Ein Wartungsvertrag verkauft sich über ein Gefühl: Jemand kümmert sich. Was Sie tatsächlich bekommen, steht aber nicht im Gefühl, sondern in der Leistungsbeschreibung – und die ist bei vielen Angeboten kürzer, als der Preis vermuten lässt.
Dieser Artikel geht durch, was in einem WordPress-Wartungsvertrag geregelt sein sollte, welche Preise realistisch sind und welche Fragen Sie vor der Unterschrift stellen. Danach können Sie jedes Angebot Punkt für Punkt prüfen – unseres eingeschlossen.
Warum ein Vertrag und nicht Wartung nach Bedarf
Patchstack hat für das Jahr 2025 insgesamt 11.334 neue Sicherheitslücken im WordPress-Umfeld gezählt – 42 Prozent mehr als im Vorjahr. 91 Prozent davon steckten in Plugins, nicht im WordPress-Kern. Bei 46 Prozent lag zum Zeitpunkt der Veröffentlichung noch kein Update des Herstellers vor.
Diese Zahlen sagen nichts darüber aus, ob ausgerechnet Ihre Website betroffen ist. Sie sagen etwas über die Taktung: Es passiert laufend etwas, und es passiert in den Erweiterungen, die jemand vor Jahren eingebaut hat.
„Wartung nach Bedarf“ setzt voraus, dass jemand den Bedarf bemerkt. Bemerkt wird er meist erst, wenn das Kontaktformular seit zwei Wochen keine Anfrage mehr zugestellt hat oder der Browser eine Warnung anzeigt. Aus Projekten, die wir im Auftrag von Agenturen umgesetzt haben, kennen wir das Muster: sauber gebaut, sauber übergeben – und danach über Monate niemand zuständig.
Ein Wartungsvertrag löst nicht das technische Problem. Er löst die Zuständigkeitsfrage: Es gibt jemanden, der hinschaut, bevor Sie es tun.
Was in einem WordPress-Wartungsvertrag stehen muss
Die folgenden Punkte sind der Maßstab, an dem sich jedes Angebot messen lassen muss. Fehlt einer davon, ist das kein Ausschlusskriterium – aber eine Frage wert.
Leistungsumfang: was genau gewartet wird
Ein Vertrag, der „regelmäßige Updates“ zusagt, sagt nichts zu. Regelmäßig kann einmal im Quartal bedeuten. Updates kann den WordPress-Kern meinen und die vierzehn installierten Plugins außen vor lassen.
Konkret benannt gehören:
- WordPress-Kern, Plugins und Theme – jeweils einzeln genannt
- Premium-Plugins, die eine gültige Lizenz brauchen, um überhaupt Updates zu erhalten
- die PHP-Version – also die Programmiersprache, auf der WordPress läuft; veraltete Versionen bekommen keine Sicherheitsupdates mehr
- in welchem Takt gewartet wird: wöchentlich, monatlich, bei kritischen Lücken sofort
Genauso wichtig ist die Gegenliste. Inhaltspflege, neue Unterseiten, Grafiken, Texte, die Anbindung eines Buchungssystems – das ist Weiterentwicklung, keine Wartung. Wenn im Vertrag nicht steht, was nicht enthalten ist, steht es später in der Rechnung.
Wie aktualisiert wird
Der Ablauf entscheidet darüber, ob ein Update ein Routinevorgang oder ein Risiko ist. Sauber ist er, wenn vier Dinge festgehalten sind:
- Vor jedem Update wird ein Backup erstellt.
- Größere Updates laufen zuerst in einer Staging-Umgebung – einer Kopie der Website, die niemand außer dem Dienstleister sieht.
- Nach dem Update schaut ein Mensch auf die wichtigsten Seiten: Startseite, Kontaktformular, Leistungsseiten.
- Geht etwas schief, wird der vorherige Stand zurückgespielt – und Sie erfahren davon, statt es selbst zu entdecken.
Punkt 3 ist der, den automatische Update-Dienste nicht leisten. Ein Plugin-Update kann technisch fehlerfrei durchlaufen und trotzdem das Layout einer Seite zerlegen. Das sieht nur jemand, der hinsieht.
