Im Hosting-Panel blinkt eine gelbe Warnung: veraltete PHP-Version, ein Plugin mit bekannter Lücke, kein aktuelles Backup in Sicht. Wer für die Website zuständig ist, merkt oft erst in diesem Moment, was der bestehende WordPress-Wartungsvertrag wirklich abdeckt. Und was eben nicht. Für Geschäftsführer und Office-Verantwortliche ohne eigene IT-Abteilung ist das kein Randthema. Die Frage lautet: Reagiert im Ernstfall jemand, oder fällt erst die nächste Rechnung wieder auf?
Warum „ab und zu updaten“ nicht reicht
11.334 neue Schwachstellen zählte das WordPress-Ökosystem im Jahr 2025, ein Plus von 42 Prozent gegenüber 7.966 Fällen im Vorjahr. Der überwiegende Teil davon betrifft nicht den WordPress-Kern. Laut Patchstack entfielen rund 91 Prozent aller 2025 neu entdeckten Schwachstellen auf Plugin-Code. Auf den Kern selbst entfiel nur eine einstellige Zahl.
Wer sein CMS nur gelegentlich aktualisiert, sichert damit nur einen kleinen Teil des Risikos ab. Der wachsende Plugin-Bestand aus Kontaktformularen, Buchungstools und Analyse-Plugins bleibt außen vor. Genau dort liegt aber die eigentliche Angriffsfläche.
Die Geschwindigkeit macht den Unterschied. Bei den am stärksten angegriffenen Lücken vergehen im Schnitt rund fünf Stunden zwischen Veröffentlichung und aktiver Ausnutzung. Bei etwa der Hälfte aller Schwachstellen mit hoher Auswirkung passiert das binnen 24 Stunden. Ein monatlicher oder quartalsweiser Update-Termin kommt gegen dieses Zeitfenster strukturell zu spät.
Diese Lücke zeigt sich auch bei tatsächlichen Infektionen. Laut Sucuri liefen 39,1 Prozent der 2023 bereinigten Websites zum Zeitpunkt der Infektion auf einer veralteten CMS-Version. WordPress stellte dabei 95,5 Prozent aller bereinigten Fälle. Update-Rückstand ist damit kein theoretisches, sondern das am häufigsten beobachtete Risiko.
Die Kernleistungen eines WordPress-Wartungsvertrags
Ein WordPress-Wartungsvertrag mit echtem Betrieb dahinter deckt drei Bausteine ab: Updates, Backups, Monitoring. Jeder davon braucht eine eigene Routine, keine einzelnen Handgriffe. Wie das in der Praxis aussieht, zeigt der Leistungsumfang für WordPress-Wartung und Hosting-Betreuung.
Bei Updates zählt die Reihenfolge. Der Dienstleister testet jede neue Version von Core, Plugins oder Themes zuerst in einer Staging-Umgebung. Erst danach spielt er sie live ein. So legt ein inkompatibles Plugin nicht die produktive Seite lahm.
WordPress.org empfiehlt, automatische Updates für Minor-Releases und Sicherheitsupdates aktiviert zu lassen. Die eigene Dokumentation nennt das eine der wirksamsten Methoden, um eine Seite aktuell zu halten. Vor jedem Update rät WordPress.org zusätzlich ausdrücklich zu einem Backup.
Backups brauchen zwei getrennte Bestandteile: die WordPress-Dateien und die Datenbank. Beide liegen technisch in unterschiedlichen Systemen. Ein reines Datei-Backup deckt daher keine vollständige Wiederherstellung ab.
Für kleinere Websites empfiehlt WordPress.org wöchentliche Sicherungen. Stark frequentierte oder häufig aktualisierte Seiten brauchen tägliche. Dazu kommen mindestens drei bis fünf Kopien an unterschiedlichen Orten: auf dem Server, im Cloud-Speicher und zusätzlich lokal.
Monitoring beobachtet die Seite zwischen den Update-Terminen: Uptime, verdächtige Login-Versuche, Datei-Änderungen außerhalb geplanter Deployments. Ohne diese laufende Beobachtung bemerkt ein Anbieter einen Ausfall oft erst, wenn der Kunde anruft.
Was ein „Update-Klicker“ typischerweise nicht macht
Kein Staging-Test vor dem Live-Update ist das häufigste Muster bei reinen Update-Diensten. Eine neue Version geht direkt live. Im schlimmsten Fall passiert das während der Geschäftszeit. Ein Konflikt mit dem Theme fällt dann erst auf, wenn ein Formular nicht mehr funktioniert.
Zweites Muster: Der Anbieter verwechselt Backup und Datei-Sicherung. Sichert er nur den Dateibestand, fehlt im Ernstfall die Datenbank mit sämtlichen Inhalten, Bestellungen oder Kundendaten. Ein Restore ist dann unvollständig oder gar nicht möglich.
Drittens fehlt häufig eine Reaktionszeit-Zusage für kritische Lücken. Ein Update-Log zeigt nur das Datum des letzten Updates. Über die Reaktion auf eine frisch veröffentlichte Sicherheitslücke sagt es nichts. WordPress 2026 lieferte dafür zwei Praxisbeispiele. Version 7.0.2 vom 17. Juli 2026 schloss eine kritische und eine hochriskante Lücke. WordPress.org rollte sie per erzwungenem Auto-Update aus. Version 7.0.3 vom 6. August 2026 behob weitere Probleme, darunter XSS-Schwachstellen. Wer solche Releases nicht aktiv verfolgt, verpasst den Moment, in dem Reaktionsgeschwindigkeit zählt.
