WordPress Wartung Kosten: Was eine ungepflegte Seite kostet

Eine Website läuft. Sie sieht aus wie am ersten Tag, Anfragen kommen, niemand beschwert sich. Genau in dieser Phase wirkt jeder Betrag für Pflege wie herausgeworfenes Geld — und genau deshalb stehen bei WordPress Wartung Kosten die meisten Unternehmen erst dann auf der Rechnung, wenn es zu spät ist.

Der Grund ist ein Denkfehler, den man niemandem vorwerfen kann: Eine Website fühlt sich an wie ein Gegenstand. Man kauft sie einmal, dann steht sie da. Tatsächlich ist sie eher wie ein Fahrzeug im Dauerbetrieb — sie besteht aus Bauteilen, die von unterschiedlichen Herstellern kommen und laufend verändert werden.

Dieser Beitrag rechnet beide Seiten nüchtern gegeneinander: was laufende Pflege verursacht und was ein Ausfall tatsächlich kostet. Ohne Panikmache und ohne erfundene Zahlen über Angriffe.

Was eine WordPress-Website eigentlich ist

WordPress selbst ist nur das Grundgerüst. Alles, was Ihre Seite tatsächlich kann — Kontaktmöglichkeiten, Bildergalerien, Terminbuchung, Shop, Design —, kommt aus Erweiterungen, die Fachleute Plugins nennen: Zusatzprogramme von fremden Anbietern.

Eine typische Unternehmensseite bringt ein bis zwei Dutzend davon mit, dazu ein Design-Paket. Jedes dieser Teile wird von jemand anderem entwickelt, in eigenem Tempo aktualisiert — und manches wird irgendwann gar nicht mehr gepflegt.

Damit ist Ihre Website kein fertiges Produkt, sondern eine Zusammenstellung fremder Bauteile. Und Bauteile, die niemand mehr anfasst, werden mit der Zeit zum Einfallstor.

Sicherheitslücken entstehen fast nie im Kern

Der WordPress-Kern wird von einem großen Team gepflegt und aktualisiert kleinere Sicherheitsversionen inzwischen selbstständig. Das Problem sitzt fast immer eine Ebene darüber: in Erweiterungen und Designs.

Wird in einer verbreiteten Erweiterung eine Lücke bekannt, veröffentlicht der Hersteller eine korrigierte Fassung. Ab diesem Moment ist die Lücke öffentlich — und damit auch bekannt für jeden, der automatisiert nach Seiten sucht, die noch die alte Fassung einsetzen.

Das ist der entscheidende Punkt: Angriffe auf kleine Unternehmensseiten sind selten persönlich gemeint. Es sind Programme, die das Netz nach bekannten Lücken absuchen. Ihre Seite wird nicht ausgewählt, sie wird gefunden.

Was bei einem gehackten Auftritt tatsächlich passiert

Die Vorstellung vom gelöschten Auftritt mit einer Botschaft auf schwarzem Grund stimmt selten. Wer eine Seite übernimmt, will sie in aller Regel weiter benutzen — möglichst lange unbemerkt.

Die Warnung im Browser

Erkennt Google Schadprogramme oder Weiterleitungen auf einer Seite, blendet der Browser eine ganzseitige rote Warnung vor dem Aufruf ein. Chrome, Firefox und Safari greifen dabei auf dieselbe Liste zurück.

Ab diesem Moment erreicht Sie praktisch niemand mehr — auch niemand, der Ihre Adresse direkt eintippt. Und diese Warnung verschwindet nicht von allein: Die Seite muss erst bereinigt und danach zur erneuten Prüfung angemeldet werden.

Der Verlust der Sichtbarkeit

Häufig wird eine übernommene Seite dafür genutzt, fremde Inhalte unterzubringen: Seiten, die für ganz andere Suchbegriffe geschrieben sind und auf fremde Angebote verlinken. Sie sehen davon oft nichts, weil sie für normale Besucher unsichtbar bleiben.

Google sieht sie sehr wohl. Die Folge ist ein Vermerk in der Trefferliste, dass die Seite möglicherweise gehackt wurde, und ein Absturz der Platzierungen. Was über Jahre an Sichtbarkeit aufgebaut wurde, kommt nach der Bereinigung nicht von selbst und nicht sofort zurück.