Backups: Häufigkeit, Ort, Wiederherstellung
Drei Angaben gehören in den Vertrag: wie oft gesichert wird, wo die Sicherungen liegen und wie lange sie aufbewahrt werden. Sicherungen, die auf demselben Server liegen wie die Website, sind bei einem Serverausfall mit weg.
Die vierte Angabe fehlt fast überall: Wer spielt das Backup zurück, und wie lange dauert das? Ein Backup, das nie zurückgespielt wurde, ist keine Sicherheit, sondern eine Vermutung.
Reaktionszeiten und Erreichbarkeit
Unterscheiden Sie zwei Dinge, die gern vermischt werden:
- Reaktionszeit – bis wann Sie eine Antwort bekommen.
- Behebungszeit – bis wann das Problem gelöst ist.
Seriöse Anbieter sagen die Reaktionszeit zu und nennen für die Behebung eine Einschätzung. Wer eine feste Behebungszeit für beliebige Störungen verspricht, hat entweder sehr viel Puffer eingepreist oder noch nie einen Hosting-Ausfall erlebt.
Klären Sie außerdem, wer Ihr Ansprechpartner ist. „Support“ als Sammelpostfach und „Sie erreichen Denis unter dieser Nummer“ sind zwei verschiedene Produkte.
Monitoring: was überwacht wird und wer die Meldung bekommt
Uptime-Monitoring prüft in kurzen Abständen, ob die Website erreichbar ist. Das ist Standard und kostet wenig. Entscheidend ist, wohin die Meldung geht. Landet sie nur in Ihrem Postfach, ist es keine Überwachung, sondern eine Benachrichtigung – Sie sind weiterhin derjenige, der reagieren muss.
Sinnvoll ist außerdem eine Überwachung bekannter Schwachstellen in den eingesetzten Plugins. Wir arbeiten dafür mit Patchstack; Backups und Erreichbarkeit laufen über WP Umbrella. Welche Werkzeuge ein Dienstleister einsetzt, sollte er Ihnen auf Nachfrage nennen können.
Pflegezeit: was enthalten ist und was extra kostet
Die meisten Verträge enthalten ein Zeitkontingent für kleine Änderungen – neue Öffnungszeiten, ein ausgetauschtes Foto, ein korrigierter Text. Prüfen Sie drei Punkte:
- Wie viel Zeit ist enthalten und in welchen Schritten wird abgerechnet?
- Verfällt nicht genutzte Zeit am Monatsende oder wird sie übertragen?
- Was kostet die Stunde darüber hinaus?
Bei uns kostet die Stunde über das Paket hinaus 120 € netto. Wir nennen diese Zeit Pflegezeit.
Lizenzen für Premium-Plugins
Viele Websites laufen mit kostenpflichtigen Erweiterungen. Ohne gültige Lizenz bekommen diese Erweiterungen keine Updates mehr – und werden damit zur Sicherheitslücke. Im Vertrag sollte stehen, wer die Lizenzen bezahlt und auf wen sie laufen.
Bei uns sind die Lizenzen in allen Paketen enthalten. Wir arbeiten dabei mit einer festen Auswahl an Plugins statt für jedes Projekt neu zu entscheiden. Das ist eine bewusste Einschränkung: Wer immer dieselben Werkzeuge einsetzt, erkennt ein untypisches Verhalten schneller als jemand, der sich in jedem Projekt neu orientiert.
Zugänge, Eigentum und was beim Vertragsende passiert
Sie sollten jederzeit einen eigenen Administrator-Zugang zu Ihrer Website haben, dazu Zugriff auf Domain und Hosting. Das ist keine Misstrauensfrage, sondern eine Frage der Handlungsfähigkeit.
Für das Vertragsende gehört geregelt, was Sie bekommen: die vollständigen Dateien, die Datenbank und die Zugangsdaten, in einem gängigen Format und innerhalb einer benannten Frist. Wenn ein Anbieter das nicht schriftlich zusagt, fragen Sie nach dem Grund.
