Die Website läuft seit Jahren unverändert, das letzte sichtbare Update im WordPress-Backend liegt so weit zurück, dass niemand im Betrieb mehr genau sagen kann, wer dafür zuständig war. Genau darin liegen die Risiken einer veralteten Website: Sie entstehen nicht plötzlich, sondern schleichend, bis ein Sicherheitsvorfall, eine Behördenanfrage oder ein Rückgang bei Google sichtbar macht, was sich über Jahre angesammelt hat. Für Geschäftsführung und Büroleitung in Wien und Niederösterreich, die eine Website nebenbei mitbetreuen, ordnet dieser Beitrag ein, welche konkreten Gefahren wirklich drohen und wie dringend Handeln tatsächlich ist.
Wo die Risiken einer veralteten Website tatsächlich entstehen
Die meisten Sicherheitslücken einer WordPress-Website liegen nicht im Kernsystem, sondern in Plugins, die ohne feste Wartungsroutine am ehesten übersehen werden. Laut dem Bericht State of WordPress Security in 2025 von Patchstack entfielen 2024 von insgesamt 7.966 neu gemeldeten WordPress-Schwachstellen 96% auf Plugins, nur 7% betrafen den WordPress-Core direkt.
Besonders relevant für Betriebe ohne feste Zuständigkeit: Ein knappes Drittel dieser Schwachstellen, konkret 33%, war zum Zeitpunkt der öffentlichen Bekanntgabe noch ohne verfügbaren Patch. Wer nicht sofort reagiert, sobald ein Fix erscheint, verlängert das Zeitfenster für Angreifer zusätzlich, denn selbst aufmerksame Betreiber ohne Monitoring erfahren von einem neuen Fix oft erst mit Verzögerung. Der Folgereport zur WordPress-Sicherheitslage bestätigt diesen Trend auf höherem Niveau: Mit 11.334 gemeldeten Schwachstellen entfielen 91% auf Plugins, 9% auf Themes und nur 6 auf den Core, ein Anstieg der Gesamtzahl um 42% gegenüber dem Vorjahr.
Dass veraltete Software kein theoretisches Risiko ist, zeigt der Zusammenhang mit tatsächlichen Hacks. Laut dem Sucuri-Report zu bereinigten Websites im Jahr 2023 war bei 39,1% der infizierten Content-Management-Systeme die eingesetzte Software zum Infektionszeitpunkt veraltet. Dazu kommt ein Risiko, das im Hintergrund läuft, ohne im WordPress-Backend sichtbar zu werden: die PHP-Version. Laut php.net erhält PHP 8.2 nur noch bis 31. Dezember 2026 Security-Support, ausschließlich für kritische Fixes, ältere PHP-Versionen sind bereits vollständig ohne Support. Eine seit Jahren nicht angefasste Website läuft damit häufig auf einer PHP-Version, für die es unabhängig vom WordPress-Update-Status keine Sicherheitsupdates mehr gibt.
Was im Ernstfall passiert, wenn niemand zuständig ist
Wird eine vernachlässigte Website unbemerkt manipuliert, entfernen Suchmaschinen sie in vielen Fällen automatisch aus dem Index, noch bevor im Betrieb jemand etwas bemerkt. Die WKO beschreibt dieses sogenannte Website-Kidnapping als eine der häufigsten Folgen einer kompromittierten, ungepflegten Website, mit direkter Auswirkung auf Umsatz und Sichtbarkeit.
Ein Google-Delisting ist dabei selten das einzige Problem. Angreifer nutzen kompromittierte Seiten oft, um Spam zu verschicken, auf Fake-Shops zu verlinken oder rechtswidrige Inhalte zu platzieren, während die eigentliche Website nach außen zunächst unverändert wirkt. Kunden, die über eine Google-Warnung oder eine Spam-Mail auf das Problem stoßen, verbinden diese Vorfälle mit dem eigentlichen Unternehmen, nicht mit einem anonymen Angreifer. Ohne festen Ansprechpartner vergehen oft Tage, bis überhaupt jemand bemerkt, dass etwas nicht stimmt, und weitere Tage, bis die Seite bereinigt und aus einer möglichen Sperrliste entfernt ist. In dieser Zeit ist die Website für Kunden und Suchmaschinen kaum erreichbar, während parallel die im nächsten Abschnitt beschriebenen rechtlichen Pflichten zu laufen beginnen.
