Website-Wartung 2026: Was sie kostet und was drinstehen muss

Eine ungewartete Website wird nicht langsam schlechter. Sie läuft monatelang völlig unauffällig und ist dann an einem Dienstagmorgen weg, weil eine Abhängigkeit eine seit Monaten öffentlich dokumentierte Lücke hatte und ein automatisierter Scanner sie gefunden hat. Deshalb ist die verbreitete Frage „Merken wir denn überhaupt etwas davon?“ die falsche Frage: Bis zum Ausfall merkt man nichts, das ist der Punkt.

Warum Ausfälle nicht angekündigt kommen

Sicherheitslücken in Frameworks, Bibliotheken und Plugins werden veröffentlicht, sobald sie geschlossen sind. Diese Veröffentlichung ist notwendig, hat aber eine Nebenwirkung: Von dem Moment an weiß auch jeder, wonach zu suchen ist. Was danach über das Netz läuft, sind keine gezielten Angriffe auf Ihr Unternehmen, sondern automatisierte Scanner, die Adresse für Adresse abklopfen, ob eine bekannte Lücke offen steht. Ihre Website wird nicht ausgesucht, sie wird gefunden.

Das Risiko hängt also nicht daran, wie bekannt Sie sind, sondern daran, wie lange eine bekannte Lücke offen bleibt. Und es hört nicht bei Sicherheit auf. Zertifikate laufen ab. Sprachversionen auf dem Server erreichen ihr Support-Ende. Zahlungsdienstleister ändern Schnittstellen. Browser stellen Verhalten um, auf das eine Seite sich vor drei Jahren verlassen hat. Eine Website, die zwei Jahre lang niemand angefasst hat, ist nicht dieselbe Website wie damals: Ihre Umgebung hat sich bewegt, sie selbst nicht.

Was ein Wartungsvertrag enthalten muss, damit er einer ist

• Sicherheits- und Abhängigkeits-Updates, eingespielt und danach im Browser nachgeprüft, nicht nur automatisch angestoßen
• Sicherungen außerhalb des Produktivservers, mit einem Rückspielweg, der tatsächlich schon einmal getestet wurde
• Erreichbarkeitsprüfung rund um die Uhr, deren Alarm beim Dienstleister landet und nicht bei Ihnen
• Zertifikate und Domainverlängerungen, die laufen, bevor irgendwo eine Mahnung eingeht
• Eine schriftlich benannte Reaktionszeit im Störfall, mit einem erreichbaren Menschen dahinter
• Ein regelmäßiger Nachweis, was im Zeitraum tatsächlich getan wurde, auch wenn das „nichts Auffälliges“ heißt

Der wichtigste Punkt in dieser Liste ist der zweite, und er ist der am häufigsten ungeprüfte. Eine Sicherung, die nie zurückgespielt wurde, ist keine Sicherung, sondern eine Vermutung. Liegt sie zusätzlich auf demselben Server wie die Website, schützt sie genau gegen den Fall nicht, für den man sie hat.

Der leere Wartungsvertrag

Es gibt eine Vertragsform, die monatlich Geld kostet und im Ernstfall nichts leistet. Sie ist nicht unseriös gemeint, sie ist meistens einfach ungenau geschrieben: Als Leistung steht dort „Pflege und Betreuung Ihrer Website“, ohne dass irgendwo steht, was das umfasst.

Der ehrlichste Test ist eine einzige Frage an den Anbieter: Was passiert, wenn die Seite an einem Sonntagvormittag nicht erreichbar ist? Lautet die Antwort „Schreiben Sie uns ein Ticket, wir melden uns am Montag“, dann zahlen Sie für Textänderungen, nicht für Wartung. Das kann völlig in Ordnung sein - aber dann sollte es auch so heißen.

Was Wartung am Markt kostet

Die veröffentlichten Preise deutscher Anbieter für Unternehmensseiten, überwiegend auf WordPress-Basis, gruppieren sich 2026 in drei erkennbaren Bändern. Sie sind Orientierung, kein Tarif.

