WordPress-Wartungsvertrag: was drin sein muss und was er kosten darf

Ein Wartungsvertrag kostet jeden Monat Geld und zeigt seinen Wert an genau einem Tag: dem, an dem etwas kaputtgeht. An allen anderen Tagen sieht gute Wartung aus wie gar keine. Das macht Angebote so schwer vergleichbar. Zwei Pakete mit fast gleichem Namen können im Ernstfall völlig verschieden ausgehen.

Ob du einen Dienstleister suchst oder deinen bestehenden Vertrag prüfen willst: Es hilft dieselbe Liste. Wir schreiben sie als Leute, die selbst WordPress-Plugins bauen und die Updates veröffentlichen, um die es hier geht. Am Ende steht unser eigenes Wartungspaket, die Liste funktioniert aber für jedes Angebot.

Was du mit einem Wartungsvertrag eigentlich kaufst

Ein Update einzuspielen ist ein Klick. Dafür braucht niemand einen Vertrag. Was du kaufst, ist Aufmerksamkeit mit Uhrzeit: jemand, der bemerkt, dass ein Sicherheitsupdate erschienen ist, es einspielt, danach nachsieht, ob der Warenkorb noch funktioniert, und geradesteht, wenn nicht.

Ohne Vertrag rufst du an, wenn es brennt, und bezahlst die Stunden. Mit Vertrag soll es seltener brennen, und wenn doch, ist klar, wer zuständig ist und wo das letzte Backup liegt. Ob sich das rechnet, zeigen weiter unten zwei Rechnungen.

Acht Punkte, die ein WordPress-Wartungsvertrag regeln muss

1. Updates von Kern, Plugins und Theme, und in welchem Takt

„Regelmäßige Updates“ steht in jedem Angebot. Interessant ist der Takt, getrennt nach Art des Updates. Ein Sicherheitsupdate gehört so schnell wie möglich auf die Seite, denn mit seiner Veröffentlichung wird die Lücke in der alten Version nachvollziehbar, und automatische Scans suchen nach Seiten, die sie noch zeigen. Die Hintergründe stehen in WordPress-Plugins aktualisieren: was passiert, wenn du es nicht tust. Große Versionssprünge mit neuen Funktionen verdienen dagegen einen Test, bei einem Shop auf einer Kopie der Seite.

Ein Vertrag, der für alles „einmal im Monat“ nennt, ist für Funktionsupdates in Ordnung und für Sicherheitsupdates zu langsam. Frag nach beiden Takten und danach, wer die Seite nach dem Update prüft. Zum Umfang gehören auch Kern, Theme und die PHP-Version beim Hoster, die gern zwischen Agentur und Hosting-Vertrag liegen bleibt.

Frag außerdem, wer prüft, ob ein Plugin überhaupt noch gepflegt wird. Ein aufgegebenes Plugin meldet kein Update mehr. Ein Dienst, der nur auf „Aktualisieren“ klickt, bemerkt es deshalb nie. Im Plugin Directory Census 01/2026 hatten 41.395 der 70.909 gelisteten Plugins seit über einem Jahr keine neue Version veröffentlicht, das sind 58,4 Prozent (Stichtag 28. August 2026). Nach Installationen gewichtet ist der Anteil viel kleiner, 3,7 bis 7,8 Prozent, weil verbreitete Plugins meist gepflegt werden. Auf deiner Seite genügt aber ein einziges.

2. Backups und die geprüfte Wiederherstellung

Backups stehen in fast jedem Paket. Das ist die leichte Hälfte. Die schwere ist die Wiederherstellung, denn ein Backup, das nie zurückgespielt wurde, beweist nichts: Es kann unvollständig sein oder beschädigt. Vier Fragen klären das Thema. Wie oft wird gesichert, und wie viele Generationen bleiben liegen? Wo liegen die Kopien? Wie oft wird eine Wiederherstellung geprobt, und steht das Ergebnis im Bericht? Ist die Wiederherstellung im Ernstfall im Preis enthalten?

Wie man eine Sicherung aufbaut, zeigt der Vergleich WordPress-Backup einrichten: die besten Plugins. Nach der 3-2-1-Regel dort gehört mindestens eine Kopie an einen Ort, der mit deinem Server nichts zu tun hat.