Die rechtliche Seite, die gerne übersehen wird
Artikel 32 der DSGVO verlangt ausdrücklich die Fähigkeit, Verfügbarkeit und Zugang zu personenbezogenen Daten nach einem Vorfall zeitnah wiederherzustellen, dazu ein Verfahren zur regelmäßigen Überprüfung der Schutzmaßnahmen. Fehlen funktionierende, getestete Backups und eine Prüfroutine, ist das keine technische Nebensache, sondern eine offene Compliance-Lücke.
Diese Lücke hat einen konkreten finanziellen Rahmen. Laut Art. 83 der DSGVO, der ausdrücklich auf Art. 32 verweist, können Verstöße gegen die Pflicht zur Sicherheit der Verarbeitung mit Bußgeldern bis zu 10 Millionen Euro oder 2% des weltweiten Jahresumsatzes des Unternehmens geahndet werden. Dazu kommt eine Meldepflicht: Bei einer Datenpanne muss laut WKO die zuständige Aufsichtsbehörde innerhalb von 72 Stunden informiert werden. Für diese Frist braucht es jemanden, der den Vorfall überhaupt erkennt, den Umfang einschätzt und die Meldung fristgerecht organisiert, eine Aufgabe, die ohne festen Ansprechpartner kaum zu leisten ist. Wer sich also auf „bisher ist ja nichts passiert“ verlässt, verwechselt das Ausbleiben eines Vorfalls mit dem Fehlen eines Risikos.
Wie eine vernachlässigte Website in Google an Boden verliert
Google nutzt Core Web Vitals aktiv als Signal innerhalb seiner Rankingsysteme, das bestätigt Google Search Central in der eigenen Dokumentation zur Page Experience. Eine technisch vernachlässigte, langsame Website mit schlechten Vitals-Werten wirkt also nicht nur auf Besucher weniger überzeugend, sie kann in der Google-Sichtbarkeit strukturell gegenüber gepflegten Websites zurückfallen.
Das trifft vernachlässigte Websites doppelt, denn dieselben Ursachen, die Sicherheitslücken begünstigen, verschlechtern auch die technische Performance. Veraltete Plugins, ungepflegte Datenbanken und eine überalterte PHP-Version verlangsamen eine Seite schleichend, lange bevor jemand im Betrieb das als eigenständiges Problem erkennt. Wer parallel noch mit einem Sicherheitsvorfall oder einem Delisting aus dem vorigen Abschnitt zu tun hat, verliert Sichtbarkeit gleich auf zwei Ebenen: einmal durch den Vorfall selbst und einmal durch die dauerhaft schwächeren technischen Werte, die eine ungepflegte Website in der Zwischenzeit angesammelt hat. Google stellt zwar klar, dass gute Page-Experience-Werte allein keine Rankinggarantie sind, sie fließen aber direkt in die Bewertung ein, wodurch technischer Verfall über Jahre zu einem messbaren Sichtbarkeitsnachteil wird.
Laufende Wartung statt Reparatur im Ernstfall
Die zuvor beschriebenen Risiken, ungepatchte Plugins, fehlende Backups, Meldepflichten und Sichtbarkeitsverluste, teilen einen gemeinsamen Nenner: Sie entstehen, weil niemand laufend zuständig ist, nicht weil eine einzelne Entscheidung falsch war. Ein Wartungsvertrag ersetzt diese Lücke durch eine feste, dokumentierte Zuständigkeit für Updates, Backups und Monitoring, statt Probleme erst zu bearbeiten, wenn sie bereits sichtbar sind.
