig ihr größtes Risiko. Ein Plugin-Update kann ein Layout zerlegen, ein PHP-Update ein altes Plugin lahmlegen. Deshalb gehören zu jedem Update ein frisches Backup und, wo Vertrag und Budget es vorsehen, ein Test auf einer Kopie der Website.

1. **Backup vorher.** Unmittelbar vor dem Update, nicht „gestern Nacht war ja eins“.
2. **Testumgebung.** Eine Kopie der Website, auf der alle Updates zuerst eingespielt werden. Dort prüfen wir Startseite, zentrale Seiten, Formulare und bei Shops den kompletten Weg bis zur Bestellung.
3. **Reihenfolge.** Erst Plugins, dann Theme, dann WordPress. Große Versionssprünge einzeln, damit klar ist, welches Update ein Problem verursacht.
4. **Änderungsprotokolle lesen.** Bei großen Updates steht dort, was sich ändert und ob Anpassungen nötig sind.
5. **Live einspielen und nachprüfen.** Dieselben Stichproben noch einmal auf der Live-Website.

Automatische Updates sind für kleine Sicherheitsupdates von WordPress sinnvoll. Für Plugins und große Versionen empfehlen wir sie nur bei Websites ohne Formulare, Shop oder Sonderfunktionen. Und das beste Update ist das, das gar nicht nötig ist: Jedes Plugin, das nicht mehr gebraucht wird, fliegt raus. Weniger Plugins heißt weniger Lücken, weniger Konflikte, weniger Arbeit.

## Backups und Wiederherstellung

Ein Backup, das auf demselben Server liegt wie die Website, ist bei einem Hardwareschaden, einem Hack oder einem Fehler des Hosters mit weg. Die Regel, nach der wir arbeiten, heißt [3-2-1](/glossar/backup-3-2-1/): drei Kopien, zwei verschiedene Speicherorte, eine davon außer Haus.

- Dateien und Datenbank sichern, die Datenbank enthält Inhalte, Bestellungen und Einstellungen, die Dateien Bilder, Theme und Plugins.
- Mehrere Stände aufbewahren, nicht nur den letzten. Ein Schadcode, der seit zwei Wochen auf der Website liegt, ist auch im gestrigen Backup.
- Backups verschlüsseln und festlegen, wer den Schlüssel hat, das sollte nicht nur der Dienstleister sein.
- Wiederherstellung testen: auf einer Testumgebung, mit Stoppuhr. Erst dann weißt du, ob das Backup funktioniert und wie lange ein Ausfall dauern würde.

Der Wiederherstellungstest ist der Punkt, der in fast jeder Übernahme fehlt, die wir machen. Ein Protokoll, das „Backup erfolgreich“ meldet, sagt nur, dass eine Datei geschrieben wurde. Ob sich daraus eine funktionierende Website bauen lässt, zeigt nur der Versuch.

## Monitoring und Sicherheit

Monitoring prüft rund um die Uhr, ob die Website antwortet, wie schnell sie das tut und ob das Zertifikat noch gültig ist. Es meldet sich, wenn etwas nicht stimmt, idealerweise bei jemandem, der dann auch handelt. Dazu kommen Maßnahmen, die Angriffe erschweren:

- Anmeldung schützen: starke Passwörter, [Mehrfaktor-Anmeldung](/glossar/mfa/) für alle Konten mit Administratorrechten, Begrenzung von Anmeldeversuchen.
- Benutzerkonten aufräumen: Ehemalige Mitarbeiter, frühere Agenturen und Testkonten haben auf der Website nichts mehr verloren.
- Formulare gegen Spam schützen, ohne dass echte Nutzer an einem Bilderrätsel scheitern.
- E-Mail-Versand prüfen: Kommen Formularmails an, oder landen sie seit Wochen im Spam? SPF, DKIM und DMARC für die Absenderdomain gehören dazu.
- Fehlerprotokolle lesen: Viele Probleme kündigen sich dort an, lange bevor sie sichtbar werden.