3. Überwachung: was, wie oft, und wer den Alarm liest

Erreichbarkeits-Monitoring ruft deine Seite in festen Abständen auf und meldet sich, wenn sie nicht antwortet. Das ist nützlich und begrenzt. Eine Startseite kann fehlerfrei laden, während der Checkout eine Fehlermeldung zeigt oder das Kontaktformular seit Tagen nichts verschickt. Frag deshalb, was genau geprüft wird: nur die Startseite, auch wichtige Unterseiten, der Ablauf des SSL-Zertifikats, die Laufzeit der Domain?

Ebenso wichtig ist, wer den Alarm liest. Eine Warnung, die nachts um zwei in einem Postfach landet, das um neun geöffnet wird, ist ein Protokolleintrag. Steht im Vertrag, zu welchen Zeiten jemand reagiert, weißt du, was du kaufst.

Dazu gehört der Sicherheits-Scan. Ein Fund ist erst der Anfang: Der Vertrag sollte sagen, was danach passiert und ob die Bereinigung einer befallenen Seite enthalten ist. Welche Grundhärtung vor jedem Werkzeug kommt, steht in WordPress absichern: Sicherheits-Plugins im Vergleich.

4. Reaktionszeit bei Ausfall und bei Sicherheitslücke

Hier laufen zwei Uhren. Die Reaktionszeit sagt, wann jemand anfängt, die Behebungszeit, wann die Seite wieder läuft. Zusagen lässt sich realistisch nur die erste, denn wie lange eine Reparatur dauert, hängt am Fehler. Du solltest nur wissen, welche Uhr im Vertrag steht. Und die Details: Zählt sie ab deinem Anruf oder ab dem Alarm des Monitorings? Gilt sie auch am Wochenende? Ist mit Reaktion ein Mensch gemeint oder eine automatische Eingangsbestätigung?

Für Sicherheitslücken brauchst du eine eigene Angabe. Eine Lücke legt deine Seite nicht lahm, sie steht offen, und das sieht man ihr nicht an. Gefragt ist die Zeit vom Erscheinen des Sicherheitsupdates bis zur Installation bei dir. Kommt es nach einem Update doch zur weißen Seite, steht in der Anleitung zum White Screen of Death in WordPress, wie man den Fehler eingrenzt. Mit Vertrag erledigt das jemand anders, in der vereinbarten Zeit.

5. Was ausdrücklich nicht enthalten ist

Ausschlüsse sind kein schlechtes Zeichen. Schlecht ist ein Vertrag ohne sie, denn dann streitest du im Ernstfall darüber, was „Wartung“ bedeutet. Diese Posten willst du im Vertrag eindeutig eingeordnet sehen, drin oder draußen:

• Inhaltliche Änderungen an Texten, Bildern und Seiten.
• Neue Funktionen und neue Plugins.
• Die Bereinigung nach einem Einbruch und die Wiederherstellung danach.
• Arbeit an der Ladezeit. Updates halten eine Seite in Schuss, schneller wird sie davon selten; was dafür nötig ist, steht in WordPress langsam? In 10 Schritten wieder schnell.
• Lizenzgebühren für Premium-Plugins und Themes, Kosten für Hosting und Domain.
• Prüfungen zu Datenschutz und Barrierefreiheit.

Zu jedem Ausschluss gehört ein Preis. Steht im Vertrag kein Stundensatz für Arbeit außerhalb des Pakets, erfährst du ihn mit der Rechnung. Vorsicht bei „Kleinigkeiten inklusive“ ohne Definition: Was eine Kleinigkeit ist, entscheidet dann im Zweifel die andere Seite.

6. Laufzeit und Kündigung

Mindestlaufzeit, Kündigungsfrist, stillschweigende Verlängerung: An diesen Stellen wird ein Vertrag teurer, als sein Monatspreis aussieht. Prüfe außerdem, was am Ende passiert. Ein guter Vertrag regelt die Übergabe. Du bekommst das letzte Backup, eine Liste aller Plugins und Lizenzen und die Bestätigung, dass die Zugänge des Dienstleisters entfernt sind. Fehlt diese Regel, ist der Wechsel genau der Moment, in dem du merkst, was alles nur beim alten Dienstleister lag.

