WordPress-Wartung selbst machen oder auslagern: Aufwand realistisch einschätzen

Eine WordPress-Website braucht nach dem Start laufende Pflege: Updates, Backups, Kontrollen und gelegentlich eine Reparatur. Viele kleine Unternehmen erledigen das nebenbei, bis ein Update die Website lahmlegt oder ein Backup im Ernstfall fehlt. Dann stellt sich die Frage, ob man die Wartung besser abgibt. Diese Anleitung hilft Ihnen, die Entscheidung auf eine belastbare Grundlage zu stellen: Sie erfassen, welche Aufgaben bei Ihrer Website tatsächlich anfallen, messen den eigenen Aufwand einen Monat lang, bewerten Risiken und Wissen im Haus und wissen am Ende, was Sie von einem Dienstleister verlangen sollten, falls Sie auslagern.

Voraussetzungen

• WordPress: eine laufende Website, die Befehle wurden mit WordPress 7.1.2 geprüft. Die WordPress-Versionsschnittstelle empfiehlt mindestens PHP 7.4.
• Rolle: ein Administrator-Konto, um Updates, Plugins und Website-Zustand einzusehen.
• Zugriff: Backend-Zugang, optional SSH mit WP-CLI für die schnelleren Prüfbefehle.
• Backup: ein vorhandenes Backup oder zumindest die Information, ob und wo Ihr Hoster sichert. Grundlagen dazu stehen in WordPress-Backup-Strategie.
• Zeit: etwa 30 Minuten für die Bestandsaufnahme, danach ein Monat, in dem Sie Ihre tatsächliche Zeit notieren.
• Werkzeug: eine Tabelle oder ein Notizbuch für das Zeitprotokoll.

Schritt 1: Bestand und Aufgaben erfassen

Der Aufwand hängt weniger von WordPress selbst ab als davon, was darauf läuft. Erfassen Sie deshalb zuerst den Bestand. Im Backend finden Sie die Zahlen unter „Plugins“, „Design“ > „Themes“ und „Dashboard“ > „Aktualisierungen“. Mit WP-CLI geht es schneller:

wp core version
wp plugin list --fields=name,status,version,update_version
wp theme list --fields=name,status,version,update_version

Notieren Sie außerdem, ob die Website einen Shop, Mitgliederbereiche, Formulare mit personenbezogenen Daten oder Premium-Plugins mit Lizenzschlüssel hat. Jedes davon erhöht den Aufwand, weil Updates dort häufiger Nebenwirkungen haben und Fehler direkt Umsatz oder Anfragen kosten.

Ordnen Sie danach die Aufgaben nach Häufigkeit. Eine vollständige Liste mit Erklärungen enthält der Wartungsplan für WordPress. Für die Entscheidung genügt eine grobe Einteilung:

Häufigkeit	Aufgaben	Was schiefgehen kann
wöchentlich	Updates prüfen und einspielen, Backup kontrollieren, Website aufrufen	Update bricht Darstellung oder Funktion
monatlich	Website-Zustand, Formulare testen, Benutzerkonten prüfen	Formular sendet unbemerkt nicht mehr
vierteljährlich	Restore-Probe, ungenutzte Plugins entfernen, Speicherplatz	Backup lässt sich im Ernstfall nicht zurückspielen
jährlich	PHP-Version, Lizenzen, Rechtstexte, Hosting-Vertrag	veraltete PHP-Version, abgelaufene Lizenz ohne Updates
ungeplant	kritischer Fehler, Hack, Ausfall beim Hoster	Website stundenlang offline

Verifizieren: Sie haben eine Liste mit Anzahl der Plugins und Themes, offenen Updates und Besonderheiten wie Shop oder Premium-Plugins, dazu die Tabelle der Aufgaben für Ihre Website.

Schritt 2: Eigenen Aufwand einen Monat messen

Schätzungen fallen fast immer zu niedrig aus, weil man an den Klick auf „Aktualisieren“ denkt und nicht an das Drumherum. Messen Sie deshalb einen Monat lang jede Minute, die Sie mit der Website verbringen, und schreiben Sie auf, wofür. Zählen Sie auch Vorbereitung und Nacharbeit mit: Backup anlegen, Changelogs lesen, nach dem Update die wichtigsten Seiten aufrufen, einen Fehler suchen.

Der technische Kern ist tatsächlich schnell. Auf unserer Testinstallation dauerten der Export der Datenbank, die Prüfung auf Updates und die Kontrolle der Core- und Plugin-Dateien jeweils nur wenige Sekunden, das Update eines SEO-Plugins über mehrere Hauptversionen knapp vier Sekunden:

wp db export vor-update.sql
wp plugin list --update=available --fields=name,version,update_version
wp core verify-checksums
wp plugin verify-checksums --all
wp plugin update --all

Die Maschinenzeit ist also nicht das Problem. Zeit kostet alles, was ein Mensch tun muss: entscheiden, ob ein großer Versionssprung sofort eingespielt wird, prüfen, ob das Kontaktformular danach noch sendet, und reagieren, wenn nicht. Wie Sie Updates vorab einschätzen, zeigt Update-Prüfung vor dem Einspielen.

