Wartung und Pflege einer Webseite.
Warum „einmal gebaut, für immer fertig" ein Mythos ist.
„Wozu zahle ich denn dafür eigentlich?" — die wahrscheinlich häufigste Frage, die uns zur monatlichen Webseiten-Pflege gestellt wird. Dieser Ratgeber beantwortet sie ehrlich: Was bei einer Webseite ständig im Hintergrund passiert, welche Bedrohungen es real gibt, was technisch gewartet werden muss und was passiert, wenn man es jahrelang nicht tut. Plus die unbequeme Wahrheit, warum wir keine bestehenden Webseiten von anderen Anbietern übernehmen.
1. „Wozu zahle ich denn dafür?" — die ehrliche Antwort
Sie haben Recht, dass die Frage berechtigt ist. Eine Webseite ist nicht greifbar wie ein Auto oder eine Maschine — man sieht der Pflege nicht an, dass sie passiert. Im Gegenteil: Wenn alles gut läuft, merkt der Inhaber von der Wartung gar nichts. Genau das ist das Problem dieser Sichtbarkeit. Wenn dann eine Rechnung kommt, fühlt sich das schnell wie „bezahltes Nichts" an.
Die ehrliche Antwort ist: Eine Webseite ist kein Plakat. Ein Plakat hängt man auf, und es bleibt für die nächsten Jahre genau so. Eine Webseite ist deutlich näher an einem Auto: Sie steht zwar still in der Garage, aber sie hat einen Motor, ein Getriebe, Bremsen, Elektronik. Und wer das Auto nie wartet, nie zum TÜV bringt, nie Ölwechsel macht — der hat irgendwann ein Auto, das nicht mehr fährt oder gefährlich wird. Genau dasselbe gilt für Webseiten, nur dass die Bedrohung dort weniger sichtbar ist.
In den folgenden Abschnitten erklären wir konkret, was im Hintergrund einer Webseite passiert, was gepflegt werden muss, was automatisch läuft, was händisch gemacht wird — und warum das Ganze keine erfundene Beschäftigungs-Therapie ist, sondern eine reale, sehr ernstgemeinte Notwendigkeit.
2. Was eine Webseite wirklich ist
Um zu verstehen, was gewartet werden muss, müssen wir kurz zerlegen, woraus eine moderne Webseite tatsächlich besteht. Es ist nicht eine Sache, sondern eine Kette aus mindestens sieben Schichten, die alle zusammenarbeiten müssen — und alle einzeln gepflegt werden wollen.
Diese sieben Schichten sind nicht statisch. Jede einzelne wird von ihren Entwicklern weiterentwickelt, bekommt neue Versionen, Sicherheits-Patches, manchmal komplett neue Funktionen. Wer das alles drei Jahre liegen lässt, hat im Grunde sieben veraltete Softwarestücke, die nicht mehr richtig zusammenpassen — und in denen sich vermutlich längst Sicherheitslücken angesammelt haben, die andere Webseiten schon vor zwei Jahren geschlossen haben.
3. Die Bedrohungslage 2025/2026 in Zahlen
Wir sprechen oft mit Mittelständlern, die sagen: „Wer sollte denn ausgerechnet meine Webseite angreifen? Ich bin doch kein Konzern." Das ist ein fundamentales Missverständnis. Moderne Angriffe sind nicht persönlich. Sie sind vollautomatisiert. Bots durchforsten das Internet rund um die Uhr nach Webseiten mit bekannten Sicherheitslücken — egal wer dahinter steht.
Was die häufigsten Angriffs-Arten sind
Die Bedrohungen, denen Ihre Webseite täglich ausgesetzt ist, lassen sich grob in vier Kategorien einteilen:
- Brute-Force-Angriffe. Bots probieren tausende Passwörter durch — meist auf der Standard-Login-Seite (
/wp-login.php). Wordfence hat allein 2024 über 50 Milliarden Login-Angriffe auf WordPress-Seiten abgewehrt[3]. Bei einfachen Passwörtern und Standard-Benutzernamen wie „admin" ist es nur eine Frage von Stunden, nicht Tagen. - Plugin- und Theme-Lücken. Über 97 % der WordPress-Sicherheitslücken liegen nicht im Kern-System, sondern in installierten Erweiterungen[4]. Wer ein veraltetes Plugin laufen lässt — auch ein deaktiviertes — hat im Grunde eine Tür offen, an der ständig gerüttelt wird.
