WordPress-Wartung: warum Updates allein nicht reichen

Ein roter Punkt im Dashboard, ein Klick auf „Alle aktualisieren“, fertig. Website gepflegt, Haken dran, nächstes Thema. Genau dieser Klick ist der Grund, warum Kontaktformulare wochenlang unbemerkt ins Leere laufen, warum Shops mitten in der Nacht abstürzen und warum Bereinigungen nach einem Hack vierstellig werden. In diesem Artikel liest du, was ein Update tatsächlich leistet, welche sechs Aufgaben echte Wartung ausmachen, wo das Risiko wirklich sitzt und woran du erkennst, ob deine Website gepflegt wird oder nur aktualisiert.

Was ein Update wirklich tut

WordPress ist ein Baukasten aus Kern, Theme, Plugins, PHP-Version und Datenbank. Diese Teile müssen zusammenpassen. Ein Update tauscht einen dieser Teile aus, und zwar ohne zu prüfen, ob die anderen damit noch zurechtkommen. Genau daraus entstehen die drei Fehlerbilder, die wir im Alltag am häufigsten sehen.

• Der laute Fehler: Eine weiße Seite, ein PHP-Fehler, die Website ist weg. Unangenehm, aber immerhin sofort sichtbar.
• Der leise Fehler: Das Layout verrutscht, das Menü klappt mobil nicht mehr auf, ein Button liegt hinter einem anderen Element. Die Seite lädt, sie funktioniert nur nicht mehr richtig.
• Der teure Fehler: Das Kontaktformular nimmt Eingaben an und verschickt nichts. Für den Besucher sieht alles normal aus. Du merkst es daran, dass keine Anfragen mehr kommen, und zwar oft erst Wochen später.

Der dritte Fall ist der Grund, warum Wartung nicht in die IT-Kostenstelle gehört, sondern in die Vertriebskostenstelle. Kein Ausfall ist so teuer wie der, den niemand bemerkt. Wie schnell ein Kontaktweg still kaputtgeht und woran man das erkennt, haben wir im Beitrag zum Kontaktformular optimieren ausführlich beschrieben.

Die sechs Aufgaben echter Wartung

Professionelle Pflege besteht nicht aus einem Klick, sondern aus einem Ablauf. Diese sechs Punkte gehören dazu, unabhängig davon, ob du sie selbst übernimmst oder vergibst.

• 1. Vorher testen statt hinterher reparieren: Kern-Updates, Shop-Erweiterungen und zentrale Plugins werden zuerst auf einer Kopie der Website eingespielt, nicht auf dem Livesystem. Was dort bricht, bricht nicht vor Kundenaugen.
• 2. Backups außerhalb des Servers, mit Wiederherstellungs-Test: Ein Backup auf demselben Server hilft bei einem Serverausfall nicht. Es braucht versionierte Sicherungen an einem getrennten Ort und mindestens einen dokumentierten Test, dass die Wiederherstellung wirklich klappt. Ein ungetestetes Backup ist eine Hoffnung, kein Sicherheitsnetz.
• 3. Monitoring für Erreichbarkeit und Sicherheit: Automatisierte Prüfungen melden Ausfälle und verdächtige Änderungen, bevor Kunden oder Google darauf stoßen. Wichtig ist die Alarmkette: Wer wird wann informiert und wer darf reagieren?
• 4. Funktions- und Sichtprüfung nach jedem Update: Die entscheidende Frage lautet nicht „läuft die Seite“, sondern „funktionieren die Wege, mit denen wir Geld verdienen“. Formular absenden, Termin buchen, Bestellung abschließen, Tracking prüfen. Bei größeren Seiten lohnen automatisierte Vorher-Nachher-Vergleiche der wichtigsten Seiten.
• 5. Datenbank- und Ballastpflege: Über Jahre sammeln sich Beitragsrevisionen, Reste deinstallierter Plugins und verwaiste Einträge an. Das verlangsamt Abfragen und damit die Antwortzeit des Servers. Diese Arbeit sieht niemand, man spürt sie nur.
• 6. Ladezeit und Schnittstellen im Blick behalten: Moderne Websites hängen an CRM, Kalender, Zahlungsdienst oder Newsletter-System. Diese Verbindungen brechen gern still. Dazu gehört die Beobachtung der Core Web Vitals, denn Google bewertet echte Nutzererfahrung, nicht Laborwerte.

Warum Plugins das eigentliche Risiko sind

Der häufigste Irrtum in Wartungsgesprächen lautet: „WordPress ist unsicher.“ Die Zahlen sagen etwas anderes. In der Auswertung von Patchstack für das Jahr 2024 entfielen 96 Prozent der gemeldeten Sicherheitslücken auf Plugins und 4 Prozent auf Themes. Im WordPress-Kern selbst wurden lediglich sieben Lücken gefunden, keine davon mit breiter Gefährdung.

Das verschiebt die Aufgabe. Nicht das System ist das Problem, sondern die Summe der Erweiterungen, die im Laufe der Jahre dazukamen. Jedes Plugin ist fremder Code mit vollen Rechten in deiner Installation. Die praktische Konsequenz ist unbequem, aber wirksam: Jedes Plugin muss sich rechtfertigen. Wer es gebaut hat, wie oft es gepflegt wird, ob es wirklich gebraucht wird und ob dieselbe Funktion nicht auch ohne zusätzliches Plugin lösbar wäre.

