Website-Wartung und Wartungsvertrag: Ablauf und Kosten

Du hast eine neue Website gekauft, vielleicht für einen fünfstelligen Betrag, auf dem neuesten Stand der Technik. Und dann liegt ein Angebot auf dem Tisch: rund 500 Euro im Monat für Wartung. Für Updates. Ich verstehe gut, dass sich das erst einmal komisch anfühlt.

Der neueste Stand der Technik gilt allerdings nur am Tag des Livegangs. Danach entwickelt sich die Technik unter deiner Website weiter: das Content-Management-System (CMS, die Software, mit der du Inhalte pflegst), die Erweiterungen und die Programmiersprache auf dem Server. Für all das erscheinen laufend Updates, und viele davon schließen Sicherheitslücken. „Einmal gebaut, also läuft es“ ist bei Websites und Shops ein teurer Denkfehler.

Hier erfährst du, was zur Wartung gehört, worin sich ein Update von einem Upgrade unterscheidet, was bei WordPress, TYPO3, Shopware, JTL und Shopify konkret anfällt und woran du erkennst, ob ein Wartungsangebot seriös kalkuliert ist.

Was ist Website-Wartung?

Website-Wartung ist die technische Instandhaltung deiner Website oder deines Shops. Dazu gehören Updates für das System und alle Erweiterungen, Backups (Sicherungskopien) samt Test, ob sie sich wiederherstellen lassen, Sicherheitsprüfungen, die Überwachung der Erreichbarkeit und ein Nachweis darüber, was gemacht wurde. Ziel ist eine Website, die sicher ist, funktioniert und sich nach einem Problem schnell wiederherstellen lässt.

Wartung ist nicht Pflege

Viele Anbieter verkaufen unter dem Begriff „Website-Betreuung“ ein Paket aus Wartung und Pflege. Wartung ist Technik. Pflege sind Inhalte: neue Texte, Bilder, Öffnungszeiten, Produkte. SEO, Content und Rechtstexte gehören nicht in einen Wartungsvertrag, auch wenn sie gern dazugepackt werden.

Diese Trennung brauchst du, sobald du Angebote vergleichst. Ein Paket mit Cookie-Banner, SEO-Report und zwei Stunden Textpflege lässt sich mit einem reinen Technikpaket nicht vergleichen. Frag deshalb immer, was die reine Wartung kostet, und bewerte Zusatzleistungen getrennt. Brauchst du sie überhaupt? Und bekommst du sie woanders besser?

Warum ist Wartung nötig?

Bekannt gewordene Sicherheitslücken werden automatisiert ausgenutzt, und zwar schnell. Ob deine Website ein interessantes Ziel ist, spielt dabei keine Rolle. Entscheidend ist, ob die Lücke bei dir noch offen ist.

Die meisten Lücken stecken in Erweiterungen

Für WordPress hat der Sicherheitsanbieter Patchstack im Jahr 2025 insgesamt 11.334 neue Sicherheitslücken gezählt, 42 Prozent mehr als im Vorjahr. 91 Prozent davon steckten in Plugins (Erweiterungen), 9 Prozent in Themes und nur 6 Lücken im WordPress-Kern selbst. Bei 46 Prozent gab es zum Zeitpunkt der Veröffentlichung noch keine Korrektur des Herstellers. Bei Lücken, die stark angegriffen werden, vergingen im gewichteten Median nur 5 Stunden bis zur massenhaften Ausnutzung.¹

Fünf Stunden. Das ist weniger als ein halber Arbeitstag.

Zur Einordnung: Patchstack verkauft selbst ein Sicherheitsprodukt, und die Zahlen gelten nur für WordPress. Bei TYPO3 zeigt sich trotzdem dasselbe Muster. Das TYPO3-Security-Team hat 2026 bis Ende Oktober 24 Sicherheitsmeldungen für den TYPO3-Kern und 36 für Extensions von Drittanbietern veröffentlicht, allein am 20. Oktober neun Extension-Meldungen auf einmal.² Gezählt werden dabei Meldungen, und eine Meldung kann mehrere Lücken enthalten. Auch die TYPO3-Dokumentation hält fest, dass die meisten bekannten Lücken in Extensions stecken und nicht im Kern.³

Für dich bedeutet das, dass das größte Risiko in dem Teil liegt, der für deine Website zusätzlich installiert wurde. Jede Erweiterung bringt eigene Updates und ein mögliches Einfallstor mit. Warum zu viele Plugins deshalb ein Sicherheits- und Wartungsrisiko sind, habe ich im Artikel über Plugin-Wildwuchs beschrieben.