- Cross-Site-Scripting (XSS). Etwa 50 % aller gemeldeten Plugin-Lücken 2024/2025[5]. Angreifer schleusen Schadcode in Kommentar-Felder, Kontaktformulare oder Such-Eingaben ein, der bei anderen Besuchern dann im Browser ausgeführt wird.
- Datei-Uploads und SQL-Injection. Wo Webseiten Datei-Uploads erlauben (z.B. Kontaktformulare mit Anhang) oder Such-Eingaben nicht sauber filtern, schleusen Angreifer Dateien ein, die später als Hintertür dienen.
Bots scannen rund um die Uhr Millionen Webseiten. Sobald sie eine bekannte Sicherheitslücke finden — und das geht heute in Sekunden — wird vollautomatisch zugegriffen. Es ist kein Mensch, der „Ihre Webseite" anschaut. Es ist ein Skript, das eine Liste von 2 Millionen Webseiten abarbeitet und prüft, welche davon eine bestimmte Schwachstelle haben.
4. Was technisch ständig passieren muss
Damit eine Webseite sicher und funktionsfähig bleibt, müssen folgende Arbeiten regelmäßig — meist monatlich, manchmal wöchentlich, im Krisenfall auch täglich — durchgeführt werden. Es ist eine längere Liste, weil eben jede der sieben Schichten ihre eigene Pflege braucht.
- Server-Betriebssystem aktualisieren — Sicherheits-Patches einspielen, neue Kernel-Versionen testen. Beim Hoster (z.B. webgo) zentral, aber muss eingespielt werden, ohne dass Webseiten ausfallen.
- PHP-Versionen aktuell halten — alle 1-2 Jahre kommt eine neue Hauptversion, alte Versionen werden mit einem klaren Stichtag „End-of-Life" gesetzt und bekommen keine Sicherheits-Updates mehr.
- CMS-Kern aktualisieren — bei WordPress alle 2-3 Monate eine kleinere Aktualisierung, etwa zweimal pro Jahr ein größeres Release.
- Plugins aktualisieren — bei einer typischen WordPress-Seite mit 20 Plugins erscheinen 2 bis 5 Updates pro Woche. Manche routinemäßig, manche dringend (Sicherheitslücke).
- Themes aktualisieren — seltener als Plugins, aber bei den großen Theme-Anbietern alle paar Monate.
- Datenbank-Wartung — alte Revisionen, Spam-Kommentare, ungenutzte Daten aufräumen. Bei großen Webseiten kann die Datenbank schnell unhandlich werden.
- Backups erstellen und testen — täglich neue Sicherungen, monatlich prüfen, ob die Sicherungen wirklich funktionieren. Ein Backup, das man nie testet, ist im Krisenfall manchmal wertlos.
- SSL-Zertifikate erneuern — sorgen für die HTTPS-Verbindung und das Schloss-Symbol im Browser. Müssen meist alle 3 Monate erneuert werden (heute meist automatisch über Let's Encrypt).
- Sicherheits-Scans — regelmäßig prüfen, ob Schadcode in den Dateien aufgetaucht ist (z.B. durch eine kompromittierte Plugin-Lücke).
- Login-Schutz — Brute-Force-Versuche überwachen, IP-Blocking aktualisieren, Login-Versuche begrenzen.
- Performance-Optimierung — Caching prüfen, Bilder komprimieren, langsame Datenbank-Abfragen identifizieren. Schnelligkeit ist ein direkter Google-Ranking-Faktor.
- Inhalte aktualisieren — Texte anpassen, neue Bilder einsetzen, Preise korrigieren, Öffnungszeiten aktualisieren. Das ist der Teil, den auch der Webseiten-Inhaber selbst sieht.