7. Wem Zugänge, Lizenzen und Domain gehören

Dieser Punkt kostet beim Abschluss nichts und beim Wechsel viel. Die Domain sollte auf deinen Namen laufen, der Hosting-Vertrag ebenso. Der Dienstleister bekommt eigene, persönliche Zugänge statt geteilter Passwörter, damit man sie am Ende einzeln entfernen kann.

Bei Premium-Plugins lohnt eine Nachfrage. Manche Dienstleister setzen eigene Lizenzen auf vielen Kundenseiten ein. Das ist bequem, solange der Vertrag läuft. Endet er, kann auch die Lizenz enden, und mit ihr die Updates. Frag, auf wessen Konto jede Lizenz läuft.

Bleibt der Datenschutz. Hat der Dienstleister Zugriff auf eine Datenbank mit Kundendaten, Bestellungen oder Formulareinträgen, stellt sich die Frage nach einem Vertrag zur Auftragsverarbeitung nach Artikel 28 DSGVO. Frag, ob der Anbieter einen vorlegt. Das ist eine Einordnung, keine Rechtsberatung.

8. Dokumentation und Bericht

Der Bericht ist die einzige Stelle, an der du siehst, dass gearbeitet wurde. Wenn alles läuft, sieht ein bezahlter Monat sonst aus wie ein unbezahlter. Ein brauchbarer Monatsbericht nennt die eingespielten Updates mit alter und neuer Version, die Backups und den letzten Wiederherstellungstest, Ausfälle mit Dauer, Funde aus dem Sicherheits-Scan und offene Empfehlungen, etwa ein Plugin, das niemand mehr pflegt.

Dazu gehört eine Dokumentation, die auch bei dir liegt: welche Plugins, welche Lizenzen, wo die Backups liegen, wer welche Zugänge hat. Am Tag des Wechsels ist sie mehr wert als jeder Bericht davor.

Angebot prüfen: zwölf Fragen zum Nebeneinanderlegen

Leg jedes Angebot neben diese Tabelle. Wo eine Antwort fehlt, frag schriftlich nach. Eine ausweichende Antwort ist auch eine.

Was ein Wartungsvertrag kosten darf

Eine Zahl, die für alle Seiten gilt, gibt es nicht, und wir nennen hier auch keine „übliche Spanne“. Solche Spannen vergleichen Pakete mit völlig verschiedenem Inhalt: Das eine spielt Updates automatisch ein, das andere testet jede Version auf einer Kopie der Seite. Nützlicher sind zwei Rechnungen, die du selbst aufmachst.

Rechnung 1: Stundensatz mal realistischer Aufwand

Jedes Paket ist am Ende Arbeitszeit. Frag nach dem Stundensatz für Arbeit außerhalb des Pakets und schätze, wie viel Zeit deine Seite im Monat braucht. Den Aufwand treiben die Zahl der Plugins, ein Shop, der nach jedem Update geprüft werden muss, und ob Wiederherstellungstests und Bericht dazugehören.

Ein Rechenbeispiel mit frei gewählten Annahmen, keine Marktwerte: Ein Anbieter rechnet für deine Seite mit anderthalb Stunden im Monat und 100 € Stundensatz. Ein Paket, das alles von Hand erledigt, enthält dann Arbeit im Gegenwert von 150 €. Liegt der Preis deutlich darunter, ist das für sich kein Warnsignal. Es heißt, dass Teile automatisch laufen, dass der Anbieter Arbeit über viele Seiten bündelt oder dass etwas wegfällt. Frag, was davon zutrifft, und bei einem Ab-Preis, wovon der Endpreis abhängt.

Rechnung 2: Was kostet dich ein Tag Ausfall?

Teile den Umsatz, den deine Website im Monat bringt, durch 30. Das ist grob der Betrag, den ein Tag Stillstand kostet, ohne Reparatur und ohne die Kunden, die danach woanders kaufen. Bringt deine Seite Anfragen statt Bestellungen, rechne mit der Zahl der Anfragen, dem Anteil, aus dem ein Auftrag wird, und dem Wert eines Auftrags.