Auftragsverarbeitungsvertrag (AVV)
Wer Ihre Website wartet, hat Zugriff auf die Datenbank – und damit auf Kontaktanfragen, Newsletter-Adressen, Kommentare. Nach Art. 28 DSGVO braucht die Verarbeitung personenbezogener Daten im Auftrag eine vertragliche Grundlage, die unter anderem Gegenstand, Dauer, Art und Zweck der Verarbeitung festhält.
Der Punkt, der dabei regelmäßig untergeht: Die Kette hört nicht bei Ihrem Dienstleister auf. Jeder Dienst, den er einsetzt – Backup-Speicher, Monitoring, Bildoptimierung – verarbeitet unter Umständen ebenfalls Daten.
Ein Beispiel aus unserer eigenen Auswahl: Wir haben den Bildoptimierer Imagify zweimal schriftlich um einen Auftragsverarbeitungsvertrag gebeten und zweimal eine Absage bekommen. Deshalb setzen wir Converter for Media Pro ein – das Plugin wandelt die Bilder auf dem eigenen Server um und gibt nichts an einen externen Dienst weiter. Solche Entscheidungen fallen auf der Website nicht auf. Im AVV fallen sie auf.
Dieser Abschnitt beschreibt die technische Umsetzung und ist keine Rechtsberatung. Ob und in welcher Form ein AVV in Ihrem Fall erforderlich ist, klären Sie bitte mit einem Rechtsanwalt.
Laufzeit, Kündigung und Preisanpassung
Ohne abweichende Vereinbarung gilt bei einem Dienstvertrag mit monatlicher Vergütung § 621 Nr. 3 BGB: Gekündigt werden kann spätestens am 15. eines Monats zum Ende desselben Kalendermonats.
In Verträgen wird davon häufig abgewichen – zwölf oder vierundzwanzig Monate Mindestlaufzeit mit automatischer Verlängerung sind verbreitet. Das ist zulässig und nicht per se unfair; teuer wird es, wenn Sie es erst im zweiten Jahr bemerken. Schauen Sie außerdem nach, ob und wie der Anbieter den Preis anpassen darf.
Was ein WordPress-Wartungsvertrag kostet
Warum die Spannen so groß sind
Angebote am Markt beginnen bei wenigen Euro im Monat und reichen bis in den vierstelligen Bereich. Der Unterschied liegt fast nie in der Qualität der Updates, sondern in drei Posten: ob ein Mensch nach dem Update hinsieht, ob Lizenzen enthalten sind und wie viel Arbeitszeit für Ihre Anliegen eingeplant ist.
Ein vollautomatischer Update-Dienst für 9 € im Monat ist kein schlechtes Produkt – er ist ein anderes Produkt. Er ersetzt keinen Ansprechpartner.
Unsere Preise
| Paket | Preis pro Monat |
|---|---|
| Starter | 190 € |
| Business | 490 € |
| Premium Partner | ab 1.490 € |
Alle Preise netto, zzgl. MwSt. Die Stunde über das enthaltene Kontingent hinaus kostet 120 € netto. Was in welchem Paket enthalten ist, steht im Detail auf der Seite Pakete.
Dass diese Zahlen hier stehen, ist keine Selbstverständlichkeit: Die meisten Anbieter in diesem Markt veröffentlichen ihre Preise nicht. Uns ist der Vergleich lieber als das Erstgespräch.
Woran Sie einen zu günstigen Vertrag erkennen
- Lizenzkosten für Premium-Plugins sind nicht enthalten und tauchen nach einem Jahr als Nachforderung auf.
- Es gibt keine Staging-Umgebung – Updates laufen direkt auf der Live-Website.
- Backups werden erstellt, aber die Wiederherstellung wird nach Aufwand berechnet.
- Für jede Textänderung fällt eine Mindestpauschale an.
Woran Sie gute Betreuung erkennen
Sieben Fragen vor der Unterschrift
- Welche Bestandteile werden aktualisiert – und in welchem Takt?
- Läuft ein größeres Update zuerst in einer Staging-Umgebung?
- Wo liegen die Backups, wie lange, und wer spielt sie zurück?
- Welche Reaktionszeit ist zugesagt, und an wen wende ich mich konkret?
- Sind die Lizenzen der Premium-Plugins enthalten?
