Website-Wartung und Sicherheit: Der Plan für Monat, Quartal und Jahr

Website-Wartung ohne Abzocke: Wartungsplan für Monat, Quartal und Jahr, Backup-Regeln, Zugänge, SSL, Notfallplan nach einem Hack und was du selbst machen kannst.

Die meisten Websites werden gebaut, freigeschaltet und dann vergessen. Ein Jahr später ist das Kontaktformular stumm, das System zwei Hauptversionen hinterher, das letzte Backup liegt auf demselben Server wie die Website, und drei ehemalige Mitarbeitende haben noch Administratorrechte. Nichts davon fällt auf, solange die Startseite lädt – bis es auffällt, meist zum denkbar schlechtesten Zeitpunkt.

Dieser Guide macht aus „wir müssten mal“ einen planbaren Rhythmus. Du bekommst:

• einen Wartungsplan mit festen Aufgaben für Monat, Quartal und Jahr
• klare Regeln, wie schnell welches Update eingespielt werden muss
• die Backup-Regeln, die im Ernstfall wirklich tragen
• eine Zugangs- und Passwort-Hygiene, die zehn Minuten im Quartal kostet
• die stillen Ablaufdaten bei SSL, Domain und E-Mail, die niemand auf dem Schirm hat
• einen Notfallplan für die ersten Stunden nach einem Hack
• einen ehrlichen Kostenrahmen und die Trennlinie zwischen „selbst machen“ und „machen lassen“

Geschrieben ist der Text für Inhaberinnen und Inhaber kleiner und mittlerer Unternehmen: Handwerksbetriebe, Praxen, Gastronomie, Händler, B2B-Dienstleister. Also für alle, die eine Website haben, aber keine IT-Abteilung.

Kurzantwort: Was Wartung mindestens umfasst

Website-Wartung besteht aus fünf Dingen: Updates von System, Erweiterungen und Abhängigkeiten, Backups inklusive regelmäßigem Rückspiel-Test, Überwachung von Erreichbarkeit und Serverfehlern, einem Funktionstest der Wege, über die Anfragen hereinkommen, und einer Zugangs-Hygiene, die regelt, wer eigentlich noch Rechte hat. Alles andere ist Komfort. Als Rhythmus reicht für die meisten kleinen Websites: monatlich Updates und Sichtprüfung, quartalsweise Rückspiel-Test und Rechte-Check, jährlich ein größerer Technik- und Vertragsdurchgang. Der Aufwand liegt bei einer normalen Unternehmenswebsite im Bereich von ein bis zwei Stunden pro Monat – wenn er regelmäßig passiert.

Die drei Risiken, gegen die Wartung schützt

Wartung ist kein Selbstzweck. Sie federt drei konkrete Risiken ab, und es hilft, sie auseinanderzuhalten, weil sie unterschiedliche Maßnahmen brauchen.

Sicherheitsrisiko. Angriffe auf kleine Websites sind fast nie persönlich gemeint. Automatisierte Programme durchsuchen das Netz nach bekannten Lücken in verbreiteten Systemen und Erweiterungen. Wer eine Version einsetzt, für die es seit Monaten einen Patch gibt, steht auf genau dieser Liste. Typische Folgen: eingeschleuste Werbelinks, Weiterleitungen auf fremde Seiten, Versand von Spam über deinen Server, im schlimmsten Fall Zugriff auf Kundendaten.

Betriebsrisiko. Die Seite ist nicht erreichbar, liefert Serverfehler, das Formular wirft eine Fehlermeldung, oder die Bestätigungsmail landet stumm im Spam-Ordner. Das kostet direkt Anfragen und fällt oft wochenlang nicht auf, weil niemand meldet, dass er es nicht geschafft hat, dich zu erreichen.

Sichtbarkeitsrisiko. Häufige Ausfälle, kaputte Links, eingeschleuster Fremdinhalt und schleichend schlechter werdende Ladezeiten wirken sich auf deine Position in der Suche aus. Eine Sicherheitswarnung des Browsers erledigt den Rest: Wer „Die Verbindung ist nicht sicher“ liest, klickt zurück.

