Website-Wartung: Was gehört in einen Wartungsvertrag – und was kostet er im Mittelstand?

Warum ist eine Website nach dem Livegang nicht fertig?

Am Tag des Livegangs ist eine Website auf dem neuesten Stand. Ab dem nächsten Tag altert sie. Das Content-Management-System (CMS) bekommt Updates, Erweiterungen werden weiterentwickelt oder eingestellt, der Hosting-Anbieter stellt PHP-Versionen um, Zertifikate laufen ab, und Gesetze ändern sich. Nichts davon sieht man der Startseite an – sie sieht am Tag 400 genauso aus wie am Tag 1.

Für Geschäftsführer sind es vor allem vier Risiken, die ohne Wartung wachsen:

• Sicherheitslücken: Veraltete Software ist das Einfallstor Nummer eins. Wie schnell das ernst wird, hat die kritische PHP-Sicherheitslücke vom Oktober 2026 gezeigt: Wer niemanden hatte, der das Update einspielt und bestätigt, musste im Zweifel selbst hinterhertelefonieren.
• Ausfälle: Eine Seite, die nachts ausfällt, bemerkt ohne Überwachung oft erst ein Kunde – oder niemand.
• Rechtliche Risiken: Ein veraltetes Impressum, eine Datenschutzerklärung, die neue Dienste nicht nennt, oder ein Cookie-Banner, das nicht mehr korrekt arbeitet, sind abmahnfähig.
• Verlorene Anfragen: Das teuerste Risiko ist das leiseste. Nach einem Update, einer Umstellung des Mailservers oder einem abgelaufenen Spamschutz-Schlüssel nimmt das Kontaktformular zwar Eingaben an, stellt sie aber nicht mehr zu. Der Besucher sieht „Danke für Ihre Nachricht“, Sie sehen nichts.

Welche Leistungen gehören in einen Wartungsvertrag?

Ein guter Vertrag beschreibt nicht „Rundum-Betreuung“, sondern einzelne Leistungen mit Rhythmus und Ergebnis. Diese sieben Bausteine sollten Sie darin wiederfinden.

1. Updates von CMS, Erweiterungen, Theme und PHP

Das System selbst (zum Beispiel WordPress), alle Plugins, das Theme und die PHP-Version auf dem Server müssen aktuell bleiben. Entscheidend ist das Wie: Updates sollten zuerst auf einer Testkopie (Staging) oder zumindest mit Backup davor eingespielt und danach geprüft werden – nicht blind per Automatik. Für PHP gilt: Jeder Versionszweig bekommt vom PHP-Projekt nur eine begrenzte Zeit Sicherheitsupdates; PHP 8.2 etwa endet am 31. Dezember 2026. Ein Wartungsvertrag sollte den rechtzeitigen Umstieg einschließen oder zumindest ankündigen.

2. Backups – täglich und getestet

Tägliche Sicherungen von Dateien und Datenbank, aufbewahrt über mehrere Wochen und an einem anderen Ort als der Server. Bewährt ist die 3-2-1-Regel: drei Kopien, zwei verschiedene Speicherorte, eine davon außerhalb. Der wichtigste Satz im Vertrag lautet aber: Die Wiederherstellung wird regelmäßig getestet. Ein Backup, das nie zurückgespielt wurde, ist eine Hoffnung, keine Sicherung. Die DSGVO verlangt in Art. 32 übrigens ausdrücklich die Fähigkeit, Daten nach einem Zwischenfall rasch wiederherzustellen.

3. Sicherheits-Monitoring

Überwachung auf Schadcode, ungewöhnliche Logins und veränderte Dateien, eine Firewall oder ein Login-Schutz gegen automatisierte Angriffe, starke Passwörter und Zwei-Faktor-Anmeldung für alle Admin-Zugänge. Dazu gehört, dass jemand die Sicherheitswarnungen liest, die für Ihre Erweiterungen veröffentlicht werden.

4. Uptime- und Zertifikats-Überwachung

Die Erreichbarkeit wird rund um die Uhr in kurzen Abständen geprüft, ebenso das SSL-Zertifikat und die Ladezeit. Fällt etwas aus, wird der Dienstleister automatisch alarmiert – nicht erst, wenn Sie anrufen. Wie stark die Ladezeit über Anfragen entscheidet, lesen Sie im Beitrag Website-Ladezeit verbessern.

