20 Fragen zur WordPress-Wartung

Sieben Bausteine: Core-Updates, Plugin- und Theme-Updates, Backups, Sicherheit, Monitoring, Performance und Rechtliches. Wartung heißt, alle sieben in einem festen Rhythmus zu prüfen und zu pflegen. Die Übersicht steht auf der Startseite.

Sicherheitsupdates sofort, alles andere wöchentlich geprüft. WordPress-Core erscheint drei- bis viermal im Jahr als Hauptversion plus Wartungsreleases dazwischen. Bei 20 Plugins hast du praktisch jede Woche mindestens ein Update.

Zunächst nichts, das ist das Tückische. Nach einigen Monaten häufen sich bekannte Lücken in Plugins, die automatisiert abgesucht werden. Irgendwann landet Spam auf der Seite, Google warnt Besucher, oder die Seite ist nach einem PHP-Update des Hosters weiß.

Nein. Hosting stellt den Server bereit. Wartung kümmert sich um das, was auf dem Server läuft: WordPress, Theme, Plugins, Backups, Sicherheit. Managed-WordPress-Hoster übernehmen einen Teil davon, meist Core-Updates und Backups, aber selten Plugin-Updates mit Test.

WordPress selbst ist gut gepflegt und wird schnell gepatcht. Unsicher sind veraltete Installationen und schlecht gepflegte Plugins. Da WordPress rund 40 Prozent aller Websites antreibt, lohnt sich für Angreifer das automatisierte Absuchen. Wer aktuell bleibt, ist für diese Scanner uninteressant. Mehr dazu auf der Seite Sicherheit.

Für Core-Sicherheitsupdates ja, das ist Standard. Für Plugins und Themes nur bei kleinen Seiten mit wenigen, stabilen Plugins. Automatische Updates laufen ohne Backup davor und ohne Prüfung danach. Bei Shops, Buchungssystemen und Page-Buildern lieber manuell mit Test.

Backup, dann Core, dann Theme, dann Plugins einzeln. Plugins werden gegen die aktuelle Core-Version getestet, deshalb zuerst der Core. Einzeln, damit du bei einem Problem sofort weißt, welches Update die Ursache ist. Die ausführliche Anleitung.

Erst das verdächtige Plugin per FTP deaktivieren (Ordner umbenennen). Wenn das nicht hilft, Backup von vor dem Update zurückspielen. Danach das Problem auf einer Staging-Kopie nachstellen und mit dem Plugin-Entwickler klären oder das Plugin ersetzen.

Eine Kopie deiner Seite unter einer anderen Adresse, auf der du Updates ausprobieren kannst, ohne dass Besucher etwas merken. Für Shops und komplexe Seiten unverzichtbar, viele Hoster bieten es mit einem Klick. Für eine Visitenkarte reicht ein sauberes Backup.

Als zweite Sicherung ja, als einzige nein. Hoster-Backups liegen auf derselben Infrastruktur, werden oft nach 7 bis 14 Tagen überschrieben und sichern nicht immer die Datenbank zum selben Zeitpunkt wie die Dateien. Du brauchst eine Kopie außerhalb des Webspace.

So oft, wie sich Daten ändern, die du nicht verlieren willst. Visitenkarte: wöchentlich. Firmenseite mit Blog und Formularen: täglich. Shop: täglich die Dateien, stündlich die Datenbank. Dazu immer ein zusätzliches Backup direkt vor jedem Update.

Mindestens 30 Tage mit mehreren Ständen. Ein Einbruch wird oft erst Wochen später bemerkt, und dann brauchst du einen Stand von davor. Nur das Backup von gestern zu haben, bedeutet im Ernstfall, nur eine infizierte Kopie zu haben.

2026 zwischen 15 und 50 € im Monat für einfache Seiten, 50 bis 150 € für Firmenseiten und 100 bis 300 € für Shops, jeweils netto. Die Spanne erklärt sich durch Risiko und Prüfaufwand, nicht durch Rechenzeit. Details auf der Kostenseite.

Bei seriösen Anbietern ja. Jahresverträge mit automatischer Verlängerung sind ein Warnsignal, es sei denn, der Preisvorteil ist erheblich und du kannst die Leistung vorher testen.

Konkreter Leistungsumfang, Backup-Häufigkeit und Speicherort, was bei einem Update-Fehler passiert, Reaktionszeit, Umgang mit Hackbereinigung, Nachweis per Bericht, Eigentum an Zugängen, Laufzeit und ein Auftragsverarbeitungsvertrag. Die Checkliste zum Vertrag.

Ja. Der Anbieter hat Zugriff auf deine Datenbank und damit auf personenbezogene Daten aus Formularen, Bestellungen und Benutzerkonten. Das ist Auftragsverarbeitung im Sinne der DSGVO. Ein Anbieter, der keinen AV-Vertrag anbietet, ist keine gute Wahl.

Google warnt vor der Seite, Besucher werden auf fremde Seiten umgeleitet, es gibt unbekannte Administratoren, der Hoster meldet Spam-Versand, in den Suchergebnissen erscheinen fremde Texte, oder die Seite ist plötzlich langsam. Oft merkt man es gar nicht, deshalb der monatliche Malware-Scan.

Es gibt keine feste Zahl, aber jedes Plugin ist Code, der gepflegt werden muss. Faustregel: Jedes Plugin muss eine Aufgabe erfüllen, die du benennen kannst. Inaktive Plugins löschen, nicht nur deaktivieren. Plugins ohne Update seit über einem Jahr ersetzen.

Eine, die noch Sicherheitsupdates bekommt. PHP-Versionen werden nach etwa drei Jahren eingestellt. Prüfe quartalsweise beim Hoster, welche Version läuft, und teste die nächste auf Staging, bevor der Hoster zwangsweise umstellt.

Ja, wenn du Eigentümer aller Zugänge bist: Hosting, Domain, WordPress-Admin, Datenbank. Der Anbieter sollte einen eigenen Benutzer haben, den du löschen kannst. Lizenzen, die der Anbieter gestellt hat (Page-Builder, Premium-Plugins), musst du nach dem Wechsel selbst erwerben oder vom neuen Anbieter beziehen.