Tipp: Wenn du nur eine Sache automatisierst, dann die Überwachung. Ein einfacher Dienst, der alle paar Minuten prüft, ob deine Startseite antwortet, und dir bei Ausfall eine Nachricht schickt, verhindert die teuerste Variante: Du erfährst vom Problem durch einen Kunden.

Der Wartungsplan auf einen Blick

Der folgende Plan ist so geschnitten, dass er für eine normale Unternehmenswebsite realistisch bleibt. Bei einem Onlineshop rückt alles eine Stufe enger: monatliche Aufgaben werden wöchentlich, quartalsweise werden monatlich.

Monatlich: der Pflichttermin

Leg dir einen festen Tag in den Monat, zum Beispiel den ersten Dienstag. Reihenfolge: erst Backup prüfen, dann Updates einspielen, dann testen. Nie umgekehrt. Nach den Updates öffnest du Startseite, Leistungsseite, Kontaktseite und eine Detailseite auf dem Handy und schickst eine echte Testanfrage über jedes Formular – mit einer Adresse, in die du auch wirklich hineinschaust.

Quartalsweise: das, was niemand freiwillig macht

Der Rückspiel-Test und der Rechte-Check sind die beiden Aufgaben, die am häufigsten ausfallen und am meisten wert sind. Beide fühlen sich unnötig an, solange nichts passiert. Genau darum stehen sie im Kalender und nicht auf einer Wunschliste.

Jährlich: aufräumen statt reparieren

Einmal im Jahr lohnt der Blick auf die größeren Linien: Läuft das System noch auf einer Version, die Sicherheitsupdates bekommt? Gibt es Erweiterungen, die der Hersteller aufgegeben hat? Passt das Hosting noch zum Verkehr? Wer diesen Termin drei Jahre auslässt, steht irgendwann vor einem Relaunch, weil einzelne Updates nicht mehr möglich sind.

Updates: was sofort muss und was warten kann

Nicht jedes Update ist dringend, und „alles sofort“ ist genauso falsch wie „alles später“. Eine einfache Einteilung reicht.

Zwei Regeln, die viel Ärger sparen: Vor jedem Update ein frisches Backup. Und nie kurz vor dem Wochenende oder dem Urlaub aktualisieren – wenn etwas bricht, willst du Zeit haben, es zu reparieren.

Wie viel Wartungsaufwand du überhaupt hast, hängt stark von der technischen Grundlage ab. Ein System mit vielen Erweiterungen von unterschiedlichen Herstellern bedeutet mehr Updates und mehr Angriffsfläche als eine individuell entwickelte Seite, bei der dafür die Abhängigkeiten im Code gepflegt werden müssen. Die Abwägung im Detail steht im Artikel WordPress oder individuelle Website.

Backups: ohne Rückspiel-Test ist es kein Backup

Ein Backup ist eine Sicherungskopie deiner Website. Es ist erst dann eine Sicherung, wenn du es nachweislich zurückspielen kannst. Alles andere ist eine Datei, von der du hoffst, dass sie hilft.

Die Regeln, die in der Praxis tragen:

1. Dateien und Datenbank zusammen sichern. Bei den meisten Systemen liegen Texte, Preise und Bestellungen in der Datenbank, Bilder und Programmcode im Dateisystem. Nur eines von beiden nützt nichts.
2. Mehrere Stände aufbewahren, zum Beispiel die letzten sieben Tage, dazu vier Wochenstände und drei Monatsstände. Wenn Schadcode erst nach zwei Wochen auffällt, brauchst du einen Stand von davor.
3. Getrennt vom Server speichern. Eine Sicherung auf demselben Server ist bei einem Serverausfall oder einem Angriff genauso weg wie die Website.
4. Automatisch laufen lassen. Was jemand manuell machen muss, passiert im Stress nicht.
5. Den Weg zurück dokumentieren. Zwei Seiten reichen: wo liegen die Sicherungen, wer hat Zugang, welche Schritte in welcher Reihenfolge, wen ruft man an.
6. Einmal im Quartal wirklich zurückspielen, am besten in eine Testumgebung. Dabei fällt regelmäßig auf, dass etwas fehlt.