Der Kern ist trotzdem nicht immun. Im Juli 2026 warnte das österreichische CERT.at vor einer kritischen WordPress-Lücke, über die Angreifer ohne Anmeldung Code auf Standardinstallationen ausführen konnten. WordPress.org hat die Korrekturen in den Versionen 6.8.6, 6.9.5 und 7.0.2 über das automatische Update-System zwangsweise verteilt.⁴

Software ohne Support ist ein Risiko

Jede Softwareversion bekommt nur eine begrenzte Zeit lang kostenlose Sicherheitsupdates. Danach bleiben neu entdeckte Lücken offen. Ein paar aktuelle Stichtage:

TYPO3 v12 bekommt seit dem 1. Mai 2026 keine kostenlosen Sicherheitsupdates mehr, nur noch kostenpflichtig über den Extended Long Term Support (ELTS) bis 30. April 2029. TYPO3 v13 wird kostenlos bis 31. Dezember 2027 versorgt.⁵
Shopware 6.5 erhält Sicherheitsupdates bis 28. Februar 2027.⁶
PHP, die Programmiersprache, mit der die meisten dieser Systeme auf dem Server laufen, bekommt pro Version vier Jahre Support. PHP 8.1 ist seit Ende 2025 ohne Sicherheitsupdates, für PHP 8.2 endet der Support am 31. Dezember 2026.⁷

Frag deinen Dienstleister oder Hoster, welche Versionen bei dir laufen. Wenn eine davon auf dieser Liste steht, gehört das Thema auf die Agenda.

Veraltete Software kann teuer werden

Die Datenschutz-Grundverordnung (DSGVO) verlangt in Artikel 32, dass du unter Berücksichtigung des Stands der Technik angemessene technische und organisatorische Maßnahmen triffst und ihre Wirksamkeit regelmäßig überprüfst.⁸ Das Bayerische Landesamt für Datenschutzaufsicht nennt in seiner Checkliste zum Patch-Management ausdrücklich CMS und Shopsysteme samt Plugins und Themes. Es empfiehlt, Updates vorher in einer Testumgebung zu prüfen, und klar festzulegen, wer wofür zuständig ist.⁹

Wie das in der Praxis aussehen kann, zeigt ein Fall aus Niedersachsen. Ein Unternehmen betrieb seinen Onlineshop mit einer Shopsoftware-Version, die seit spätestens 2014 keine Sicherheitsupdates mehr bekam. Die Lücken erlaubten unter anderem SQL-Injection (Angriffe, mit denen sich Datenbankinhalte auslesen lassen), und die Passwörter der Kund:innen waren nur schwach verschlüsselt. Die Landesdatenschutzbeauftragte stellte einen Verstoß gegen Art. 32 Abs. 1 DSGVO fest und verhängte ein Bußgeld von 65.500 Euro, das das Unternehmen akzeptierte. In ihrer Begründung schreibt sie, dass regelmäßig schon die Aktualisierung der Software genügt, um bekannte Lücken zu schließen, und dass die Kosten dafür grundsätzlich keinen unverhältnismäßigen Aufwand darstellen.¹⁰

Ich bin keine Juristin, und der Fall ist eine Einordnung, keine Rechtsberatung. Wenn du unsicher bist, was für deinen Betrieb gilt, sprich mit deiner oder deinem Datenschutzbeauftragten oder lass dich anwaltlich beraten.

Update oder Upgrade: Was ist der Unterschied?

Die meisten Systeme zählen ihre Versionen nach demselben Schema: Hauptversion, Nebenversion, Patch. Bei TYPO3 14.3.7 ist 14 die Hauptversion, 3 die Nebenversion und 7 der Patch. JTL beschreibt dieses Schema ausdrücklich und unterscheidet danach zwischen Update und Upgrade.¹¹ Welche Stelle sich ändert, sagt dir, wie viel Arbeit auf dich zukommt.