Der Ausfall und die Daten

Dazu kommt das Naheliegende: Die Seite ist tagelang nicht erreichbar, während jemand sie repariert. Anfragen fallen aus, laufende Werbung läuft ins Leere, im Zweifel muss der Hoster den Zugang sperren, um andere Kunden zu schützen.

Werden dabei personenbezogene Daten abgegriffen — Nachrichten aus Kontaktanfragen, Kundenkonten, Newsletter-Adressen —, ist das ein meldepflichtiger Vorfall nach der Datenschutz-Grundverordnung. Aus einem technischen Problem wird dann ein rechtliches.

Sicherungen ohne geprüfte Wiederherstellung sind wertlos

Fast jeder sagt auf Nachfrage, es gebe Sicherungen. Der Hoster mache das schon, oder es sei damals eine Erweiterung eingerichtet worden. Beides kann stimmen — und trotzdem im Ernstfall nichts nützen.

Die häufigsten bösen Überraschungen sind immer dieselben: Die Sicherung liegt auf demselben Server wie die Seite und ist mit betroffen. Sie enthält nur die Dateien, nicht die Datenbank mit Ihren Texten. Sie läuft seit Monaten mit einem Fehler, den niemand gelesen hat. Oder sie sichert einen Stand, der bereits kompromittiert war.

Eine Sicherung ist erst dann eine Sicherung, wenn jemand sie einmal tatsächlich zurückgespielt hat. Alles andere ist eine Vermutung. Prüfen lässt sich das ohne Risiko auf einer Testumgebung — eine Kopie der Seite, die nicht öffentlich erreichbar ist.

Zur Sicherung gehört außerdem, dass sie an einem zweiten Ort liegt und dass mehrere Stände aufbewahrt werden. Wenn ein Schaden erst nach zwei Wochen auffällt, hilft die Sicherung von gestern nicht mehr. Wo eine Seite liegt und was ein Hoster leistet, ist deshalb keine Nebensache — mehr dazu im Vergleich der Hosting-Möglichkeiten.

WordPress Wartung Kosten: Nachrüsten gegen laufende Pflege

Jetzt die Rechnung, die den Unterschied ausmacht. Laufende Pflege ist ein planbarer, kleiner Betrag pro Monat. Er verändert sich nicht und taucht in Ihrer Kostenrechnung als feste Position auf.

Eine Nachrüstung nach längerer Vernachlässigung ist etwas anderes. Wurde zwei Jahre nichts aktualisiert, lassen sich die Aktualisierungen oft nicht einfach nacheinander einspielen: Erweiterungen passen nicht mehr zur neuen Kernversion, das Design bricht, eine Funktion muss ersetzt werden, weil ihr Hersteller sie aufgegeben hat.

Das ist dann kein Wartungsvorgang mehr, sondern ein kleines Projekt — mit Testumgebung, Fehlersuche und Ersatzlösungen. Kommt ein Sicherheitsvorfall dazu, addieren sich Bereinigung, erneute Anmeldung bei Google und die Zeit, in der nichts hereinkommt.

Der Vergleich fällt damit deutlich aus: Die Pflege kostet regelmäßig wenig, die Reparatur einmalig viel — und zwar genau dann, wenn Sie am wenigsten Zeit dafür haben.

WordPress Wartung Kosten: Was in einem Pflegeplan enthalten sein sollte

Nicht jede Pflege ist gleich. Wenn Sie ein Angebot vergleichen, achten Sie darauf, dass diese Punkte darin vorkommen — sonst zahlen Sie für ein automatisches Aktualisieren, das Ihnen im Ernstfall nicht hilft.

• Aktualisierungen von Kern, Erweiterungen und Design — nicht blind, sondern mit Blick darauf, ob die Seite danach noch funktioniert.
• Sicherungen an einem zweiten Ort, mit mehreren aufbewahrten Ständen und einer Wiederherstellung, die geprüft wurde.
• Erreichbarkeitsprüfung, damit ein Ausfall auffällt, bevor der erste Kunde anruft.
• Ein fester Ansprechpartner für den Fall, dass doch etwas passiert — im Ernstfall zählt die Reaktionszeit, nicht die Vertragsseite.

Was darüber hinausgeht — inhaltliche Änderungen, Beobachtung der Sichtbarkeit, Verbesserung der Ladezeit —, gehört strenggenommen nicht mehr zur Wartung, sondern zur Betreuung. Beides zusammen ist sinnvoll, sollte aber getrennt ausgewiesen sein.