Notieren Sie am Ende des Monats drei Zahlen: die Summe der Stunden, die Anzahl der Aufgaben, die Sie verschoben oder vergessen haben, und die Zahl der Probleme, bei denen Sie Hilfe brauchten.

Verifizieren: Ihr Protokoll enthält für jede Woche mindestens einen Eintrag, und Sie kennen Ihre tatsächliche Zeit pro Monat einschließlich Nacharbeit.

Schritt 3: Risiko und Wissen bewerten

Zeit ist nur die halbe Rechnung. Genauso wichtig ist, was ein Ausfall kostet und ob jemand im Haus ihn beheben kann. Beantworten Sie diese Fragen schriftlich und ehrlich:

• Wiederherstellung: Hat schon einmal jemand im Unternehmen ein Backup vollständig zurückgespielt, und zwar auf einer Testumgebung? Wie das geht, beschreibt Restore-Probe auf einer Testinstanz.
• Fehlersuche: Weiß jemand, was bei „Auf dieser Website ist ein kritischer Fehler aufgetreten“ zu tun ist, wo das Fehlerprotokoll liegt und wie man ein Plugin per SFTP deaktiviert?
• Vertretung: Wer übernimmt, wenn die zuständige Person im Urlaub oder krank ist?
• Folgen: Was bedeutet ein Tag Ausfall für Ihr Geschäft? Bei einer Visitenkarten-Website wenig, bei einem Shop oder einem Buchungssystem entgangener Umsatz und verärgerte Kunden.
• Sicherheit: Merkt jemand, wenn Dateien verändert wurden oder fremde Administrator-Konten auftauchen?

Die Updates selbst sind dabei der geringere Teil des Risikos. Das WordPress-Handbuch zur Härtung weist darauf hin, dass ältere Versionen keine Sicherheitsupdates mehr bekommen und bekannte Lücken nach einem Update öffentlich beschrieben sind. Wer Updates wochenlang liegen lässt, trägt also ein messbares Risiko.

Verifizieren: Für jede Frage steht eine konkrete Antwort mit Namen, nicht „irgendwer bei uns“.

Schritt 4: Entscheidung treffen

Legen Sie Ihre Ergebnisse aus den Schritten 1 bis 3 nebeneinander. Die folgende Gegenüberstellung hilft bei der Einordnung:

Eher selbst machen	Eher auslagern
wenige Plugins, kein Shop	Shop, Buchungen, Mitgliederbereich
jemand mit technischem Grundwissen und Vertretung	eine Person ohne Vertretung oder ohne Erfahrung
Restore bereits erfolgreich geprobt	Restore nie getestet
Aufgaben im Protokoll pünktlich erledigt	Aufgaben regelmäßig verschoben
Ausfall eines Tages verkraftbar	Ausfall kostet direkt Umsatz oder Anfragen

Rechnen Sie Ihre gemessenen Stunden mit dem internen Stundensatz der zuständigen Person hoch und vergleichen Sie das Ergebnis mit Angeboten. Beziehen Sie dabei die Stunden für ungeplante Einsätze ein, auch wenn sie im Messmonat nicht vorkamen. Ein einziger Hack oder ein zerschossenes Update kann mehr Zeit kosten als ein ganzes Jahr Routine. Zwischenlösungen sind möglich: Sie behalten Inhalte und Benutzerverwaltung und geben Updates, Backups und Sicherheit ab.

Verifizieren: Sie haben eine Entscheidung und können sie mit Ihren eigenen Zahlen begründen, nicht mit einem Bauchgefühl.

Schritt 5: Auslagerung sauber regeln

Wenn Sie auslagern, klären Sie vor Vertragsbeginn schriftlich, was genau übernommen wird. Achten Sie auf diese Punkte:

• Leistungsumfang: Welche Updates, in welchem Abstand, mit welcher Prüfung vorher und nachher? Was passiert, wenn ein Update scheitert?
• Reaktionszeiten und Servicezeiten: Wann ist der Dienstleister erreichbar, und wie schnell reagiert er?
• Backups: Wie oft, wo gespeichert, wie lange aufbewahrt? Liegen die Sicherungen außerhalb des Servers, damit sie bei einem Ausfall des Hosters verfügbar bleiben?
• Zugänge: Der Dienstleister bekommt ein eigenes Konto mit eigenem Passwort, kein geteiltes Admin-Konto. Domain, Hosting und Lizenzen bleiben auf Ihr Unternehmen registriert.
• Datenschutz: Hat der Dienstleister Zugriff auf personenbezogene Daten, etwa Formulareingaben oder Kundenkonten, brauchen Sie nach Art. 28 DSGVO einen Vertrag zur Auftragsverarbeitung. Worauf Sie achten sollten, beschreibt Auftragsverarbeitung bei WordPress.
• Ausstieg: Wie läuft eine Übergabe, wenn Sie den Dienstleister wechseln? Die Checkliste dazu steht in Übergabe an einen neuen Dienstleister.