Art	Was steckt drin?	Was heißt das für dich?
Patch (z. B. 14.3.6 auf 14.3.7)	Fehlerbehebungen und Sicherheitskorrekturen. Bei TYPO3 nie neue Funktionen, die Rückwärtskompatibilität bleibt erhalten.¹²	Zeitnah einspielen, Backup vorher, Kontrolle danach.
Minor (z. B. 14.2 auf 14.3)	Neue Funktionen, Fehlerbehebungen, Sicherheitskorrekturen. Bei Shopware monatlich, unproblematisch, solange Erweiterungen keine internen Schnittstellen nutzen.¹³	Teil der regulären Wartung, mit Test.
Major oder Upgrade (z. B. 13 auf 14)	Größere Umbauten mit sogenannten Breaking Changes, also Änderungen, die bestehende Anpassungen und Erweiterungen unbrauchbar machen können. Bei Shopware einmal im Jahr.¹³	Eigenes Projekt mit Planung und Budget.

WordPress spielt standardmäßig nur kleinere Versionen und Übersetzungen automatisch ein. Große Versionssprünge laufen nicht automatisch, und Plugins und Themes werden nur in Sonderfällen automatisch aktualisiert, wenn das WordPress-Sicherheitsteam eine kritische Lücke schließen lässt.¹⁴

Welche Teile deiner Website brauchen Updates?

Wartung betrifft mehr als das System selbst. Updates brauchen:

der Kern (Core), also WordPress, TYPO3, Shopware oder JTL-Shop selbst
die Erweiterungen, je nach System Plugins, Extensions oder Apps
das Theme oder Template, also die Gestaltungsvorlage
die Server-Software, vor allem PHP und die Datenbank
die Datenbankstruktur, die nach manchen Updates angepasst werden muss. WooCommerce weist ausdrücklich darauf hin, dieses Datenbank-Update nach einem Plugin-Update nicht zu vergessen.¹⁵

Die Teile hängen voneinander ab. Eine neue Shopversion verlangt vielleicht eine neuere PHP-Version, und eine ältere Erweiterung läuft mit dieser PHP-Version womöglich nicht mehr.

Upgrades sind Projekte

Upgrades auf eine neue Hauptversion stecken in aller Regel nicht in der Wartungspauschale. Sie sind ein eigenes Projekt mit Planung, Test und Budget. Das zeigen auch die Anleitungen der Hersteller. Shopware verlangt vor einem Major-Update, PHP auf die nötige Version anzuheben, und alle Erweiterungen müssen während des Updates deaktiviert werden.¹³¹⁶ TYPO3 setzt voraus, dass alle Upgrade-Assistenten der aktuellen Version gelaufen sind, bevor die nächste Hauptversion kommt. Große Sprünge gehen also nur Schritt für Schritt.¹⁷ JTL führt für jeden Versionssprung eine eigene Anleitung.¹¹

Je größer der Sprung, desto mehr bricht. Manches ist irgendwann nicht mehr upgrade-fähig: Shopware zeigt beim Update Erweiterungen als „nicht kompatibel“ an, wenn es keine Nachfolgeversion gibt.¹⁶ Die Funktion fällt dann weg oder muss ersetzt werden. Manches ist nicht einmal mehr update-fähig. TYPO3 v12 bekommt Sicherheitsupdates nur noch kostenpflichtig, und bei JTL gibt es Minor-Updates nur mit aktivem Abo.⁵¹¹

Schieb Upgrades deshalb nicht über mehrere Versionen auf. Shopware empfiehlt, jede Hauptversion mitzugehen, weil der Aufwand nicht kleiner wird, wenn man lange wartet.¹³

Was wird bei der Wartung gemacht?

Zu einer vollständigen Wartung gehören diese Aufgaben:

Updates für Kern, Erweiterungen und Theme, regelmäßig und bei Sicherheitslücken sofort
Backups von Dateien und Datenbank, extern gespeichert und mit getesteter Wiederherstellung
Sicherheitsprüfungen, zum Beispiel auf Schadcode und bekannte Lücken
Überwachung der Erreichbarkeit (Monitoring), damit ein Ausfall auffällt, bevor Kund:innen ihn melden
Funktionstests nach jedem Update: Formulare, Login, Warenkorb, Kasse
Prüfung der Server-Software, vor allem der PHP-Version
ein Wartungsbericht, der festhält, was gemacht wurde

Beim Backup kommt es auf die Wiederherstellung an. Warum eine Datensicherung erst etwas wert ist, wenn du den Restore getestet hast, habe ich im Artikel über Datensicherung im Onlineshop beschrieben.