5. Formular-Tests

Mindestens einmal im Monat und nach jedem Update wird jedes Formular einmal echt abgeschickt: Kommt die Mail an, landet sie nicht im Spam, funktioniert die Bestätigung an den Absender? Häufige Ursache für stille Ausfälle sind fehlende oder falsche Absender-Einträge im E-Mail-System; Hintergründe dazu im Beitrag über SPF, DKIM und DMARC.

6. Rechtliche Pflichttexte im Blick

Impressum nach § 5 Digitale-Dienste-Gesetz, Datenschutzerklärung nach DSGVO und die Einwilligung für Cookies und externe Dienste nach § 25 TDDDG müssen zum tatsächlichen Stand der Website passen. Kommt ein neues Werkzeug dazu – ein Kartendienst, ein Video, ein Chat –, muss die Datenschutzerklärung nachziehen. Ein Wartungsvertrag kann diese Abgleiche einschließen; die rechtliche Verantwortung bleibt beim Betreiber, und eine Agentur ersetzt keine Rechtsberatung. Für viele Online-Angebote gilt zudem seit Juni 2025 das Barrierefreiheitsstärkungsgesetz – was das für Sie heißt, steht im Beitrag zur Barrierefreiheit nach BFSG.

7. Kleine Inhaltsänderungen

Neue Öffnungszeiten, ein Teamfoto, eine Stellenanzeige, ein geänderter Ansprechpartner. Üblich ist ein kleines Stundenkontingent pro Monat oder Abrechnung nach Aufwand. Wichtig ist, dass klar geregelt ist, was „klein“ bedeutet und wie schnell es umgesetzt wird.

Dazu kommt ein kurzer Bericht – monatlich oder quartalsweise: Was wurde aktualisiert, was ist aufgefallen, was steht an? Er ist Ihr Beleg, dass die Leistung tatsächlich erbracht wurde.

Was ist Pflicht, was sinnvoll – und was bleibt optional?

Nicht jede Website braucht jede Leistung. Die folgende Übersicht hilft, Angebote zu vergleichen. Die Einstufung gilt für typische Unternehmenswebsites im Mittelstand mit Kontaktformular; Onlineshops und Portale brauchen mehr.

Was kostet ein Wartungsvertrag im Mittelstand?

Eine ehrliche Pauschalzahl gibt es nicht, und wir nennen hier bewusst keine. Reines Hosting – also der Speicherplatz auf dem Server – kostet nur wenige Euro im Monat. Wartung ist etwas anderes: Arbeitszeit von Menschen, die prüfen, testen und im Ernstfall reagieren. Wie viel davon nötig ist, hängt an fünf Faktoren:

1. System und Zustand: Eine schlanke, aktuelle Seite braucht weniger Pflege als eine WordPress-Installation mit 30 Plugins, von denen einige seit Jahren nicht mehr weiterentwickelt werden.
2. Funktionen: Formulare, Buchungsstrecken, Mitgliederbereiche oder ein Shop vervielfachen die Testarbeit.
3. Reaktionszeit: „Rückmeldung am selben Werktag“ kostet weniger als eine Bereitschaft am Wochenende.
4. Inhaltskontingent: Ob Änderungen enthalten sind und wie viele Stunden.
5. Hosting: Liegt die Website beim Dienstleister, kann er Server-Updates selbst einspielen; auf fremdem Hosting ist er auf dessen Anbieter angewiesen.

Üblich sind drei Abrechnungsmodelle: eine monatliche Pauschale für die Grundpflege, ein Stundenkontingent für Änderungen und Abrechnung nach Aufwand für alles darüber hinaus. Vergleichen Sie Angebote deshalb nicht über den Monatspreis, sondern über die Leistungsbeschreibung: Was genau wird wie oft getan, und was kostet extra? Ein günstiger Vertrag, der Updates „automatisch“ einspielt und nie testet, ist am Ende oft der teuerste.

Bei uns beginnt jede Übernahme mit einer kostenlosen Bestandsaufnahme; den Preis nennen wir danach auf Grundlage des tatsächlichen Zustands. Was in unserer Website-Betreuung und Wartung enthalten ist, steht auf der Leistungsseite.

Woran erkennen Sie einen schlechten Wartungsvertrag?