- Rechtstexte aktualisieren — Impressum, Datenschutzerklärung, AGB. Müssen bei jeder Gesetzesänderung angepasst werden — dazu unten mehr.
Diese Arbeiten gliedern sich in zwei Klassen: was beim Hoster automatisch im Hintergrund läuft, und was händisch oder teilautomatisiert durch die Webseiten-Betreuung gemacht werden muss. Beide Klassen schauen wir uns einzeln an.
5. Was webgo automatisch im Hintergrund absichert
Wenn wir Ihre Webseite bei webgo hosten — was bei uns der Standard ist — laufen im Hintergrund eine Reihe von Sicherheits- und Wartungs-Mechanismen, von denen Sie als Webseiten-Inhaber meist gar nichts mitbekommen. Genau das ist auch der Sinn: Sie müssen nicht alles selbst verstehen oder kontrollieren, weil das technisch durchlaufen muss, ohne dass jemand drauf schaut.
Was webgo als Hoster eigenständig macht:
- Server-Hardware-Pflege — physische Wartung, Ausfall-Schutz mit Backup-Servern, Lastausgleich, Stromversorgung. Wenn ein Server stirbt, muss die Webseite trotzdem laufen.
- Linux-Sicherheits-Patches — werden regelmäßig (oft mehrfach pro Woche) eingespielt, ohne dass Webseiten dabei ausfallen.
- Web Application Firewall (WAF) — auf Server-Ebene, filtert bekannte Angriffs-Muster heraus, bevor sie überhaupt bei Ihrer Webseite ankommen.
- DDoS-Schutz — Abwehr von Massenangriffen, bei denen tausende Bots gleichzeitig Ihre Webseite überlasten wollen.
- Mail-Server-Schutz — Spam-Filter, Virenfilter, SPF/DKIM/DMARC-Verifizierung. Mehr dazu in unserem E-Mail-Sicherheits-Ratgeber.
- Tägliche Server-Backups — webgo erstellt eigenständig tägliche Sicherungen aller gehosteten Webseiten und hält sie 14 Tage vor.
- Monitoring — Server-Auslastung, Speicherplatz, ungewöhnliche Aktivitäten werden 24/7 überwacht. Bei Anomalien schaltet sich der webgo-Support ein.
- SSL-Zertifikate über Let's Encrypt — automatisch erneuert, niemand muss sich kümmern.
- PHP-Versions-Management — webgo bietet aktuelle PHP-Versionen an und informiert rechtzeitig, wenn alte Versionen End-of-Life gehen.
Diese ganze Schicht ist im Hosting-Vertrag enthalten und Teil dessen, was Sie an webgo zahlen. Was webgo aber nicht macht — und auch nicht machen kann — ist die Pflege Ihrer konkreten Webseite, Ihrer Plugins, Ihrer Inhalte, Ihrer Rechtstexte. Das ist Aufgabe der Webseiten-Betreuung — also unsere.
6. Was händisch oder teilautomatisiert passieren muss
Hier liegt die eigentliche Webseiten-Wartung — und der Großteil dessen, wofür Sie uns monatlich bezahlen. Manches davon ist automatisierbar, vieles muss von menschlicher Hand begleitet werden, weil die Automatik gelegentlich Fehler macht.