- Liegt ein Auftragsverarbeitungsvertrag vor – auch für die eingesetzten Dienste?
- Was bekomme ich bei Vertragsende, in welchem Format und in welcher Frist?
Ein Anbieter, der auf diese sieben Fragen in einer E-Mail antworten kann, hat seine Prozesse im Griff. Wer für jede Antwort ein Telefonat braucht, hat sie vielleicht nicht.
Drei Warnzeichen
- Kein schriftlicher Leistungsumfang. „Wir kümmern uns um alles“ ist im Streitfall nichts wert – für beide Seiten.
- Kein eigener Administrator-Zugang für Sie. Dafür gibt es keinen sachlichen Grund.
- Sicherheitsversprechen im Absolutbereich. „100 % sicher“ oder „rechtssicher“ kann niemand zusagen. Seriös ist: Wir reduzieren das Risiko, und das sind die Maßnahmen.
Wie Sie jetzt weitermachen
Wenn Sie bereits ein Angebot vorliegen haben, gehen Sie es mit den sieben Fragen oben durch. Wenn Sie erst einmal wissen möchten, in welchem Zustand Ihre Website überhaupt ist, beginnen Sie damit: Unser kostenloser Website-Check prüft sechs Bereiche und kommt als PDF innerhalb von 48 Stunden – ohne Anruf, ohne Verkaufsgespräch und ohne dass wir Zugangsdaten brauchen. Worauf wir dabei schauen, haben wir in diesem Artikel offengelegt, damit Sie die Prüfung auch selbst durchführen können.
Wenn Sie vergleichen möchten, finden Sie unsere Leistungen und Preise unter Pakete. Für alles, was sich in zwei Sätzen klären lässt, erreichen Sie uns direkt über die Kontaktseite – wir betreuen Unternehmen in Hamburg und Schleswig-Holstein vor Ort und bundesweit aus der Ferne.
Häufige Fragen
Brauche ich einen Wartungsvertrag, wenn meine Website kaum Besucher hat?
Automatisierte Angriffe suchen nach verwundbaren Installationen, nicht nach bekannten Marken. Die Besucherzahl spielt dabei keine Rolle. Was eine Rolle spielt: Wie viel Schaden entsteht, wenn die Website eine Woche lang nicht erreichbar ist oder Ihre Kontaktanfragen nicht mehr ankommen.
Kann ich Updates nicht einfach automatisch laufen lassen?
Können Sie, und für Sicherheitsupdates des WordPress-Kerns ist das sinnvoll. Der Haken ist die Kontrolle danach: Ein Plugin-Update kann fehlerfrei installiert werden und trotzdem eine Seite zerschießen. Ohne Sichtprüfung merkt das niemand, bis sich ein Kunde meldet.
Was passiert, wenn ein Update die Website beschädigt?
Bei einem sauberen Ablauf wird der Stand von vor dem Update zurückgespielt, die Ursache gesucht und das betroffene Plugin so lange zurückgehalten, bis der Hersteller nachbessert. Wichtig ist, dass dieser Ablauf im Vertrag steht – und dass die Wiederherstellung nicht extra berechnet wird.
Kann ich einen Wartungsvertrag kündigen, wenn ich unzufrieden bin?
Das hängt von der vereinbarten Laufzeit ab. Ohne eigene Regelung greift bei monatlicher Vergütung § 621 Nr. 3 BGB mit einer Kündigung zum Monatsende. Viele Verträge vereinbaren längere Mindestlaufzeiten – deshalb gehört dieser Punkt vor die Unterschrift und nicht danach.
Kümmern Sie sich auch um Online-Shops?
Nein. Wir betreuen Unternehmenswebsites auf WordPress. Online-Shops haben eine eigene Dynamik bei Updates, Zahlungsanbindung und Erreichbarkeit – dafür sind wir nicht der richtige Partner.
Quellen
- Patchstack: State of WordPress Security in 2026 – Zahlen für das Jahr 2025, abgerufen am 29.09.2026
- Art. 28 DSGVO – Auftragsverarbeiter, abgerufen am 29.09.2026
- § 621 BGB – Kündigungsfristen bei Dienstverhältnissen, abgerufen am 29.09.2026