Die meisten Probleme zeigen sich nicht im Alltag, sondern im Ernstfall – oder bei der Kündigung. Prüfen Sie diese Punkte, bevor Sie unterschreiben:

• Keine Reaktionszeiten: „Wir kümmern uns zeitnah“ ist keine Zusage. Gut ist eine klare Staffel, etwa: Ausfall sofort, Sicherheitslücke innerhalb eines Werktags, Änderungswunsch nach Absprache.
• Unklare Zuständigkeiten: Wer ist für den Server verantwortlich, wer für die Software, wer für die Inhalte? Wenn Hoster, Agentur und Ihr Büro sich gegenseitig zuständig glauben, ist es am Ende niemand. Der Vertrag sollte das schriftlich trennen.
• Leistung ohne Nachweis: Ohne Bericht oder Protokoll können Sie nicht prüfen, ob überhaupt gewartet wurde.
• Backups ohne Test und ohne Herausgabe: Fragen Sie, wo die Sicherungen liegen, wie lange sie aufbewahrt werden und ob Sie sie bei Vertragsende bekommen.
• Lange Laufzeiten, schwammige Kündigung: Zwölf oder 24 Monate Mindestlaufzeit ohne Ausstieg bei Schlechtleistung sind ein Warnsignal. Ebenso wichtig: Herausgabe aller Zugänge, Dateien und der Domain bei Vertragsende. Die Domain sollte ohnehin auf Ihr Unternehmen laufen.
• Kein Auftragsverarbeitungsvertrag: Wer Zugriff auf Ihre Website hat, sieht oft auch Formulareingaben mit personenbezogenen Daten. Dann ist nach Art. 28 DSGVO ein Vertrag zur Auftragsverarbeitung nötig.

Wie Sie die Zusammenarbeit mit einem Dienstleister insgesamt gut aufsetzen, beschreibt der Beitrag Wie arbeitet man gut mit einer Marketingagentur zusammen?

Wann ist Selbermachen realistisch?

Website-Wartung selbst zu übernehmen, ist möglich – unter Bedingungen. Realistisch ist es, wenn alle diese Punkte zutreffen:

• Die Seite ist klein und technisch schlank, zum Beispiel ein Baukasten mit Wartung durch den Anbieter oder eine Seite mit wenigen, gepflegten Erweiterungen.
• Im Betrieb gibt es eine Person, die sich dafür fest ein bis zwei Stunden im Monat nimmt – auch in der Hochsaison.
• Diese Person kann ein Backup zurückspielen und weiß, was sie tut, wenn nach einem Update die Seite weiß bleibt.
• Es gibt keinen Shop, keine Buchungsstrecke und keine sensiblen Daten.

Nicht realistisch ist es, wenn die Website ein wichtiger Anfragekanal ist und Wartung „nebenbei“ passieren soll. Das Muster kennen wir aus vielen Bestandsaufnahmen: Am Anfang wird gewissenhaft aktualisiert, nach einem halben Jahr seltener, nach zwei Jahren gar nicht mehr. Ein Mittelweg ist, Technik, Backups und Überwachung abzugeben und Inhalte selbst zu pflegen.

Warum ist Wartung im Handwerk und Bau besonders wichtig?

Im Handwerk ist die Website oft der wichtigste Eingang für Anfragen, während das Team auf Baustellen unterwegs ist. Niemand sitzt vor dem Bildschirm und merkt, dass seit Tagen keine Formular-Mails mehr kommen – in der Hochsaison fällt eine ruhige Woche nicht einmal auf. Gerade für Betriebe in Mecklenburg-Vorpommern, die Aufträge und Bewerbungen über die Website gewinnen, gehören Formular-Tests und Überwachung deshalb zur Pflicht. Wie wir Betriebe dieser Branche unterstützen, zeigt unsere Seite Handwerk, Bau & Immobilien.

Wann lohnt sich Wartung nicht mehr – und ein Relaunch schon?

Wartung hält eine Website gesund, sie macht aus einer alten Seite keine neue. Wenn die Seite auf einem PHP-Zweig läuft, der keine Updates mehr bekommt, wenn zentrale Erweiterungen eingestellt sind oder die Seite auf dem Handy kaum bedienbar ist, steckt jeder Euro Wartung in einem Gebäude mit maroder Substanz. Dann ist es ehrlicher, über einen Neuaufbau zu sprechen. Woran Sie den Zeitpunkt erkennen, lesen Sie im Beitrag Website-Relaunch: Wann lohnt er sich – und wann nicht?