Den Wartungsbericht halte ich für unterschätzt. Er ist der Nachweis, dass jemand die Sicherheit deiner Website regelmäßig überprüft, und genau diese regelmäßige Überprüfung verlangt Art. 32 DSGVO.⁸ Ohne Bericht weißt du nicht, ob die Wartung, für die du zahlst, überhaupt stattfindet.

Wie läuft eine Wartung ab?

Die Hersteller beschreiben die Abläufe in ihren Dokumentationen recht ähnlich. Daraus ergibt sich ein Routinezyklus, der für fast alle Systeme gilt, und ein Notfallablauf für Sicherheitsupdates.

Der Routinezyklus

Backup von Dateien und Datenbank erstellen und prüfen. Shopware weist ausdrücklich darauf hin, dass die Software selbst keine Backups anlegt.¹⁶
Kompatibilität prüfen: Passen die Erweiterungen zur neuen Version? WooCommerce empfiehlt dafür, die Angabe „Tested up to“ jeder Erweiterung zu kontrollieren.¹⁵
Updates zuerst auf einer Testumgebung (Staging) einspielen und dort prüfen.
Bei Shops den Wartungsmodus aktivieren, damit während des Updates niemand bestellt.
Updates live einspielen, inklusive nötiger Datenbank-Updates.
Funktion und Optik von Hand prüfen. JTL nennt als Minimum, dass Registrierung und Kaufabschluss funktionieren müssen.¹¹
Wartungsmodus beenden und die Fehlerprotokolle in den Tagen danach im Blick behalten.
Alles im Wartungsbericht festhalten.

WooCommerce empfiehlt einen monatlichen Rhythmus für reguläre Updates und Sicherheitskorrekturen sofort.¹⁵ Automatische Updates für kleine Sicherheitskorrekturen sind sinnvoll und bei WordPress Standard. Sie ersetzen aber nicht die Kontrolle danach. Gerade KMU-Websites sind meist individuell angepasst, mit eigenen Vorlagen, Schnittstellen und Sonderfunktionen. Ob nach einem Update noch alles funktioniert und so aussieht, wie es soll, muss jemand von Hand prüfen. Selbst bei einem einfachen Blog geht das nicht zu hundert Prozent automatisch.

Sicherheitsupdates warten nicht

Wird eine kritische Lücke bekannt, wartet niemand bis zum nächsten Monatstermin. Bei TYPO3 erscheinen Extension-Lücken gebündelt an festen Terminen, 2025 waren es acht solche Sammeltermine.¹⁸ Ein fester Wartungsrhythmus plus Reaktion außer der Reihe deckt das gut ab.

Auch ein Sicherheitsupdate ist kein Durchklicken. Im September 2026 hat TYPO3 eine Lücke mit hohem Schweregrad in den Versionen 14.2.0 bis 14.3.6 geschlossen. Nach dem Update funktionieren bestimmte geplante Aufgaben im Scheduler nicht mehr und müssen durch andere Lösungen ersetzt werden.¹⁹ Wer das Update nur einspielt und nicht prüft, merkt das womöglich erst, wenn ein Export oder eine Bereinigung wochenlang nicht gelaufen ist.

Was musst du bei deinem System selbst tun?

Wie viel Wartung bei dir liegt, hängt davon ab, ob du dein System selbst betreibst oder mietest.

System	Wer spielt Updates ein?	Was bleibt bei dir?
WordPress und WooCommerce	Du oder dein Dienstleister. Kleine Kern-Updates laufen automatisch.	Plugins, Theme, große Versionen, PHP, Tests, Backups
TYPO3	Du oder dein Dienstleister	Kern, Extensions, Upgrades, PHP, Tests, Backups
Shopware selbst gehostet	Du oder dein Dienstleister	Kern, Erweiterungen, Security-Plugin, PHP, Tests, Backups
JTL-Shop mit JTL-Hosting	JTL, auf deine Anmeldung hin	Template, Plugins, Tests
Shopify und Shopware SaaS	Der Anbieter	Theme, Apps, eigene Anpassungen, Tests

Bei WordPress kannst du automatische Updates für einzelne Plugins und Themes seit Version 5.5 selbst einschalten. Sie laufen zweimal täglich, hängen vom internen Zeitplaner WP-Cron ab, und WordPress empfiehlt vorher ein Backup.²⁰ Für WooCommerce gelten zusätzlich Staging und Datenbank-Update aus dem Routinezyklus.¹⁵