Wöchentliche Routine
- Plugin- und Theme-Updates prüfen — welche stehen an, welche sind Sicherheits-relevant, welche brauchen Test
- Sicherheits-Logs durchsehen — auffällige Login-Versuche, blockierte IP-Adressen, ungewöhnliche Datei-Änderungen
- Backup-Integrität prüfen — sind die letzten Backups da, lesbar, vollständig
- Spam-Kommentare aufräumen — wenn Kommentar-Funktion aktiv
Monatliche Pflege
- Vollständiges Plugin-Update — nach Test in einer Staging-Umgebung, falls kritische Plugins betroffen
- WordPress-Kern-Updates — wenn neue Hauptversion verfügbar
- Datenbank-Optimierung — alte Revisionen, Transient-Daten, ungenutzte Tabellen aufräumen
- Performance-Check — Page-Speed-Werte prüfen, Engpässe identifizieren
- Broken-Links-Scan — kaputte interne und externe Links finden und reparieren
- Inhalts-Aktualisierung — neue Bilder, geänderte Öffnungszeiten, aktualisierte Preise, neue Beiträge
Quartalsweise und anlass-bezogen
- Rechtstexte prüfen — Datenschutzerklärung, Impressum, AGB, Cookie-Banner. Bei Gesetzesänderungen sofort anpassen
- Theme- oder Builder-Updates — meist größere Eingriffe, brauchen mehr Test
- Backup-Wiederherstellung testen — die wahrscheinlich wichtigste Übung, die niemand gerne macht
- SEO-Stand prüfen — Google Search Console auf Fehler durchsehen, Ranking-Verluste analysieren
- PHP-Versionsprung testen und einspielen, wenn eine alte Version End-of-Life geht
Im Notfall — also wenn etwas schief geht
- Schadcode-Bereinigung nach einem Hack: alle Dateien prüfen, Schad-Skripte entfernen, Hintertüren finden
- Backup-Wiederherstellung aus einem Zeitpunkt vor dem Vorfall
- Sicherheits-Härtung: Passwörter ändern, 2FA aktivieren, neue Plugins evaluieren
- Google-Wiedereinreichung: wenn Google die Webseite wegen Malware mit Warnung markiert hat
- Forensik: Wie kam der Angreifer rein? Was hat er gemacht? Was muss zusätzlich geschützt werden?
Diese Notfall-Arbeiten sind das, was teuer wird, wenn Wartung versäumt wurde. Eine professionelle Hack-Bereinigung mit anschließender Härtung liegt schnell bei 1.500 bis 5.000 € — abhängig von der Schadtiefe. Die monatliche Wartung verhindert genau diese Fälle.
7. Vergleich: Webseite vs. Handy- und PC-Updates
Wer das Konzept der Webseiten-Wartung verstehen will, hat den besten Vergleich vor der eigenen Nase: das Handy. Sie kennen es alle — auf Ihrem Smartphone landet alle paar Wochen ein Update, das eingespielt werden muss. Auf dem PC ähnlich. Bei vielen Apps sogar wöchentlich. Niemand fragt sich heute, ob sein iPhone ein Update braucht — es ist selbstverständlich geworden.
Handy- und PC-Updates
Betriebssystem und Apps werden ständig aktualisiert. Manchmal kleinere Versionen mit Sicherheits-Patches, manchmal größere mit neuen Funktionen. Wer nicht aktualisiert, läuft irgendwann auf einer veralteten Version, die nicht mehr unterstützt wird. Apps funktionieren dann teilweise nicht mehr.
Webseiten-Updates
Funktioniert technisch identisch. WordPress-Kern, Plugins, Themes, PHP — alles wird ständig aktualisiert. Mit demselben Risiko bei Versäumnis: veraltete Versionen sind Einfallstor für Angreifer. Aber: kein Pop-up auf Ihrem Bildschirm. Sie merken nichts.
Die Asymmetrie ist genau das Problem. Beim Handy sehen Sie, dass das Update aussteht — auf der Webseite sehen Sie es nicht. Aber das macht die Versäumnis nicht weniger gefährlich. Es macht sie nur weniger sichtbar.
Was das mit dem Wartungs-Vertrag zu tun hat
Beim Auto bezahlen Sie nicht für den Werkstatt-Besuch, sondern für das Wissen, dass das Auto morgen wieder fährt. Beim Handy bezahlen Sie nicht für jedes einzelne Update, sondern dafür, dass der Hersteller sich kümmert und Sie es nur akzeptieren müssen. Bei der Webseite bezahlen Sie nicht für jeden Plugin-Update-Klick, sondern dafür, dass jemand monatlich Hand anlegt — und dass die ganze Maschinerie weiterläuft.
Genau das ist der Wert einer Wartungsleistung: verlässliche Kontinuität in einem System, das sich permanent verändert. Wer das nicht macht oder machen lässt, hat keine „eingesparten Kosten" — er hat aufgeschobene Risiken.
