Website-Wartung: was ein realistischer Vertrag tatsächlich enthalten sollte.

Website-Wartungsverträge unterscheiden sich stark darin, was sie tatsächlich liefern — von einer wirklich nützlichen laufenden Partnerschaft bis zu kaum mehr als einer Hosting-Rechnung mit einem Support-Etikett darauf. Zu wissen, was enthalten sein sollte, macht es viel einfacher zu erkennen, welche Variante dir angeboten wird.

Die Grundlage: den Betrieb am Laufen halten

Mindestens sollte ein Wartungsplan Abhängigkeits- und Sicherheitsupdates, Uptime-Monitoring, Backups mit regelmäßig getesteten Wiederherstellungen und die Erneuerung des SSL-Zertifikats abdecken. Das ist die unglamouröse, nicht verhandelbare Grundlage — ohne sie sammelt eine Website allmählich Sicherheits- und Zuverlässigkeitsrisiken an, unabhängig von allem anderen.

Was einen echten Vertrag von einem bloßen Aufschlag unterscheidet

Ein echter Wartungsvertrag umfasst eine definierte Anzahl an Support-Stunden pro Monat für Fehlerbehebungen und kleinere Änderungen, einen monatlichen Bericht zu Uptime, Performance und tatsächlich Erledigtem, sowie eine benannte Ansprechperson statt einer anonymen Ticket-Warteschlange. Die meisten Pläne enthalten zwischen ein und vier Stunden inkludierter Änderungen pro Monat, alles darüber hinaus wird separat berechnet.

Was separat kalkuliert werden sollte

Neue Funktionen, Redesigns, Content-Migrationen und alles, was über wirklich kleinere Änderungen hinausgeht, sollte als eigenes kleines Projekt kalkuliert und abgegrenzt werden — nicht stillschweigend in den Vertrag aufgenommen oder stillschweigend davon ausgeschlossen. Eine gute Agentur wird dir vor der Unterschrift klar sagen, wo diese Grenze liegt.

Fragen vor der Unterschrift

Was zählt konkret als „kleinere Korrektur“ gegenüber einem abrechenbaren Extra? Was passiert, wenn du die enthaltenen monatlichen Stunden überschreitest? Und wer führt die Arbeit tatsächlich aus — dasselbe Team, das die Website gebaut hat, oder ein separater Support-Schalter ohne Kontext dazu?

Und eine Frage zur Grundlage selbst: Wie schnell werden Sicherheitsupdates tatsächlich eingespielt? Patchstack verzeichnete 2025 im WordPress-Ökosystem 11.334 neue Schwachstellen, 42 % mehr als 2024, davon 91 % in Plugins statt im Core. Ein Plan, der monatlich patcht, ist ein anderes Produkt als einer, der bei Bekanntwerden patcht — und der Preisunterschied zwischen beiden ist meist kleiner als der Unterschied im Risiko.

Die Updates, die niemand eingeplant hat

Der Teil der Wartung, der die meisten überrascht, ist kein Angriff — es ist der Kalender. Jede Laufzeitumgebung und jedes Framework unter deiner Website hat ein veröffentlichtes End-of-Life-Datum, und wenn es überschritten ist, werden schlicht keine Sicherheitspatches mehr geschrieben. Der Sicherheits-Support für Node 18 endete am 30. April 2025, der für Node 20 am 30. April 2026. Eine Website, die noch auf einer davon läuft, läuft per Definition ungepatcht — egal, wie sorgfältig alles darüber gepflegt wird.

Das ist der sauberste Test, ob ein Wartungsvertrag echt oder dekorativ ist. Ein Aufschlagsmodell rechnet monatlich ab und lässt die Laufzeitumgebung genau dort, wo sie am Launch-Tag war. Vier Jahre aufgeschobener Updates kommen dann als eine Rechnung — meist mit den Worten „die Seite muss neu gebaut werden“. Ein echter Vertrag kennt diese Daten im Voraus, plant den Versionssprung *bevor* der Support ausläuft und behandelt ihn als eingeplante Arbeit statt als Notfall. Eine faire Frage an jeden, der dir ein Angebot macht: Auf welcher Hauptversion sind wir, und wann endet deren Support? Wenn das niemand beantworten kann, ist das die Antwort.

Quellen

Die Zahlen zu Schwachstellen, die Marktpreise für Wartungsverträge und die Support-Zeiträume stammen aus diesen Quellen, geprüft im August 2026. Die Leistungs-Checkliste ist unsere eigene.

• Patchstack — State of WordPress Security in 2026 ↗

  Jahresreport eines Anbieters für WordPress-Schwachstellenintelligenz: 11.334 neue Schwachstellen im Jahr 2025 (+42 % gegenüber dem Vorjahr), davon 4.124 gravierend genug für eigene Mitigationsregeln, 91 % in Plugins und 9 % in Themes, mit nur 6 Problemen niedriger Priorität im Core.

• ExpertLocal — Was kostet eine Digital-Agentur 2026? ↗

  Deutsche Marktsätze für laufende Arbeit, darunter einfache SEO-Retainer zu 800–1.800 € im Monat — hilfreich, um zu beurteilen, ob ein Wartungsangebot als Leistung oder als Abo kalkuliert ist.

• Let’s Encrypt — Documentation FAQ ↗

  Zertifikatslaufzeiten und das Argument für automatische Erneuerung — der Grund, warum „SSL-Erneuerung“ in einen Retainer als Monitoring gehört und nicht als wiederkehrende, abrechenbare Handarbeit.

• OWASP — Top 10 Web Application Security Risks ↗

  Die Referenzliste, gegen die ein Wartungsplan implizit verteidigt, inklusive verwundbarer und veralteter Komponenten — die Kategorie, die die meisten Dependency-Updates abdecken.

• endoflife.date — Node.js release support ↗

  Der Sicherheits-Support für Node 18 endete am 30. April 2025, für Node 20 am 30. April 2026; Produktivanwendungen sollten nur Active- oder Maintenance-LTS-Versionen einsetzen.