Ein genauer Kostenvergleich zwischen einem Sicherheitsvorfall und laufender Wartung lässt sich seriös nicht auf eine einzelne Zahl reduzieren, dafür sind die Folgen zu unterschiedlich: die 72-Stunden-Meldepflicht bei einer Datenpanne, der Bußgeldrahmen nach Art. 83 DSGVO, ein mögliches Google-Delisting mit Umsatzausfall und der Reputationsschaden durch die Assoziation mit Spam oder Fake-Shops. Was sich klar sagen lässt: Jede dieser Konsequenzen entsteht erst, wenn ein Vorfall eintritt, während laufende Wartung diesen Vorfall in den meisten Fällen von vornherein verhindert. Wie das in der Praxis aussieht, zeigen anonymisierte Projekte in unseren Referenzen, etwa bei Betrieben, die ihre Website jahrelang ohne feste Zuständigkeit betrieben hatten.
Ein WordPress-Wartungsvertrag deckt die in diesem Beitrag beschriebenen Punkte, Updates, Backups, Monitoring und PHP-Version, als durchgehenden Prozess ab, statt sie auf einzelne Zufallsmomente im Kalender zu verteilen. Steht ohnehin ein größerer Umbau an, weil Struktur oder Technik der Website grundsätzlich nicht mehr passen, lohnt sich der Blick auf einen Website-Relaunch, bei dem Wartung von Anfang an mitgedacht wird.
FAQ: Risiken einer veralteten Website
Welche Risiken drohen bei einer über Jahre nicht aktualisierten Website konkret?
Vor allem drei Bereiche sind betroffen: Sicherheit durch ungepatchte Plugins und veraltete Software, rechtliche Pflichten nach der DSGVO bei Datenpannen und Sichtbarkeit in Google durch schlechte Core Web Vitals. Alle drei Risiken wachsen mit jedem Jahr ohne Wartung weiter an, ohne dass sie im laufenden Betrieb sichtbar werden.
Warum sind Plugins bei WordPress das größte Sicherheitsrisiko?
Weil laut Patchstack der überwiegende Teil aller neu gemeldeten WordPress-Schwachstellen in Plugins liegt, 2024 waren es 96% von 7.966 gemeldeten Lücken, nur 7% betrafen den Core. Plugins werden seltener aktiv beobachtet als das Kernsystem, wodurch Updates dort am ehesten liegen bleiben.
Welche gesetzlichen Pflichten bestehen bei einer gehackten Website mit Kundendaten?
Bei einer Datenpanne muss die zuständige Aufsichtsbehörde laut WKO innerhalb von 72 Stunden informiert werden, zusätzlich verlangt Art. 32 DSGVO funktionierende, getestete Backups und eine Prüfroutine. Verstöße können nach Art. 83 DSGVO mit Bußgeldern bis zu 10 Millionen Euro oder 2% des weltweiten Jahresumsatzes geahndet werden.
Wirkt sich eine veraltete Website tatsächlich auf das Google-Ranking aus?
Ja, Google nutzt Core Web Vitals laut eigener Dokumentation aktiv als Rankingsignal, eine langsame, technisch vernachlässigte Website mit schwachen Vitals-Werten schneidet dabei strukturell schlechter ab als eine gepflegte Seite. Das kommt zu möglichen Sichtbarkeitsverlusten durch ein Delisting nach einem Sicherheitsvorfall noch zusätzlich hinzu.
Ab wann lohnt sich ein Wartungsvertrag statt Eigenregie?
Ein Wartungsvertrag lohnt sich, sobald niemand im Betrieb regelmäßig Zeit für Updates, Backups und Monitoring einplant, unabhängig von der Größe der Website. Automatisierte Angriffswerkzeuge suchen gezielt nach bekannten Plugin-Lücken, nicht nach großen Unternehmen, weshalb auch kleine, unauffällige Websites betroffen sind.
Nächster Schritt
Wenn Sie nicht genau wissen, wie viele der genannten Risiken bei Ihrer eigenen Website bereits zutreffen, welche PHP-Version im Hintergrund läuft oder ob ein Backup existiert, lässt sich das in einer kurzen technischen Bestandsaufnahme klären. Wir prüfen die relevanten Punkte aus diesem Beitrag konkret an Ihrer Website und zeigen, wo tatsächlich Handlungsbedarf besteht. Jetzt unverbindlich Kontakt aufnehmen.