Wenn WordPress gar nicht die richtige Grundlage ist

Ein Teil des Aufwands entsteht nicht durch schlechte Pflege, sondern durch die Bauweise. WordPress setzt jede Seite bei jedem Aufruf neu aus einer Datenbank zusammen und braucht dafür laufend Programmcode auf dem Server — das ist der Preis für die Flexibilität.

Für einen Auftritt, der sich selten ändert, gibt es einen ruhigeren Weg: fertig ausgelieferte Seiten ohne Datenbank im Hintergrund. Sie sind schneller und bieten schlicht weniger Angriffsfläche, weil es kein Anmeldefenster und keine fremden Erweiterungen gibt. Die Unterschiede erklärt der Beitrag zu den Vorteilen statischer Websites.

Das heißt nicht, dass WordPress falsch wäre. Wer täglich Beiträge veröffentlicht oder viele Redakteure hat, ist damit gut bedient. Wann welches System passt, steht im ehrlichen Vergleich zwischen WordPress und Next.js — samt der Fälle, in denen WordPress gewinnt.

Häufige Fragen

Reicht es nicht, die automatischen Updates einzuschalten?

Automatische Aktualisierungen sind besser als gar keine, lösen das Problem aber nur halb. Sie schließen Lücken — und können gleichzeitig die Seite zerstören, wenn zwei Erweiterungen nach dem Update nicht mehr zusammenpassen.

Ohne jemanden, der danach hinschaut, merken Sie das im schlechtesten Fall Wochen später. Der eigentliche Wert der Pflege liegt in der Kontrolle nach dem Update, nicht im Update selbst.

Meine Seite ist klein und unbekannt — bin ich überhaupt gefährdet?

Bekanntheit spielt praktisch keine Rolle. Die Suche nach angreifbaren Seiten läuft automatisiert und fragt nicht, wie viele Besucher eine Seite hat, sondern welche Version einer Erweiterung sie einsetzt.

Für den Angreifer ist eine kleine Firmenseite sogar attraktiv, weil dort seltener jemand kontrolliert. Eine übernommene Seite muss nichts einbringen — sie muss nur unbemerkt weiterlaufen.

Wie oft muss gewartet werden?

Ein monatlicher Rhythmus ist für die meisten Unternehmensseiten die richtige Größenordnung: Aktualisierungen einspielen, Funktion prüfen, Sicherungen kontrollieren.

Eine Ausnahme gibt es: Wird eine schwerwiegende Lücke in einer Erweiterung bekannt, die Sie einsetzen, wird sofort gehandelt und nicht bis zum Monatsende gewartet.

Was kostet die Bereinigung nach einem Vorfall?

Seriös lässt sich das vorher nicht beziffern, weil es davon abhängt, wie lange der Zugang bestand und wie tief er reicht. Sicher ist nur die Reihenfolge: bereinigen, Zugänge erneuern, Lücke schließen, bei Google zur Prüfung anmelden, Sichtbarkeit wieder aufbauen.

Der letzte Schritt ist der teuerste, weil er sich nicht kaufen lässt. Er dauert schlicht.

Was Sie jetzt konkret tun können

Melden Sie sich in Ihrer Verwaltung an und sehen Sie nach, wie viele Aktualisierungen offenstehen und wann die letzte eingespielt wurde. Prüfen Sie, ob eine Erweiterung dabei ist, die seit Jahren keine neue Fassung mehr bekommen hat — solche Bauteile gehören ersetzt, nicht aktualisiert.

Fragen Sie danach die unbequeme Frage: Wo liegt die letzte Sicherung, von wann ist sie, und hat sie jemand schon einmal zurückgespielt? Wenn Sie eine dieser drei Antworten nicht kennen, haben Sie im Grunde keine Sicherung.

Wenn Sie das nicht selbst übernehmen wollen: Web-Aufbereitung bietet dafür das WebCare-Paket für 49,- € im Monat — Aktualisierungen, Sicherungen an einem zweiten Ort und ein Ansprechpartner, wenn etwas klemmt. Was genau enthalten ist und wie es sich mit der Betreuung der Sichtbarkeit verbindet, steht auf der Seite zu Website-Betreuung und SEO.