Bei TYPO3 werden immer zwei Langzeitversionen (LTS) gleichzeitig unterstützt, derzeit v13 und v14. Sicherheitsmeldungen verschickt TYPO3 über eine eigene Mailingliste, die dein Dienstleister abonniert haben sollte.³ Für v14 gibt es Sicherheitsupdates bis 30. Juni 2029.⁵

Bei Shopware im Eigenbetrieb bist du für Updates zuständig. Shopware rät, Sicherheitsupdates umgehend einzuspielen und das Security-Plugin installiert und aktuell zu halten, auch wenn Shopware selbst auf dem neuesten Stand ist.¹³ Ältere Versionen bekommen Sicherheitskorrekturen nur noch über dieses Plugin.²¹

Bei JTL-Hosting darfst du den Shop nicht selbst aktualisieren. Du merkst das Update im Kundencenter vor, und JTL spielt es werktags zwischen 9 und 17 Uhr ein. JTL weist darauf hin, dass Anpassungen am Template überschrieben werden können und du die Kompatibilität deiner Plugins vorher prüfen solltest, dafür steht ein Testshop bereit.²²

Bei Shopify oder Shopware SaaS kümmert sich der Anbieter um die Technik darunter, Shopware aktualisiert seine SaaS-Variante wöchentlich.²¹ Für Theme, Apps und Anpassungen bleibst du zuständig. Theme-Updates musst du bei Shopify selbst anstoßen, automatisch kommen nur Fehler- und Sicherheitskorrekturen. Code-Anpassungen bleiben dabei nicht zwingend erhalten, Themes von außerhalb des Theme Stores bekommen gar keine Updates, und Apps können nach einem Theme-Update nicht mehr passen.²³

Warum ist ein Wartungsvertrag sinnvoll?

Ein Wartungsvertrag regelt das, was ohne ihn am häufigsten liegen bleibt: wer zuständig ist, in welchem Takt gewartet wird und wie schnell bei einer Sicherheitslücke reagiert wird. Genau diese feste Zuständigkeit empfiehlt auch die bayerische Datenschutzaufsicht.⁹ Dazu kommen der Wartungsbericht als Nachweis und planbare Kosten statt Notfallrechnungen.

Viele Hoster und Softwareanbieter übernehmen inzwischen einen Teil der Updates oder werben mit Schutz vor Angriffen. Das ist gut. Aus der Verantwortung nimmt es dich nicht. Patchstack hat für WordPress gemessen, dass Schutzmaßnahmen auf Hoster-Ebene je nach Auswertung nur 12 bis 26 Prozent der Angriffe auf bekannte Lücken abgefangen haben.¹ Und selbst wenn der Hoster das Update einspielt, liegt die Prüfung danach bei dir. Je individueller deine Website, desto aufwendiger ist sie. Muss etwas nachgezogen werden, brauchst du wieder einen Profi.

Profi oder selbst machen?

Wenn du eine eigene IT hast, die dafür Kapazität hat, kannst du die Wartung im Haus lösen. Plane dafür feste Zeit ein, sonst rutscht die Wartung hinter jede dringende Anfrage. Ob sich das rechnet, ist allerdings eine zweite Frage. Den gut bezahlten IT-Profi willst du im Zweifel nicht mit Routineaufgaben blockieren, die ein spezialisierter Dienstleister schneller erledigt.

Die Bürofachkraft oder der Verwaltungsmensch, der die Website nebenbei betreut, sollte sich mit Updates gar nicht befassen müssen. Mit den Fähigkeiten dieser Person hat das nichts zu tun. Sie kann fachlich schlicht nicht verantworten, ob ein Update Sicherheitslücken schließt oder neue Fehler einbaut.

Wer es als Laie trotzdem selbst macht, zahlt mit Zeit. Ein Profi erledigt dieselben Schritte schneller und sicherer, weil er die typischen Fehler kennt. Und irgendwann geht etwas schief, meist dann, wenn es gerade gar nicht passt. Dann brauchst du doch einen Profi, und als Notfall ist der tendenziell teurer: Anbieter rechnen Fehlerbehebung außerhalb des Pakets oder das Einspielen eines Backups teils separat ab.²⁴ Oder du investierst unverhältnismäßig viel eigene Zeit, um das Problem selbst zu lösen.