8. Was passiert, wenn man jahrelang nichts tut?
Im Folgenden vier Szenarien, die in der Praxis tatsächlich so vorkommen — keine Theorie, sondern Fälle aus unserem Beratungsalltag.
Die ersten Schwächen werden sichtbar
Die Webseite läuft noch, aber zwei Plugins sind veraltet. Eine Sicherheitslücke in einem davon ist seit drei Monaten öffentlich bekannt. Bots haben sie längst gefunden — meist klopfen 50 bis 200 verdächtige Anfragen pro Tag an. Noch ohne Schaden, aber die Stelle ist „markiert" und wird getestet. Manche Browser warnen unter Umständen bereits.
Der erste Vorfall
Mehrere Plugins sind nicht mehr kompatibel mit dem aktuellen PHP. Eines davon hat eine schwere Sicherheitslücke, die in einem Massen-Scan entdeckt wurde. Die Webseite wird gehackt — meist nicht spektakulär, sondern still. Ein Angreifer richtet eine Hintertür ein, lädt unbemerkt versteckte Seiten hoch, die in Suchmaschinen für Glücksspiel oder gefälschte Medikamente werben. Sie merken davon erst, wenn webgo das Konto wegen Spam-Verbreitung sperrt oder Google Sie als „möglicherweise gehackt" markiert. Dann ist es teuer und peinlich gleichzeitig.
Mehrere Probleme gleichzeitig
Die PHP-Version ist End-of-Life und wird vom Hoster automatisch hochgestuft. Mehrere Plugins, die mit der alten PHP-Version liefen, brechen zusammen — die Webseite zeigt eine weiße Seite oder Fehlermeldungen. Gleichzeitig ist die Datenschutzerklärung veraltet, das BFSG ist seit Juni 2025 in Kraft und die Webseite genügt nicht den neuen Anforderungen. Eine Wiederherstellung erfordert mehrere Tage Arbeit. Manche Inhalte gehen verloren, weil die Backups älter als 30 Tage sind und der Hoster die gelöscht hat.
Wirtschaftlicher Totalverlust
Die Webseite ist nicht mehr zu retten — zu viele zusammenhängende Probleme. WordPress läuft auf einer Version, die seit 18 Monaten keine Updates mehr bekommt. Hälfte der Plugins gibt es nicht mehr im Plugin-Verzeichnis. Das Theme wurde vom Hersteller eingestellt. Wir empfehlen in solchen Fällen ehrlich: besser komplett neu bauen. Eine Renovierung kommt teurer als ein Neubau — und ist trotzdem keine garantierte Lösung.
„Die Webseite läuft doch seit Jahren ohne Probleme"
Ein Handwerksbetrieb aus dem Hamburger Umland ruft 2024 an. Die Webseite läuft seit 2018 ohne nennenswerte Wartung — und plötzlich ist sie weg. Genauer: webgo hat das Hosting-Konto gesperrt, weil von dem Server aus Spam-Mails verschickt wurden. Hintergrund: Ein gehacktes Plugin hatte vor sechs Monaten eine Hintertür geöffnet, ein Angreifer hatte den Server unbemerkt für Spam-Versand missbraucht.
Bereinigung dauerte fünf Tage. Kosten ca. 2.400 €. Während der Bereinigung war die Webseite offline — Kunden bekamen nur eine Fehlermeldung. Ein paar Anfragen sind in der Zeit zu Wettbewerbern abgewandert. Hätte der Inhaber für 79 € pro Monat eine Wartung gehabt, wäre der Hack wahrscheinlich nie passiert. Stattdessen hat er drei Jahre lang 0 € „gespart" und einmal 2.400 € plus Image-Schaden gezahlt. Rechnung am Ende: Nicht-Wartung war teurer.
9. Recht ändert sich: Datenschutz, BFSG, Rechtstexte
Bislang haben wir nur über Technik gesprochen. Es gibt aber eine zweite, ebenso wichtige Wartungs-Ebene: die rechtliche. Webseiten müssen den geltenden Gesetzen entsprechen — und diese Gesetze ändern sich erstaunlich häufig. Wer seine Webseite nie anpasst, läuft Jahrelang mit überholten Texten herum, die im Streitfall nicht standhalten.
