WordPress betreibt mehr als 40 Prozent des Webs. Es ist flexibel, kostenlos und wird von einer riesigen Gemeinschaft von Plugin- und Theme-Entwicklern unterst\u00fctzt. Diese Offenheit ist auch der Grund, warum so viele WordPress-Websites bei der Wartung zur\u00fcckfallen und am Ende kaputt, gehackt oder still und leise Geld verlierend dastehen. Die Plattform macht es leicht, eine Website zu starten. Sie macht es nicht leicht, sie sicher zu halten.<\/p>\n\n\n\n
Wenn Sie eine WordPress-Website f\u00fcr ein Unternehmen in Sydney oder anderswo in Australien besitzen oder betreiben, ist laufende Wartung nicht optional. Sie ist der Unterschied zwischen einer Website, die im Hintergrund f\u00fcr Sie arbeitet, und einer Website, die im ung\u00fcnstigsten Moment zu einem teuren Notfall wird. In diesem Artikel betrachten wir, was es tats\u00e4chlich kostet, WordPress-Wartung zu vernachl\u00e4ssigen, anhand eines aktuellen, realen Kundenvorfalls als Fallstudie, und wie sich eine ordentliche Wartungsvereinbarung um ein Vielfaches auszahlt.<\/p>\n\n\n\n
WordPress-Wartung ist die t\u00e4gliche, w\u00f6chentliche und monatliche Arbeit, die eine Website sicher, schnell und auf das dahinterstehende Unternehmen ausgerichtet h\u00e4lt. Es ist keine Neugestaltung. Es ist keine Entwicklung neuer Funktionen. Es ist die Routine, die Katastrophen verhindert.<\/p>\n\n\n\n
Eine ernsthafte WordPress-Wartungsvereinbarung umfasst Updates von Core, Theme und Plugins, Sicherheits\u00fcberwachung, regelm\u00e4\u00dfige externe Backups, Leistungspr\u00fcfungen, das Bereinigen defekter Links, Verf\u00fcgbarkeits\u00fcberwachung, Malware-Scans, Datenbankpflege sowie kleine Inhalts- oder Layout\u00e4nderungen nach Bedarf. Manche Kunden m\u00f6chten alles, andere nur die technische Seite, aber das Prinzip ist dasselbe: Die Website wird betreut, auch wenn Sie nicht daran denken.<\/p>\n\n\n\n
Ohne das haben Sie eine Website, die im offenen Internet altert, ohne dass jemand darauf achtet. Die Kosten daf\u00fcr sind selten null.<\/p>\n\n\n\n
Wartung zu vernachl\u00e4ssigen wirkt g\u00fcnstig, bis etwas schiefgeht. Die Rechnung versteckt sich in Zeit, verlorenem Vertrauen und Notfalltarifen.<\/p>\n\n\n\n
Die erste versteckte Kostenquelle sind Ausfallzeiten. Jede Stunde, in der Ihre Website offline ist, ist eine Stunde, in der Kunden Sie nicht finden, nicht anfragen und nicht kaufen k\u00f6nnen. F\u00fcr ein kleines australisches Unternehmen mit einem starken organischen Traffic-Kanal kann ein ungeplanter Ausfall an einem Montagmorgen Tausende an verlorenen Anfragen kosten, bevor es \u00fcberhaupt jemand bemerkt.<\/p>\n\n\n\n
Die zweite sind Notfall-Arbeitskosten. Dieselbe Reparatur, die w\u00e4hrend eines monatlichen Wartungsfensters zwanzig Minuten gedauert h\u00e4tte, kann einen Entwickler w\u00e4hrend eines laufenden Vorfalls einen halben Tag kosten, oft au\u00dferhalb der Gesch\u00e4ftszeiten, oft zu Premium-Tarifen. Wir haben erlebt, dass einzelne Notfallbereinigungen mehr kosten als ein ganzes Jahr proaktiver Wartung.<\/p>\n\n\n\n
Die dritte ist SEO-Schaden. Google wartet nicht auf Ihre Erholung. Wenn eine gehackte Website Googlebot auch nur f\u00fcr ein paar Wochen Spam-Inhalte liefert, kann Ihr Ranking einbrechen und Monate brauchen, um sich zu erholen. Wie das genau passiert, sehen wir uns im n\u00e4chsten Abschnitt an.<\/p>\n\n\n\n