Zum Vergleich ein Beispiel, wie ein solcher Leistungsumfang aussehen kann: Die WordPress-Wartung von wordpressupdate.de spielt Updates von WordPress, Plugins und Themes innerhalb von 48 Stunden während der Servicezeiten Montag bis Freitag von 8 bis 18 Uhr mit Kompatibilitätsprüfung ein, sichert wöchentlich auf externen Speicher mit vier Wochen Aufbewahrung, richtet die Firewall ein und pflegt sie und beginnt mit einer einmaligen Analyse der Website. Legen Sie an jedes Angebot dieselben Fragen aus der Liste an.

Verifizieren: Der Vertrag oder das Angebot beantwortet jeden Punkt der Liste, und Sie haben dem Dienstleister ein eigenes Konto angelegt, statt ein bestehendes Passwort weiterzugeben.

Typische Fehler

Nur die Klickzeit gezählt

Ein Update dauert Sekunden, die Kontrolle danach und die Fehlersuche bei Problemen dauern länger. Wer nur Klicks zählt, unterschätzt den Aufwand deutlich. Messen Sie deshalb wie in Schritt 2 alles mit.

Wartungsmodus bleibt hängen

Während eines Updates schaltet WordPress kurz in den Wartungsmodus, im Test meldete WP-CLI das mit „Wartungsmodus wird aktiviert“ und „Wartungsmodus wird deaktiviert“. Bricht ein Update ab, bleibt die Datei .maintenance liegen, und Besucher sehen nur einen Hinweis. Wer das nicht kennt, verliert Zeit. Die Lösung beschreibt Wartungsmodus in WordPress beheben.

Auslagern ohne Zugangsregelung

Wird das eigene Admin-Passwort an den Dienstleister weitergegeben, ist später nicht nachvollziehbar, wer was geändert hat, und beim Wechsel bleibt der Zugang bestehen. Legen Sie immer eigene Konten an.

Backup nur beim Hoster

Ein Backup, das auf demselben Server oder nur beim Hoster liegt, hilft nicht, wenn genau dieser ausfällt oder das Konto gesperrt wird. Klären Sie, wo die Sicherungen tatsächlich liegen.

Häufige Fragen

Reichen automatische Updates nicht aus?

Automatische Updates spielen Aktualisierungen ein, prüfen aber nicht, ob die Website danach noch funktioniert. Für einfache Websites können sie ein Teil der Lösung sein, eine Kontrolle danach ersetzen sie nicht. Mehr dazu in Automatische Updates gezielt steuern.

Kann ich später wieder selbst übernehmen?

Ja, wenn Domain, Hosting und Lizenzen auf Ihr Unternehmen laufen und Sie alle Zugänge kennen. Genau deshalb gehören diese Punkte in Schritt 5 in den Vertrag.

Was kostet Wartung ungefähr?

Preise hängen stark vom Umfang ab und stehen auf den Seiten der Anbieter. Vergleichen Sie Angebote nicht nur nach dem Monatsbetrag, sondern nach Leistungsumfang, Reaktionszeit und Backup-Aufbewahrung.

Testumfang

Wir haben die Prüfbefehle aus dieser Anleitung auf einer Testinstallation mit WordPress 7.1.2 ausprobiert und dabei ein veraltetes SEO-Plugin über mehrere Hauptversionen aktualisiert. Jeder Schritt dauerte nur Sekunden, die eigentliche Zeit kostet also das Kontrollieren und Entscheiden. Wie viel Aufwand eine echte Firmenwebsite mit Shop oder Premium-Plugins über einen Monat macht, konnten wir im Labor nicht nachstellen. Verlassen Sie sich deshalb lieber auf Ihre eigene Messung aus Schritt 2.

Fazit

Ob Sie WordPress selbst warten oder auslagern, entscheiden nicht die Updates, sondern die Zeit für Kontrolle, das Wissen für den Ernstfall und die Folgen eines Ausfalls. Ein Monat mit Zeitprotokoll und ehrlich beantworteten Fragen zu Restore und Vertretung liefert eine Entscheidung, die Sie begründen können. Wenn Sie sich fürs Abgeben entscheiden, übernimmt das zum Beispiel die WordPress-Wartung von Marcel Schönfelder.

Weiterführende Anleitungen und Quellen

• Wartungsplan für WordPress: wöchentliche, monatliche und jährliche Aufgaben
• WordPress-Wiederherstellung testen: Restore-Probe auf einer Testinstanz
• Übergabe einer WordPress-Website an einen neuen Dienstleister
• Auftragsverarbeitung bei WordPress: Hoster, Plugins und externe Dienste prüfen
• WordPress Advanced Administration Handbook: Hardening WordPress
• WP-CLI: wp plugin update
• Datenschutz-Grundverordnung (EU) 2016/679, Art. 28