Diese Spannen gelten für Seiten mit klassischem Plugin-Stack. Eine Website ohne Fremdmodule hat eine deutlich kleinere Wartungsfläche und landet entsprechend weiter unten. In unserem Website-Abo sind Hosting und Wartung von Anfang an enthalten: 349 € netto im Monat bei 12 Monaten Laufzeit, danach 49 € netto im Monat für Hosting und Wartung. Die Website gehört Ihnen ab dem Livegang. Wie sich das gegen einen einmaligen Projektpreis rechnet, steht im Artikel Was kostet eine Website, und was in einem Relaunch technisch mitwandert, im Artikel Website-Relaunch 2026.

Der unbequeme Teil: nicht jede Website braucht denselben Vertrag

Eine statische Seite ohne Formular, ohne Login und ohne Plugin-Stack hat eine Angriffsfläche nahe null. Dort ist ein dreistelliger Monatsbeitrag für Wartung schwer zu begründen, und wer ihn trotzdem verkauft, verkauft ein Gefühl. Umgekehrt braucht eine WordPress-Installation mit zwanzig Erweiterungen, Shop und Kundenkonten spürbar mehr als einen monatlichen Update-Lauf.

Die entscheidende Frage ist deshalb nicht, wie groß die Website ist, sondern zwei andere: Wie viel fremder Code läuft darin, und was kostet eine Woche Nichterreichbarkeit? Ein Handwerksbetrieb, dessen Telefon ohnehin klingelt, übersteht drei Tage Ausfall. Eine Praxis mit Online-Terminbuchung nicht. Wartung sollte an dieser Rechnung hängen, nicht an einer Paketstufe.

Technisch gehört zu einem ernst gemeinten Wartungsumfang übrigens mehr als Updates: die Werte, an denen Google Nutzerfreundlichkeit misst, wandern nach jedem größeren Eingriff, wie der Artikel zu den Core Web Vitals zeigt. Und die Transportsicherheit einer Seite ist mit einem gültigen Zertifikat noch nicht erledigt, wie der Artikel HTTPS reicht nicht ausführt. Was zum Betrieb sonst noch dazugehört, fassen wir auf der Seite zu Wartung und Sicherheit zusammen.

Konkrete Maßnahmen für die nächsten 90 Tage

• Tag 1-30: den bestehenden Vertrag gegen die sechs Punkte oben prüfen und schriftlich nachfragen, wann zuletzt eine Sicherung testweise zurückgespielt wurde
• Tag 1-30: klären, wo die Sicherungen liegen. Auf demselben Server wie die Website zählen sie nicht
• Tag 31-60: die Sonntagsfrage stellen und die Antwort schriftlich einfordern, inklusive Reaktionszeit
• Tag 31-60: eine Erreichbarkeitsprüfung einrichten, falls keine läuft. Eine kostenlose ist besser als keine
• Tag 61-90: den Beitrag gegen den Schaden rechnen: eine Woche unerreichbar, wie viele Anfragen wären das
• Tag 61-90: entscheiden, ob Sie ein Grundpaket brauchen oder Betreuung, und den Vertrag entsprechend anpassen

Fazit

Wartung ist der Posten, der sich am leichtesten streichen lässt, weil sein Erfolg unsichtbar ist. Genau deshalb sollte er der Posten sein, bei dem Sie am genauesten hinsehen, was drinsteht. Ein guter Wartungsvertrag ist kurz, konkret und benennt drei Dinge: was regelmäßig passiert, wo die Sicherungen liegen und wer im Störfall wie schnell reagiert. Alles andere ist Verpackung.

Wo Ihre Website liegt und wem die Domain gehört, ist der zweite Teil derselben Frage - dazu haben wir den Artikel Website-Hosting für Unternehmen geschrieben. Und was ein sauberes Setup datenschutzseitig leisten muss, steht im DSGVO-Check für die Website.