Die vierte ist Markenvertrauen. Ein Kunde, der auf einer verunstalteten WordPress-Website landet oder beim Klick auf Ihren Link eine Browserwarnung erh\u00e4lt, kommt wahrscheinlich nicht zur\u00fcck. Der Schaden ist still und nachhaltig.<\/p>\n\n\n\n
Im Mai 2026 war eine von uns gepr\u00fcfte Agentur in Sydney \u00fcber eine Reihe von Problemen kompromittiert worden, die jede ordentliche Wartungsvereinbarung Monate fr\u00fcher erkannt h\u00e4tte.<\/p>\n\n\n\n
Der Angreifer hatte f\u00fcnf Verzeichnisse im Stammverzeichnis der Website abgelegt, jedes mit drei Dateien. Eine index.php-Datei in jedem Ordner analysierte den User-Agent des Besuchers. Handelte es sich um den Googlebot, lieferte die Datei eine mehrere Megabyte gro\u00dfe Seite mit fremdsprachigem Spam-Inhalt aus, die darauf ausgelegt war, f\u00fcr themenfremde Keywords zu ranken. Handelte es sich um einen normalen Besucher, lieferte die Datei eine andere HTML-Br\u00fcckenseite. Da diese Ordner mit denselben Namen wie echte WordPress-Seiten auf der Festplatte lagen, l\u00f6ste der Webserver sie vor dem eigenen Routing von WordPress auf. Jeder Aufruf dieser URLs traf den Code des Angreifers, nicht die legitime Website.<\/p>\n\n\n\n
Insgesamt f\u00fcnfzehn sch\u00e4dliche Dateien. Keine Hintert\u00fcr im WordPress-Core. Kein betr\u00fcgerischer Administratorbenutzer. Nur ein cleverer SEO-Cloaking-Angriff, der die Autorit\u00e4t der Domain missbrauchte, um Spam in den Google-Index zu dr\u00fccken. Der wahrscheinliche Einstiegspunkt war ein veraltetes Dateimanager-Plugin mit einer langen Geschichte bekannter Schwachstellen, das noch installiert und noch aktiv war.<\/p>\n\n\n\n
Diese Art von Angriff ist still. Der Eigent\u00fcmer sieht ihn nicht, weil er die Website nur als menschlicher Besucher durchst\u00f6bert. Aber Google sieht den Spam, indexiert ihn und beginnt, die Domain f\u00fcr Inhalte zu ranken, die nichts mit dem eigentlichen Gesch\u00e4ft zu tun haben. Das Ergebnis ist ein Ranking-Einbruch, m\u00f6gliche Strafen durch manuelle Ma\u00dfnahmen und ein langer Weg zur\u00fcck dorthin, wo die Website vorher war.<\/p>\n\n\n\n
Eine monatliche Wartungsroutine h\u00e4tte das anf\u00e4llige Plugin erkannt, es entfernt, die PHP-Ausf\u00fchrung in nicht standardm\u00e4\u00dfigen Verzeichnissen blockiert und einen Malware-Scan durchgef\u00fchrt, der die abgelegten Dateien innerhalb von Tagen statt Monaten gefunden h\u00e4tte.<\/p>\n\n\n\n
Wenn auf einer Website ohne Wartungsvereinbarung etwas schiefgeht, lautet die n\u00e4chste Frage immer dieselbe: Wo ist das Backup? Meistens ist die Antwort unangenehm. Der Snapshot des Hosters ist zwei Wochen alt, oder das Plugin, das sie erstellen sollte, hat vor drei Monaten aufgeh\u00f6rt zu funktionieren, oder die Backups existieren, aber niemand hat je eine Wiederherstellung getestet.<\/p>\n\n\n\n
Eine funktionierende Backup-Strategie ist einer der langweiligsten und wichtigsten Teile der WordPress-Wartung. Sie muss extern, aktuell, h\u00e4ufig und getestet sein. Ohne sie kann eine einzige Kompromittierung oder eine einzige versehentliche \u00c4nderung bedeuten, die Website von Grund auf neu aufzubauen.<\/p>\n\n\n\n
WordPress-Core, Themes und Plugins erhalten st\u00e4ndig Sicherheitsupdates. Jede behobene Schwachstelle, die Sie nicht anwenden, ist eine bekannte T\u00fcr, die auf Ihrem Server offen steht. Angreifer nutzen automatisierte Scanner, die das \u00f6ffentliche Web nach Websites mit anf\u00e4lligen Versionen durchsuchen. Sie zielen nicht pers\u00f6nlich auf Sie ab. Sie zielen auf die Software, die Sie zuf\u00e4llig einsetzen.<\/p>\n\n\n\n