Was kostet Wartung?

Ich habe die Preislisten von vier deutschen Anbietern ausgewertet, die ihre Wartungspakete offen ausweisen. Das sind Anbieterpreise, keine Marktstudie. Für eine WordPress-Website reichen die Pakete von rund 25 bis rund 300 Euro netto im Monat, für WooCommerce-Shops von rund 90 bis rund 250 Euro.²⁴ Für sich genommen sagen diese Spannen wenig, solange du nicht weißt, wie viel Arbeit darin steckt.

Wartungskosten gehören in die Kalkulation, bevor die Website gebaut wird. Wer sich Unterhalt und Versicherung nicht leisten kann, kauft sich auch keinen Ferrari.

Woran hängt der Preis?

Der Preis hängt an der Technik, nicht an der Zahl der Unterseiten. Auch eine kleine Website kann teuer in der Wartung sein, wenn viel eingebunden ist. Das muss nicht so sein, kann aber. Die wichtigsten Preistreiber:

Anzahl und Qualität der Erweiterungen
Schnittstellen, zum Beispiel zur Warenwirtschaft, zum CRM oder zu Zahlungsanbietern
eingebundene externe Dienste
der Grad der individuellen Anpassung, weil jede Anpassung nach einem Update von Hand geprüft werden muss
Website oder Shop, denn bei einem Shop müssen Warenkorb, Kasse und Bestellmails nach jedem Update funktionieren
gewünschte Reaktionszeiten, Backup-Takt und Aufbewahrungsdauer

Wie viel Arbeit steckt in einem Monat Wartung?

Eine belastbare Studie zum Aufwand gibt es nicht. Die folgende Tabelle ist meine Einschätzung für eine typische, individuell angepasste KMU-Website mit WordPress oder TYPO3, ohne Shop. Sie leitet sich aus den Arbeitsschritten oben ab.

Arbeit pro Monat	Zeit (Einschätzung)
Regulärer Update-Lauf: Backup prüfen, Updates auf Staging testen, live einspielen, Funktion und Optik von Hand kontrollieren	ca. 2,5 Stunden
Sicherheitsupdates außer der Reihe	ca. 1 Stunde
Monitoring auswerten, Wartungsbericht	ca. 0,5 Stunden
Kommunikation: Abstimmung, Rückfragen, Freigaben	ca. 1 Stunde
Summe	ca. 5 Stunden

Freie Software- und Webentwickler:innen verlangen im deutschsprachigen Raum laut Freelancer-Kompass 2026 im Median 90 Euro pro Stunde.²⁵ Fünf Stunden entsprechen damit rund 450 Euro im Monat. Bei Shops mit Warenwirtschaftsanbindung, Zahlungsanbietern und vielen Erweiterungen liegt der Aufwand deutlich höher, je nach Schnittstellen. Upgrades auf eine neue Hauptversion sind in dieser Rechnung nicht enthalten.

Die Kommunikation steht bewusst in der Tabelle. Abstimmungen, Rückfragen und Freigaben sind Arbeitszeit, bei umfangreichen Projekten deutlich mehr als bei einer kleinen Website. Hier liegt auch ein Hebel, wenn das Budget knapp ist: Weniger Freigabeschleifen und eine feste Ansprechperson auf deiner Seite senken den Aufwand spürbar.

Woran erkennst du ein seriöses Angebot?

Rechne den Paketpreis in Arbeitszeit um. Bei einem Stundensatz von 90 Euro ergibt sich:

Paketpreis pro Monat	Arbeitszeit pro Monat	bei vier Update-Läufen im Monat
25 Euro	ca. 17 Minuten	ca. 4 Minuten pro Lauf
40 Euro	ca. 27 Minuten	ca. 7 Minuten pro Lauf
95 Euro	ca. 63 Minuten	ca. 16 Minuten pro Lauf
150 Euro	ca. 100 Minuten	ca. 25 Minuten pro Lauf

In diesen Minuten sind Backup, Staging-Test, Update, händische Kontrolle und Bericht nicht seriös zu schaffen. Ein Paket für wenige Euro im Monat kann nur automatisch und ungeprüft aktualisieren. Für eine individuell angepasste KMU-Website halte ich das für unseriös, für einen Shop erst recht. Und wer für rund 150 Euro im Monat anbietet, rechnet die Stunden, die darüber hinaus anfallen, vermutlich extra ab. Das ist legitim, sollte aber im Angebot stehen.