Tipp: Notiere im Kalender, wann du zuletzt einen Rückspiel-Test gemacht hast. Wenn die Antwort auf „Wann hast du das letzte Mal ein Backup zurückgespielt?“ nicht innerhalb von Sekunden kommt, hast du kein getestetes Backup.

Zugänge und Passwörter: die unterschätzte Baustelle

Die meisten Vorfälle in kleinen Unternehmen beginnen nicht mit einem raffinierten Angriff, sondern mit einem schwachen oder mehrfach verwendeten Passwort. Der Aufwand, das abzustellen, ist gering.

• Administratorrechte nur für die, die sie brauchen. Wer Texte pflegt, braucht keine Vollrechte. Die meisten Systeme kennen abgestufte Rollen.
• Ehemalige konsequent entfernen. Ausgeschiedene Mitarbeitende, alte Agenturen, der Praktikant von damals. Ein Konto löschen dauert eine Minute.
• Zwei-Faktor-Anmeldung aktivieren, wo es geht: beim Hosting, beim Domain-Anbieter, beim Content-System, bei den E-Mail-Postfächern. Das ist der wirksamste Einzelschritt überhaupt.
• Passwortmanager statt Zettel und Tabelle. Jedes System bekommt ein eigenes, langes Passwort. Niemand muss sie sich merken.
• Zugänge zentral dokumentieren. Wenn nur eine Person weiß, wo die Domain liegt, ist das ein Betriebsrisiko, kein Sicherheitsvorteil.
• Kein gemeinsames Sammelkonto. Wenn drei Personen dasselbe Login nutzen, kann niemand nachvollziehen, wer was geändert hat.

Gerade beim Domain- und Hosting-Zugang lohnt sich ein prüfender Blick: Oft läuft er noch auf eine Agentur oder eine Privatperson aus der Gründungszeit. Beim nächsten Anbieterwechsel wird genau das zum Problem.

SSL, Domain und E-Mail: die stillen Ablaufdaten

Drei Dinge laufen ab, ohne dass jemand daran denkt – und jedes davon nimmt im Ernstfall die ganze Website oder die Erreichbarkeit mit.

Das SSL-Zertifikat sorgt für die verschlüsselte Verbindung, erkennbar am Schloss im Browser. Die meisten Anbieter verlängern es automatisch. „Meistens“ reicht nicht: Wenn die Verlängerung scheitert, zeigt der Browser eine ganzseitige Warnung, und der Verkehr bricht sofort ein. Nimm dir einmal im Quartal zehn Sekunden für einen Blick auf das Ablaufdatum, oder lass die Überwachung es melden.

Die Domain ist deine Adresse. Läuft sie aus, weil die hinterlegte Kreditkarte abgelaufen ist oder die Rechnung an eine tote E-Mail-Adresse ging, ist nicht nur die Website weg, sondern auch jede E-Mail an diese Adresse. Prüfe einmal im Jahr, auf wen die Domain läuft, welche Kontaktadresse hinterlegt ist und wann verlängert wird.

Die E-Mail-Einstellungen im DNS entscheiden, ob deine Mails ankommen. Die drei technischen Einträge dafür legen fest, welche Server in deinem Namen versenden dürfen. Fehlen sie oder sind sie falsch, landen Angebote und Formularbestätigungen still im Spam-Ordner deiner Kunden. Das ist einer der teuersten unsichtbaren Fehler überhaupt.

Formulare und E-Mail-Zustellung testen

Wenn eine Website plötzlich keine Anfragen mehr liefert, liegt es erstaunlich oft nicht an der Sichtbarkeit, sondern an der Technik dahinter. Typische Ursachen: ein Update hat den Versand-Baustein verändert, der Spamschutz blockiert echte Anfragen, das Zielpostfach ist voll, oder die Bestätigungsmail an den Kunden geht raus, die Benachrichtigung an dich aber nicht.