Dazu kommt der Zeitfaktor. Angriffe laufen automatisiert, nicht gezielt. Nach Daten von Wordfence wird eine durchschnittliche WordPress-Website etwa alle 34 Minuten angegriffen, und im Schutznetzwerk des Anbieters werden im Tagesschnitt rund 215 Millionen Angriffsversuche blockiert. Niemand davon hat es persönlich auf dich abgesehen. Bots suchen nach bekannten Lücken, und eine veraltete Erweiterung ist genau das, wonach sie suchen. Was zu tun ist, wenn es doch passiert ist, steht Schritt für Schritt im Notfall-Guide für gehackte WordPress-Seiten.

Der stille Kostenfaktor: veraltetes PHP

PHP ist die Sprache, in der WordPress läuft, und jede Version hat ein Ablaufdatum. Läuft deine Website auf einer Version ohne Sicherheitsunterstützung, bekommst du bekannte Lücken schlicht nicht mehr geschlossen, egal wie fleißig du Plugins aktualisierst.

Stand September 2026 gilt: PHP 8.1 und alles darunter ist abgekündigt, für PHP 8.2 endet auch die Sicherheitsunterstützung zum Jahresende 2026. Wer heute plant, sollte deshalb auf PHP 8.3 oder 8.4 gehen. Neuere Versionen sind zudem spürbar schneller, du bekommst also Sicherheit und Tempo im selben Schritt. Die Umstellung ist kein Klick, sondern ein getesteter Vorgang, weil ältere Plugins mit neuen PHP-Versionen brechen können. Genau deshalb gehört sie in die Wartung und nicht in einen spontanen Freitagnachmittag.

Was fehlende Wartung kostet

Wartung wird gern als laufender Posten gesehen, den man sich spart, solange nichts passiert. Die Gegenrechnung ist allerdings selten die Wartungsgebühr gegen null, sondern die Wartungsgebühr gegen den Schadensfall.

• Ein Hack bedeutet Bereinigung, Wiederherstellung, oft eine Prüfung der Datenlage und im Fall betroffener personenbezogener Daten eine Meldepflicht gegenüber der Aufsichtsbehörde innerhalb von 72 Stunden.
• Ein unbemerkt defekter Anfrageweg kostet direkt Umsatz. Bei 30 Anfragen im Monat sind zwei stille Wochen 15 verlorene Gelegenheiten, die beim Wettbewerb landen.
• Ein Ladezeit-Einbruch nach einem Update verschlechtert deine Nutzersignale und damit mittelfristig die Sichtbarkeit.
• Ein fehlendes Backup verwandelt einen Zwischenfall in einen Neuaufbau. Das ist der einzige Fall, in dem am Ende wirklich alles weg ist.

Der ehrliche Blick darauf ist keine Angstmache, sondern Risikorechnung. Die Wahrscheinlichkeit für einen Totalausfall ist gering. Die Wahrscheinlichkeit, dass über zwölf Monate irgendetwas still kaputtgeht, liegt dagegen nahe bei hundert Prozent.

Selbst machen oder abgeben?

Beides ist legitim. Die Frage ist nicht, wer es darf, sondern wer es verlässlich tut. Wartung scheitert selten am Können, sie scheitert an der Regelmäßigkeit. Prüf ehrlich diese drei Punkte: Gibt es eine feste Person mit fester Zeit dafür? Existiert eine Testumgebung, auf der Updates vorher laufen? Wurde in den letzten zwölf Monaten einmal eine Wiederherstellung aus dem Backup getestet?

Dreimal ja bedeutet, dass du intern gut aufgestellt bist. Bei zweimal nein wird es in der Regel günstiger und ruhiger, den Betrieb abzugeben. Wenn du grundsätzlicher überlegst, ob deine Website laufend betreut oder einmalig gebaut werden soll, hilft der Blick auf das Bild dahinter: Eine Seite, die arbeiten soll, braucht Betrieb. Warum das mehr ist als eine Formulierung, steht im Artikel über Websystem statt Website. Wie wir Betrieb, Updates und Weiterentwicklung im Zusammenspiel mit den anderen Disziplinen aufsetzen, findest du in unseren Services.

Fazit

Ein Update ist eine Lieferung, keine Qualitätskontrolle. Es stellt neuen Code bereit und sagt nichts darüber, ob deine Website danach noch das tut, wofür du sie gebaut hast. Wartung ist der Teil, der genau das prüft: vorher testen, sichern und die Wiederherstellung beweisen, überwachen, nach dem Update die Geldwege durchklicken, Ballast entfernen und Ladezeit wie Schnittstellen im Blick behalten. Das ist unspektakulär und genau deshalb wirksam. Der beste Wartungsvertrag ist der, von dem du das ganze Jahr nichts merkst, weil nie etwas ausfällt.

• Patchstack: State of WordPress Security 2025 (Auswertung der 2024 gemeldeten Lücken: 96 Prozent Plugins, 4 Prozent Themes, 7 im Kern)
• Wordfence: 2024 Annual WordPress Security Report (durchschnittlich ein Angriff alle 34 Minuten je Website, rund 215 Millionen blockierte Angriffe pro Tag im Netzwerk)
• The PHP Group: Supported Versions (Sicherheitsunterstützung für PHP 8.2 endet am 31.12.2026, PHP 8.1 und älter sind abgekündigt)
• W3Techs: Usage statistics of WordPress (40,3 Prozent aller Websites, 58,8 Prozent aller Websites mit bekanntem CMS, Stand 09/2026)
• web.dev (Google): Core Web Vitals (Richtwerte für Ladezeit, Reaktionszeit und Layoutstabilität)