Viertens bleibt die Infrastruktur oft eine Blackbox. Niemand schaut auf PHP-Version, Server-Auslastung oder eine eigene Sicherheitsschicht auf Serverebene.
Kriterien für die Anbieterauswahl
Wie schnell reagiert ein Anbieter auf eine kritische Sicherheitslücke? Die Antwort sollte in Stunden kommen, nicht als vages „so schnell wie möglich“. Bei den am stärksten angegriffenen Lücken vergehen im Schnitt nur rund fünf Stunden bis zur aktiven Ausnutzung. Eine ausweichende Antwort auf diese erste Frage zählt bereits als Warnsignal.
Testet der Anbieter vor einem Live-Update in einer Staging-Umgebung, oder geht jede neue Version direkt auf die produktive Seite? Ein fehlender Test-Schritt erklärt die meisten unerwarteten Ausfälle nach einem Plugin-Update.
Wo liegen die Backups, und wann hat der Anbieter eine Wiederherstellung zuletzt tatsächlich geprobt? Ein nie getestetes Backup ist eine Behauptung, kein Schutz.
Gibt es echtes Monitoring der Infrastruktur: Uptime, Login-Versuche, Datei-Änderungen außerhalb geplanter Deployments? Oder beschränkt sich der Nachweis auf ein Update-Log mit Datumsstempeln? Das ist der Unterschied zwischen Dokumentation und tatsächlichem Betrieb.
Wer auf diese vier Fragen konkrete, überprüfbare Antworten bekommt, hat einen Anbieter mit echtem Betrieb gefunden. Keinen reinen Update-Klicker.
Wann ein Wartungsvertrag allein nicht mehr reicht
Manchmal liegt das Problem nicht an der Wartung. Es liegt an der Website selbst. Läuft ein CMS noch auf einer Version ohne Sicherheitsupdates von WordPress.org, hilft der beste Wartungsvertrag nur begrenzt.
Seit Juli 2025 stellt WordPress.org keine Sicherheitsupdates mehr für die Versionen 4.1 bis 4.6 bereit. Diese Versionen waren damals neun Jahre alt oder älter. Über 99 Prozent aller aktiven Installationen liefen längst auf einer neueren Version.
Auf einem derart veralteten Unterbau lässt sich zwar noch aktualisieren. Das Grundgerüst bleibt aber technisch limitiert: alte PHP-Kompatibilität, unsichere Theme-Strukturen, fehlende Schnittstellen zu aktuellen Plugins. In solchen Fällen ist ein Relaunch oft die wirtschaftlich sinnvollere Lösung. Ein Wartungsvertrag hält ein technisch überholtes System nur notdürftig am Laufen.
FAQ zum WordPress-Wartungsvertrag
Was gehört zum Mindestumfang eines WordPress-Wartungsvertrags?
Zum Mindestumfang gehören regelmäßige Updates von Core, Plugins und Themes, jeweils mit vorherigem Staging-Test. Dazu kommen getrennte Backups von Dateien und Datenbank sowie laufendes Monitoring von Uptime und Sicherheit. Ein Vertrag, der nur gelegentlich den Update-Button klickt, deckt keinen dieser Bausteine verlässlich ab. Auch die Reaktionszeit bei kritischen Sicherheitslücken bleibt dann offen.
Wie oft sollte eine WordPress-Website gesichert werden?
Für kleinere Websites empfiehlt WordPress.org wöchentliche Backups. Stark frequentierte oder häufig aktualisierte Seiten brauchen tägliche Sicherungen. In beiden Fällen gelten mindestens drei bis fünf Kopien an unterschiedlichen Orten als Standard: Server, Cloud-Speicher und lokales Laufwerk. Ein einzelnes Backup an einem einzigen Ort reicht nach diesem Standard nicht aus.
Reicht Hosting-Sicherheit allein als Schutz aus?
Nein. Reine Hosting-Schutzmaßnahmen blockierten in Tests nur 12 Prozent der aktiv ausgenutzten WordPress-Schwachstellen. Über alle Schwachstellen betrachtet waren es 26 Prozent. Ein Anbieter, der sich allein auf die Firewall im Hosting-Paket verlässt, deckt damit nur einen kleinen Teil des Risikos ab. Eine eigene Update- und Monitoring-Routine für Plugins und Themes fehlt in diesem Fall.
Warum sind WordPress-Plugins das größte Sicherheitsrisiko?
WordPress-Plugins verursachen den überwiegenden Teil aller Sicherheitslücken im Ökosystem. Laut Patchstack entfielen 2025 rund 91 Prozent aller neu entdeckten Schwachstellen auf Plugin-Code. Auf den WordPress-Kern selbst entfiel nur eine einstellige Zahl. Plugins stammen meist von Drittanbietern, und jeder pflegt seinen Code anders. Deshalb zählt eine laufende Prüfung des Plugin-Bestands mehr als ein einzelnes Kern-Update.
Der nächste Schritt: Wartungsvertrag im Kurz-Check
Sie müssen nicht raten, ob Ihr aktueller Wartungsvertrag hält, was er verspricht. Schicken Sie uns Ihr bestehendes Angebot oder Ihre Vertragsunterlagen. In einem kurzen Erstgespräch prüfen wir, wo Ihr Anbieter bei Updates, Backups und Monitoring wirklich steht. Und was das für das Sicherheitsrisiko Ihrer Website bedeutet.