Der Test dauert zehn Minuten und gehört in jeden Monatstermin:

• Über jedes Formular eine echte Anfrage senden, einmal vom Handy, einmal vom Rechner
• Prüfen, ob die Benachrichtigung ankommt und im richtigen Postfach landet, nicht im Spam
• Prüfen, ob der Absender eine Bestätigung bekommt
• Telefonnummer und E-Mail-Adresse auf der Seite antippen und schauen, ob sich wirklich Telefon und Mail-Programm öffnen
• Bei Terminbuchung: einen Testtermin buchen und wieder absagen

Wenn du wissen willst, ob überhaupt jemand das Formular abschickt und wo unterwegs abgebrochen wird, brauchst du dafür Messpunkte. Wie du die sauber aufsetzt, steht im Event-Tracking Plan. Und damit das rechtlich sauber bleibt, gehört das Thema Einwilligung dazu: Cookie-Banner und Tracking DSGVO-konform.

Notfallplan: die ersten Stunden nach einem Hack

Im Ernstfall ist das größte Problem nicht der Angriff, sondern hektisches Handeln. Wer sofort anfängt, verdächtige Dateien zu löschen, vernichtet die Spuren, übersieht die Einbruchstelle und hat das Problem eine Woche später wieder. Diese Reihenfolge hat sich bewährt.

Wichtig zum letzten Punkt: Wenn personenbezogene Daten betroffen sein könnten, gelten in der Regel Melde- und Informationspflichten, und dafür laufen kurze Fristen. Das ist ein Fall für eine Datenschutzbeauftragte oder einen Fachanwalt, nicht für eine Einschätzung aus dem Bauch heraus. Kläre vorab, wen du in diesem Fall anrufst – am besten steht die Nummer im selben Dokument wie der Backup-Weg.

Tipp: Schreibe deinen Notfallplan auf eine Seite und lege sie dorthin, wo du auch ohne Website herankommst. Ein Dokument, das nur auf dem betroffenen Server liegt, hilft genau dann nicht, wenn du es brauchst.

Was Wartung kostet und woran du Abzocke erkennst

Seriöse Aussagen zu Wartungskosten hängen am Umfang, nicht an einer Pauschale. Drei Faktoren treiben den Preis: wie viele bewegliche Teile die Website hat (Erweiterungen, Schnittstellen, Zahlungsanbindung), wie schnell im Notfall reagiert werden soll, und wie viel inhaltliche Pflege enthalten ist.

Als Orientierung: Eine kleine Unternehmenswebsite mit wenigen Seiten und ohne Shop verursacht deutlich weniger laufenden Aufwand als ein Onlineshop, bei dem jede Stunde Ausfall direkt Umsatz kostet und Zahlungs- und Versandanbindungen mitgepflegt werden müssen. Zwischen diesen beiden Enden liegt eine breite Spanne, und genau deshalb ist ein Angebot ohne Leistungsbeschreibung wertlos.

Woran du ein gutes Angebot erkennst:

• Es listet auf, was enthalten ist – Updates, Backups, Überwachung, Tests, Berichte – und was extra kostet.
• Es nennt eine Reaktionszeit für Störungen, nicht nur eine E-Mail-Adresse.
• Es sagt, wer im Notfall erreichbar ist und wie.
• Es enthält den Rückspiel-Test als feste Leistung, nicht nur „Backups“.
• Du bekommst eigene Zugänge zu Domain, Hosting und System. Wenn eine Agentur dir den Zugang zu deiner eigenen Domain verweigert, ist das kein Servicemodell, sondern eine Abhängigkeit.
• Du bekommst einen kurzen Bericht, was gemacht wurde. Monatlich oder quartalsweise, eine halbe Seite reicht.