Plugins sind die gr\u00f6\u00dfte Quelle von WordPress-Sicherheitsverletzungen. Das Plugin-\u00d6kosystem ist riesig und vielf\u00e4ltig, und die Codequalit\u00e4t ist uneinheitlich. Ein Plugin, das Sie vor drei Jahren f\u00fcr eine kleine Funktion installiert und vergessen haben, ist genau das, wonach ein Angreifer heute sucht. Der zuvor erw\u00e4hnte Fall der Agentur in Sydney hatte ein Dateimanager-Plugin aus einer Familie mit mehreren historischen Schwachstellen f\u00fcr Remote-Code-Ausf\u00fchrung. Die Website setzte es noch ein.<\/p>\n\n\n\n
Bei Wartung geht es nicht nur darum, Updates zu installieren. Es geht darum zu entscheiden, welche Plugins noch gebraucht werden, welche durch einfachere L\u00f6sungen ersetzt werden k\u00f6nnen und welche vollst\u00e4ndig entfernt werden m\u00fcssen.<\/p>\n\n\n\n
Wenn Sie f\u00fcr einen WordPress-Wartungsplan bezahlen, bezahlen Sie nicht nur daf\u00fcr, dass jemand den Update-Knopf dr\u00fcckt. Sie bezahlen f\u00fcr das Urteilsverm\u00f6gen und die Routine, die kleine Probleme klein halten.<\/p>\n\n\n\n
Sie bezahlen daf\u00fcr, dass jemand den Tag bemerkt, an dem ein Plugin von seinem Autor aufgegeben wird, und Sie davon wegmigriert, bevor es zur Belastung wird. Sie bezahlen daf\u00fcr, dass jemand die langsame Anfrage entdeckt, die Ihren Geschwindigkeitswert nach unten zieht. Sie bezahlen daf\u00fcr, dass jemand den Wiederherstellungsprozess testet, damit Sie wissen, dass das Backup tats\u00e4chlich funktioniert. Sie bezahlen f\u00fcr die ruhige Stimme am Telefon, wenn doch etwas schiefgeht, und f\u00fcr die Routine, die daraus entsteht, diese Arbeit jeden Tag \u00fcber viele Websites hinweg zu tun.<\/p>\n\n\n\n
Die Geb\u00fchr ist klein. Der Wert ist der vermiedene Notfall, den Sie nie hatten.<\/p>\n\n\n\n
Werden wir konkret. Eine typische WordPress-Website eines kleinen australischen Unternehmens kostet, gut gewartet, im oberen Bereich ein paar Hundert Dollar im Monat und im unteren Bereich weit weniger. Eine ernsthafte Bereinigung nach einer Kompromittierung kann in die Tausende gehen, zuz\u00fcglich der verlorenen Anfragen, w\u00e4hrend die Website offline ist, zuz\u00fcglich der anschlie\u00dfenden SEO-Wiederherstellungsarbeit. Und das, bevor man die Zeit z\u00e4hlt, die der Eigent\u00fcmer f\u00fcr Anrufe, E-Mails und Stress aufwendet.<\/p>\n\n\n\n
Die obige Fallstudie erforderte Wochen der Bereinigung und einen sorgf\u00e4ltigen SEO-Wiederherstellungsplan. Der Eigent\u00fcmer baut sein Ranking Monate sp\u00e4ter noch immer wieder auf. Ein paar Hundert Dollar Wartung im Monat im Vorjahr h\u00e4tten all das verhindert. Die Rechnung ist nicht subtil.<\/p>\n\n\n\n
Wenn Ihre WordPress-Website schon eine Weile auf Autopilot l\u00e4uft, m\u00fcssen Sie nicht in Panik geraten, aber Sie sollten auch nicht warten. Beginnen Sie mit einer klaren Bestandsaufnahme. Listen Sie jedes Plugin und Theme auf. Pr\u00fcfen Sie, welche noch gepflegt werden. Best\u00e4tigen Sie, dass Ihre Backups existieren und dass Sie eines wiederherstellen k\u00f6nnen. F\u00fchren Sie einen Malware-Scan durch. \u00dcberpr\u00fcfen Sie, wer Administratorzugriff hat, und entfernen Sie jeden, der keinen haben sollte. Aktualisieren Sie alles sicher, wenn m\u00f6glich in einer Staging-Umgebung.<\/p>\n\n\n\n
W\u00e4hlen Sie dann einen Rhythmus. Monatlich ist das Minimum f\u00fcr eine Unternehmenswebsite. Alles seltener bedeutet, dass Sie ein Risiko akzeptieren, das nicht n\u00f6tig ist.<\/p>\n\n\n\n