### Fristen, die niemand im Kalender hat

Manche Ausfälle kommen mit Ansage und treffen trotzdem überraschend: das TLS-Zertifikat, dessen automatische Verlängerung seit einem Serverumzug nicht mehr läuft; die Domain, deren Verlängerung an einer abgelaufenen Kreditkarte scheitert; die PHP-Version, für die es keine Sicherheitsupdates mehr gibt; die Lizenz für ein kostenpflichtiges Plugin, ohne die keine Updates mehr kommen. Alle diese Termine gehören in eine Liste, die jemand verantwortet.

## Selbst machen oder abgeben?

Eine kleine Website mit wenigen Plugins kann jemand im Haus warten, wenn er Zeit, eine Testumgebung und eine Checkliste hat. Für Websites mit Shop, Formularen, die Anfragen bringen, oder vielen Erweiterungen lohnt sich ein Wartungsvertrag, nicht, weil die einzelnen Schritte schwer sind, sondern weil sie zuverlässig jede Woche passieren müssen, auch im Urlaub und in der Hochsaison.

Bei uns kommen Wartung, [Hosting auf eigenen Servern](/it/hosting-managed-server/) und Sicherheit aus einem Haus: Das Team, das die Website pflegt, kennt auch den Server, auf dem sie läuft. Eine Bereitschaft rund um die Uhr ist optional im Vertrag möglich, für Shops und Websites, bei denen ein nächtlicher Ausfall wirklich Geld kostet. Was die [Website-Wartung](/web/website-wartung/) bei uns umfasst und wie wir bestehende Websites anderer Agenturen übernehmen, steht auf der Leistungsseite.

## Fazit

Website-Wartung ist kein Projekt, sondern ein Kalender: laufend überwachen, sofort patchen, täglich sichern, wöchentlich aktualisieren, monatlich prüfen, jährlich aufräumen. Die meisten Schäden, die wir sehen, entstehen nicht durch raffinierte Angriffe, sondern durch ein ausgelassenes Update, ein nie getestetes Backup oder ein abgelaufenes Zertifikat. Wer den Plan oben einhält, selbst oder mit Dienstleister, hat eine Website, die nicht nur heute funktioniert. Und wenn die Website dabei langsam geworden ist, helfen die Tipps im Artikel [Core Web Vitals verbessern](/wissen/core-web-vitals-verbessern/).

## Häufige Fragen

Wie oft sollte ich WordPress und Plugins aktualisieren?
Sicherheitsupdates so schnell wie möglich, alle anderen in einem festen Rhythmus. Wie oft das ist und ob Updates vorher auf einer Testumgebung oder direkt auf der Live-Website laufen, legen wir im Wartungsvertrag fest, je nach Website und Budget. Ein frisches Backup gehört in jedem Fall dazu.

Reichen die automatischen Updates von WordPress?
Für kleine Sicherheitsupdates des Kerns ja. Automatische Plugin-Updates auf der Live-Website sind bei Shops und Websites mit wichtigen Formularen riskant, weil niemand prüft, ob danach noch alles funktioniert.

Braucht auch eine kleine Website Wartung?
Ja. Auch eine Website mit fünf Seiten läuft auf Software, die Sicherheitslücken bekommt, und auf einem Server mit Zertifikat und PHP-Version. Der Aufwand ist kleiner, aber er ist nicht null.

Übernehmt ihr die Wartung für Websites anderer Agenturen?
Ja, das ist ein häufiger Fall. Wir beginnen mit einer Bestandsaufnahme von Zugängen, Plugins, Backups und Sicherheit und sagen dir danach ehrlich, ob sich Pflege, Aufräumen oder ein Neubau lohnt.

Gibt es eine Bereitschaft rund um die Uhr?
Optional, als Bestandteil des Wartungsvertrags. Für die meisten Websites reicht eine Betreuung zu Geschäftszeiten mit Monitoring rund um die Uhr; bei Shops mit nächtlichem Umsatz kann die Bereitschaft sinnvoll sein.

*Stand: September 2026, wir aktualisieren diesen Artikel, wenn sich Rechtslage oder Technik ändern.*