Warnzeichen sind dagegen: Wartung, die nur aus „Updates“ besteht, Verträge mit langer Laufzeit ohne Leistungsbeschreibung, und Anbieter, die Hosting, Domain und Lizenzen deutlich über Listenpreis weiterberechnen, ohne das transparent zu machen. Welche Posten in einem Website-Budget üblicherweise stecken, ordnet der Artikel Was kostet eine Website ein.

Was du selbst machen kannst und was nicht

Wartung ist keine Alles-oder-nichts-Entscheidung. Viele Betriebe fahren gut damit, die einfachen Aufgaben selbst zu erledigen und die technisch heiklen abzugeben.

Die sinnvolle Aufteilung sieht in der Praxis so aus: Ihr übernehmt Inhalte und die monatlichen Sichtkontrollen, der Dienstleister übernimmt Updates, Backups, Server und Notfall. So bleibt der laufende Aufwand bezahlbar, ohne dass jemand im Betrieb Verantwortung für Technik trägt, die er nicht beurteilen kann.

Wann sich ein Wartungsvertrag nicht lohnt

Ehrlich bleiben gehört dazu. Ein Wartungsvertrag ist nicht immer der richtige Weg:

• Eine reine Visitenkartenseite ohne Formular, ohne Erweiterungen, auf einem einfachen Hosting: Hier reichen ein automatisches Backup, ein Erreichbarkeitscheck und ein jährlicher Blick.
• Die Website steht kurz vor der Ablösung. Wenn in drei Monaten ohnehin neu gebaut wird, lohnt sich nur das Nötigste: Sicherheitsupdates und Backups.
• Es gibt internes Wissen. Wer jemanden im Team hat, der das Thema sicher beherrscht und dafür auch wirklich Zeit bekommt, braucht keinen externen Vertrag – nur einen Kalendereintrag und eine Vertretungsregel.

Umgekehrt gilt: Sobald über deine Website Geld fließt, Termine gebucht oder personenbezogene Daten verarbeitet werden, ist Wartung keine Option mehr, sondern Teil des Betriebs. Ab diesem Punkt ist die Frage nicht mehr „ob“, sondern nur noch „wer“.

Wartung und Sichtbarkeit hängen zusammen

Ein letzter Punkt, der oft untergeht: Wartung schützt auch, was du in Sichtbarkeit investiert hast. Seiten, die Serverfehler ausliefern, werden seltener besucht. Ladezeiten, die sich über Monate schleichend verschlechtern, drücken auf die Nutzerwerte, die Google misst – die Grundlagen dazu stehen in Core Web Vitals verständlich erklärt. Und eingeschleuster Fremdinhalt auf gehackten Seiten führt schnell zu Warnhinweisen in der Suche.

Deshalb gehört zur Wartung immer ein Blick auf Signale von außen: Erreichbarkeit, Fehlerraten, Indexierung, Ladezeiten. Welche Werte dafür wirklich zählen, welche Alarmgrenzen sinnvoll sind und was du getrost ignorieren kannst, steht im Artikel Monitoring für SEO und Websites. Und wenn du vor einem größeren Umbau stehst, hilft vorher die Checkliste für den Relaunch ohne Rankingverlust.

Nächster Schritt

Wenn du Wartung selbst in die Hand nimmst, fang klein an: Trag dir den monatlichen Termin ein, richte eine Erreichbarkeits-Überwachung ein und mach in den nächsten vier Wochen einmal einen echten Rückspiel-Test. Diese drei Schritte decken den größten Teil des Risikos ab. Alles Weitere kannst du danach in Ruhe ergänzen.

Wenn du es lieber abgeben willst: Wir betreuen Websites und Shops aus Magdeburg und ganz Deutschland als planbaren Prozess – Updates, Backups mit Rückspiel-Test, Überwachung, Funktionstests und eine feste Ansprechperson, wenn es brennt. Du bekommst einen kurzen Bericht, was passiert ist, und behältst die Zugänge zu deiner Domain und deinem Hosting.

• Webdesign und Betreuung aus Magdeburg
• Kostenlosen Website-Check anfordern
• Unverbindliches Erstgespräch vereinbaren