Achte außerdem auf den Abrechnungszeitraum. Ein Preis pro Woche wirkt auf den ersten Blick wie ein Viertel des Monatspreises, landet aufs Jahr gerechnet aber beim selben Betrag oder darüber. Rechne jedes Angebot auf Monat und Jahr um, bevor du vergleichst.

Diese Fragen sollte dir ein Angebot beantworten:

Welche Updates sind enthalten: Kern, Erweiterungen, Theme, PHP?
Wird nach jedem Update von Hand geprüft, ob alles funktioniert und richtig aussieht? Gibt es eine Testumgebung?
Wie schnell werden Sicherheitsupdates außer der Reihe eingespielt?
Wie oft wird gesichert, wo liegen die Backups, wie lange werden sie aufbewahrt, und ist die Wiederherstellung im Preis enthalten?
Wie viel Arbeitszeit ist enthalten, und zu welchem Stundensatz wird Zusatzarbeit abgerechnet, auch im Notfall?
Werden nicht genutzte Stunden in den nächsten Monat übertragen oder übers Jahr verrechnet? Faire Vertragspartner machen das.
Sind Upgrades auf eine neue Hauptversion enthalten, oder werden sie als Projekt angeboten?
Gibt es einen Wartungsbericht, und was steht darin?
Wer arbeitet tatsächlich an deiner Website, und von wo aus? Gibt es einen Auftragsverarbeitungsvertrag, und sind alle Subunternehmer darin genannt?
Wer trägt die Lizenzkosten für kostenpflichtige Erweiterungen?
Gibt es eine Einrichtungsgebühr, eine Mindestlaufzeit oder Vorauszahlung? Bei den ausgewerteten Anbietern lagen die Laufzeiten zwischen drei und zwölf Monaten.²⁴

Die Frage nach dem Auftragsverarbeitungsvertrag ist keine Formalie. Wer deine Website wartet, hat in der Regel Zugriff auf Admin-Bereich und Datenbank und damit auch auf Kundendaten. Nach Art. 28 DSGVO darfst du nur Dienstleister einsetzen, die hinreichende Garantien für den Datenschutz bieten, und Subunternehmer dürfen nur mit deiner schriftlichen Genehmigung mitarbeiten.²⁶ Greifen Personen von außerhalb der EU auf die Daten zu, gelten zusätzliche Regeln für Übermittlungen in Drittländer. Ohne zusätzliche Garantien geht das nur in Länder, für die die EU-Kommission ein angemessenes Datenschutzniveau festgestellt hat.²⁷ Ich bin keine Juristin. Lass dir im Zweifel von deiner oder deinem Datenschutzbeauftragten bestätigen, dass der Vertrag passt.

Häufige Fragen

Ist ein Wartungsvertrag Pflicht?

Nein, einen Vertrag schreibt dir niemand vor. Die Wartung selbst kannst du dir aber kaum sparen, wenn auf deiner Website personenbezogene Daten verarbeitet werden, etwa über ein Kontaktformular oder Kundenkonten. Die DSGVO verlangt Schutzmaßnahmen nach dem Stand der Technik und deren regelmäßige Überprüfung.⁸ Wer das ohne Vertrag zuverlässig und nachweisbar organisiert, braucht keinen.

Wie lange dauert ein Update?

Für Besucher:innen meist nur kurz. Shops sollten während eines Updates in den Wartungsmodus, das empfehlen WooCommerce, Shopware und JTL.¹⁵¹³¹¹ Bei JTL-Hosting laufen Updates werktags zwischen 9 und 17 Uhr.²² Plane Updates deshalb in ruhige Zeiten und nicht vor eine Rabattaktion. Den Aufwand für die gesamte Wartung im Monat findest du in der Einschätzung im Abschnitt zu den Kosten.

Was gehört in einen Wartungsbericht?

Mindestens die Versionsstände vor und nach den Updates, Datum und Speicherort der Backups samt letztem Wiederherstellungstest, die Ergebnisse der Sicherheitsprüfungen, Ausfälle laut Monitoring sowie Auffälligkeiten und Empfehlungen. Dazu gehören zum Beispiel Erweiterungen, die keine Updates mehr bekommen, oder ein nahendes Supportende.