Wieder mit angenommenen Zahlen: Ein Shop setzt über die Website 6.000 € im Monat um. Ein Tag Ausfall kostet dann im Schnitt 200 € Umsatz, ein Wochenende 400 €, bevor irgendwer eine Stunde Reparatur abgerechnet hat. Nach einem Einbruch kommen Bereinigung und Wiederherstellung dazu.

Zum Vergleich ein Preis, der feststeht: Unsere WordPress-Soforthilfe ohne Vertrag kostet 185 € pro Stunde (Stand: 4. Oktober 2026). Stell den Monatspreis eines Vertrags neben das, was ein Ausfall samt Notfallstunden kosten würde, und schätze ehrlich, wie oft so etwas bei dir vorkommt.

Wann sich ein Vertrag nicht lohnt

Eine Seite mit wenigen, gut gepflegten Plugins, ohne Shop und ohne Formulare, an denen Umsatz hängt, kann ohne Vertrag gut auskommen. Voraussetzung ist Disziplin: Du spielst Sicherheitsupdates selbst zeitnah ein und hast ein Backup außerhalb des Servers, das du mindestens einmal zurückgespielt hast. Für den seltenen Notfall gibt es Hilfe nach Stunden. Wer mit der Seite Geld verdient oder keine Zeit für die Routine hat, kauft mit dem Vertrag vor allem eins: eine kurze Zeit zwischen Sicherheitsupdate und Installation.

Was der Cyber Resilience Act damit zu tun hat

Seit dem 11. September 2026 gilt Artikel 14 des Cyber Resilience Act, amtlich „Meldepflichten der Hersteller“. Hersteller ist, wer ein Produkt mit digitalen Elementen entwickelt und unter eigenem Namen vertreibt, ausdrücklich auch kostenlos. Nach dem Wortlaut sind das die Anbieter deiner Plugins und Themes, nicht du als Nutzer. Wer im Kundenauftrag Websites betreut, sollte die eigene Rolle fachlich klären lassen. Fristen und Meldewege stehen in CRA-Meldepflicht: was Plugin-Anbieter jetzt tun müssen. Das hier ist eine Einordnung, keine Rechtsberatung.

Für deinen Wartungsvertrag zählt Artikel 14 Absatz 8: Der Hersteller muss die Nutzer über eine Schwachstelle informieren und Maßnahmen nennen, die sie selbst ergreifen können. Bei einem Plugin kommt diese Information über Update-Kanal, Changelog und readme. Eingespielt wird dadurch nichts. Der CRA verändert, was du von einem Anbieter erwarten darfst, nicht, wer auf deiner Seite installiert. Ein Vertrag sollte deshalb sagen, wer die Sicherheitshinweise der Plugin-Anbieter liest und wie schnell daraus ein eingespieltes Update wird.

Wie das bei uns aussieht

Wir bauen selbst WordPress-Plugins und stehen bei Sicherheitsupdates damit auch auf der Seite, die sie veröffentlicht. Unser Wartungspaket heißt Lotsendienst. Auf der Agenturseite steht dazu, Stand 4. Oktober 2026: Updates, tägliche Backups, Erreichbarkeits-Monitoring und Sicherheits-Scan, monatlich kündbar, keine Mindestlaufzeit, ab 89 € im Monat. Ohne Vertrag gibt es die WordPress-Soforthilfe für 185 € pro Stunde, bei der wir werktags innerhalb von vier Stunden anfangen. Rahmenverträge mit garantierten Reaktionszeiten gibt es auf Anfrage ab 25 Websites.

Leg das ruhig neben die Tabelle oben, die zwölf Fragen gelten für uns genauso. Was eine Kurzbeschreibung nicht beantwortet, etwa den Takt für Sicherheitsupdates, den Inhalt des Berichts oder wovon der Preis über 89 € hinaus abhängt, schreib in deine Anfrage zum Wartungspaket Lotsendienst und lass dir die Antwort schriftlich geben.

Häufige Fragen