Eine Website ist kein Projekt, das mit dem Livegang abgeschlossen ist. Gerade WordPress-Seiten bestehen aus vielen Bausteinen: dem System selbst, einem Theme, oft einem Page Builder und zahlreichen Plugins. Alle diese Teile bekommen regelmäßig Updates, und viele davon schließen Sicherheitslücken.
Wie wichtig das ist, hat der Oktober 2026 gezeigt.
Ein aktuelles Beispiel: die PHP-Lücke vom Oktober 2026
Am 21. Oktober 2026 wurden zwei kritische Sicherheitslücken in PHP bekannt, der Programmiersprache, auf der WordPress läuft. Über diese Lücken konnten Angreifer auf betroffenen Servern Schadcode ausführen, ohne sich anmelden zu müssen. Erste Angriffe gab es bereits, bevor die Updates verfügbar waren.
Geschlossen wurden die Lücken mit den PHP-Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Für PHP 8.1 und ältere Versionen gab es vom PHP-Projekt kein Update mehr.
Daraus lassen sich drei Lehren ziehen:
- Ein WordPress-Update allein reicht nicht. Die Lücke steckte im Server, nicht in WordPress. Entscheidend war, welche PHP-Version beim Hoster läuft.
- Veraltete Versionen sind ein Risiko. Wer noch PHP 8.1 oder älter nutzt, bekommt keine Sicherheitsupdates mehr.
- Schnelligkeit zählt. Zwischen Bekanntwerden einer Lücke und den ersten Angriffen liegen oft nur Stunden.
Die meisten Website-Betreiber haben von dieser Lücke nichts mitbekommen. Genau das ist das Problem.
Was gehört zur WordPress-Wartung?
Eine solide Wartung umfasst mehr als einen Klick auf „Alle aktualisieren“:
- Updates von WordPress, Theme und Plugins, mit anschließender Prüfung, ob alles noch funktioniert
- Regelmäßige Backups von Dateien und Datenbank, getrennt vom Server gespeichert
- Überwachung der Erreichbarkeit, damit ein Ausfall auffällt, bevor Kunden ihn bemerken
- Überwachung des SSL-Zertifikats, damit keine Sicherheitswarnung im Browser erscheint
- Sicherheitschecks auf veraltete Komponenten, bekannte Schwachstellen und verdächtige Benutzerkonten
- Kontrolle der PHP-Version beim Hoster
- Ein kurzer Bericht, damit nachvollziehbar ist, was gemacht wurde
Bei Onlineshops kommt hinzu, nach jedem Update Warenkorb, Kasse und Zahlungsarten zu testen. Ein Fehler im Bestellprozess kostet sonst direkt Umsatz.
Was passiert ohne Wartung?
Nicht gepflegte Websites altern still. Typische Folgen sind:
- Gehackte Seiten, die Spam versenden, Besucher auf fremde Seiten umleiten oder von Google als gefährlich markiert werden
- Plötzliche Ausfälle nach automatischen Updates, die niemand prüft
- Defekte Formulare, über die wochenlang keine Anfragen ankommen, ohne dass es jemand merkt
- Datenschutzprobleme, wenn veraltete Plugins Daten unbemerkt an Dritte übertragen
Eine Wiederherstellung nach einem Hack ist fast immer deutlich teurer und stressiger als ein Jahr laufende Wartung.
Was kostet WordPress-Wartung 2026?
Die Preise am Markt liegen weit auseinander. Als grobe Orientierung:
| Variante | Typische Kosten pro Monat | Geeignet für |
|---|---|---|
| Selbst machen | Ihre Zeit, ca. 1 bis 3 Stunden | Technisch versierte Betreiber kleiner Seiten |
| Basis-Wartung | ca. 25 bis 60 € | Kleine Unternehmensseiten ohne häufige Änderungen |
| Wartung mit Änderungskontingent | ca. 80 bis 150 € | Seiten, an denen regelmäßig etwas angepasst wird |
| Shop-Wartung | ab ca. 100 € | WooCommerce-Shops mit laufendem Verkauf |
Wovon der Preis abhängt:
- Anzahl und Art der Plugins: Je mehr Erweiterungen, desto mehr kann bei Updates schiefgehen.
- Shop oder nicht: Shops brauchen nach jedem Update zusätzliche Tests.
- Änderungskontingent: Sind kleine inhaltliche Anpassungen inklusive oder werden sie extra berechnet?
- Reaktionszeit: Wie schnell meldet sich der Dienstleister, wenn etwas nicht funktioniert?
Woran Sie einen guten Wartungsvertrag erkennen
Bevor Sie einen Wartungsvertrag abschließen, sollten Sie diese Fragen klären:
- Wo liegen die Backups, und wurde eine Wiederherstellung schon einmal getestet?
- Werden Updates nach dem Einspielen geprüft, oder nur automatisch durchgeführt?
- Was ist nicht enthalten, etwa die Bereinigung nach einem Hack?
- Wie lange ist die Mindestlaufzeit, und wie kann gekündigt werden?
- Gibt es einen Auftragsverarbeitungsvertrag? Wer Zugriff auf Ihre Website hat, verarbeitet in der Regel auch personenbezogene Daten, etwa aus Formularen oder Bestellungen.
- Erhalten Sie einen regelmäßigen Bericht, aus dem hervorgeht, was gemacht wurde?
Wartung selbst übernehmen: Ihre Monatsroutine
Wenn Sie die Wartung selbst übernehmen möchten, hilft diese Routine:
- Vollständiges Backup erstellen und an einem sicheren Ort ablegen
- Updates einspielen, idealerweise erst auf einer Testumgebung
- Startseite, wichtige Unterseiten, Formulare und bei Shops den Bestellprozess testen
- PHP-Version im Hosting-Bereich prüfen
- Benutzerkonten durchsehen und nicht mehr benötigte entfernen
- Ungenutzte Plugins und Themes löschen, nicht nur deaktivieren
- Ladezeit kurz prüfen, zum Beispiel mit unserem kostenlosen Ladezeit-Check
Planen Sie dafür einen festen Termin im Monat ein und reagieren Sie bei kritischen Sicherheitsmeldungen sofort.
Fazit
WordPress-Wartung ist keine Zusatzleistung, sondern Teil des Betriebs einer Website, so wie der Ölwechsel beim Auto. Die Oktober-Lücke hat gezeigt, dass Sicherheit nicht nur von WordPress-Updates abhängt, sondern auch vom Server und von der Reaktionsgeschwindigkeit.
Sie möchten sich nicht selbst darum kümmern? Unsere Pflegepakete gibt es zum festen Monatspreis, für WordPress und WooCommerce, mit wöchentlichen Backups, Überwachung und Monatsbericht. Mehr zur laufenden Betreuung finden Sie unter Wartung & Pflege.