Fazit

Eine Website ist nach dem Livegang nicht fertig. Updates schließen Lücken, die vor allem in Erweiterungen stecken und schnell ausgenutzt werden. Upgrades sind eigene Projekte, und eine Software ohne Support wird zum Risiko, bis hin zum Bußgeld. Ein seriöser Wartungsvertrag rechnet realistische Arbeitszeit ein, prüft nach jedem Update von Hand und weist nach, was gemacht wurde.

Dein nächster Schritt: Lass dir von deinem Dienstleister oder Hoster aufschreiben, welche Versionen von System, Erweiterungen und PHP bei dir laufen und wer für ihre Updates zuständig ist. Wenn du ein bestehendes Wartungsangebot hast, geh es mit den Fragen aus dem Abschnitt zu seriösen Angeboten durch.

Wie handhabt ihr Wartung in eurem Betrieb, im Haus oder mit Dienstleister? Ich freue mich über den Austausch auf LinkedIn.

Quellen

Patchstack, „State of WordPress Security in 2026“, 2026: patchstack.com ↩
TYPO3 Association, „Security Advisories“, abgerufen am 28.10.2026: news.typo3.com/security ↩
TYPO3 Documentation, „TYPO3 version support and security updates“ (TYPO3 Explained 14.3), 2026: docs.typo3.org ↩
CERT.at, Warnung zu kritischen Sicherheitslücken in WordPress, 20.07.2026: lists.cert.at ↩
TYPO3 News, „TYPO3 v12 LTS: End of free support“, 30.04.2026: news.typo3.com ↩
endoflife.date, „Shopware“, abgerufen am 27.10.2026: endoflife.date/shopware ↩
The PHP Group, „Supported Versions“, abgerufen am 28.10.2026: php.net ↩
Art. 32 DSGVO, Sicherheit der Verarbeitung: dsgvo-gesetz.de ↩
Bayerisches Landesamt für Datenschutzaufsicht, „Patch Management im Alltag. Checkliste nach Art. 32 DS-GVO“, 2020: lda.bayern.de ↩
Die Landesbeauftragte für den Datenschutz Niedersachsen, „26. Tätigkeitsbericht 2020“, 2021, S. 97 f.: lfd.niedersachsen.de ↩
JTL-Software, „Updating JTL-Shop“, 2023: guide.jtl-software.com ↩
TYPO3 Documentation, „Patch/bugfix update“ (TYPO3 Explained), 2026: docs.typo3.org ↩
Shopware, „Performing Shopware Updates“, Entwicklerdokumentation v6.7: developer.shopware.com ↩
WordPress.org, „Configuring Automatic Background Updates“: wordpress.org ↩
WooCommerce, „Updating WooCommerce“, 08.09.2026: woocommerce.com ↩
Shopware, „Updating Shopware“, Nutzerdokumentation ab 6.5: docs.shopware.com ↩
TYPO3 Documentation, „Pre-upgrade tasks for major TYPO3 Core updates“ (TYPO3 Explained), 2026: docs.typo3.org ↩
TYPO3 Association, „Security“ (Announcements), abgerufen am 28.10.2026: announce.typo3.org ↩
TYPO3 Association, „TYPO3-CORE-SA-2026-023: Missing Authorization in lowlevel commands“, 08.09.2026: news.typo3.com ↩
WordPress.org, „Plugin and themes auto-updates“, 2023: wordpress.org ↩
Shopware, „Release Notes und Release Policy“: developer.shopware.com ↩
JTL-Software, „Shop update FAQ (Hosting)“, 2023: guide.jtl-software.com ↩
Shopify Help Center, „Updating themes“: help.shopify.com ↩
Eigene Auswertung der öffentlichen Preislisten von vier Anbietern, abgerufen am 28.10.2026: mainardy.com, wp-website-service.de, seiten-werk.com, sven-hoerig.de ↩
freelancermap, „Welchen Stundensatz kann ein IT-Freelancer verlangen?“ (Freelancer-Kompass 2026), aktualisiert 08.10.2026: freelancermap.de ↩
Art. 28 DSGVO, Auftragsverarbeiter: dsgvo-gesetz.de ↩
Europäische Kommission, „Adequacy decisions“, abgerufen am 28.10.2026: commission.europa.eu ↩