Was sich in den letzten Jahren konkret geändert hat
- DSGVO (Mai 2018) — komplett neue Anforderungen an Datenschutzerklärungen, Einwilligungen, Auftragsverarbeitung. Praktisch jede deutsche Webseite musste angepasst werden.
- Planet49-Urteil des EuGH (Oktober 2019) — vorangekreuzte Häkchen in Cookie-Bannern sind unzulässig. Cookie-Banner mussten weltweit angepasst werden.
- TTDSG (Dezember 2021) — schärft die Cookie-Einwilligungspflicht. Cookie-Banner mussten erneut angepasst werden.
- UWG-Änderung (Mai 2022) — § 3 Abs. 3 mit Anhang Nr. 23c — gekaufte Bewertungen werden explizit verboten.
- Digital Services Act (DSA, 2024) — neue Pflichten für Online-Plattformen und Webseiten mit Nutzer-Inhalten.
- TDDDG (Mai 2024) — Umbenennung des TTDSG. In allen Rechtstexten muss „TTDSG" durch „TDDDG" ersetzt werden.
- EinwV / Einwilligungsverwaltungsverordnung (April 2025) — neue Regeln für Personal Information Management Services.
- BFSG / Barrierefreiheitsstärkungsgesetz (Juni 2025) — neue Pflicht zur Barrierefreiheit für viele Webseiten. Mehr dazu in unserem BFSG-Artikel.
Das sind acht relevante Rechts-Änderungen in sieben Jahren. Jede einzelne erfordert eine Anpassung der Rechtstexte, manchmal auch der technischen Konfiguration. Wer 2018 eine Datenschutzerklärung schreiben ließ und sie nie wieder angefasst hat, hat heute praktisch garantiert einen veralteten Text — mit Verweis auf das alte TTDSG, ohne BFSG-Hinweise, mit überholten Cookie-Banner-Standards.
Bei jeder dieser Änderungen tauchen kurze Zeit später Abmahnwellen auf. Spezialisierte Anwälte oder Wettbewerber durchsuchen Webseiten systematisch nach veralteten Texten. Eine Abmahnung kostet typischerweise 1.500 bis 4.000 € — eine pauschale Pflege der Rechtstexte liegt deutlich darunter.
10. Google ändert sich: regelmäßige Algorithm-Updates
Die dritte Ebene, auf der Webseiten sich permanent anpassen müssen, ist Google. Google ist nicht statisch — der Such-Algorithmus wird ständig weiterentwickelt. Allein die offiziell angekündigten „Core Updates" gibt es 3 bis 4 Mal pro Jahr[7]. Plus zahlreiche kleinere Anpassungen, die nicht angekündigt werden.
Was sich speziell 2025/2026 geändert hat
- Core Web Vitals als verfestigter Ranking-Faktor — Seiten mit Ladezeit über 3 Sekunden verlieren in Updates messbar Traffic[7]
- E-E-A-T-Verschärfung — Experience, Expertise, Authoritativeness, Trustworthiness. Inhalte ohne klare Kompetenzsignale werden abgestuft
- Helpful Content-Bewertung — Texte ohne menschliche Tiefe (typische KI-Massenproduktion ohne Bearbeitung) werden erkannt und abgestuft
- Originalitäts-Filter (März 2026) — Seiten, die nur bestehende Inhalte umformulieren, ohne eigene Information beizutragen, ranken deutlich schlechter
- Lokale Justifications — Google zeigt Such-Snippets aus Bewertungen direkt in den Suchergebnissen. Mehr dazu in unserem Bewertungs-Ratgeber
Konkret heißt das: Eine Webseite, die 2020 gebaut wurde und seitdem inhaltlich unverändert ist, hat in den heutigen Suchergebnissen einen strukturellen Nachteil — egal wie gut sie damals war. Sie konkurriert mit Seiten, die seitdem aktualisiert wurden, Core Web Vitals optimiert haben, ihre Inhalte aufgefrischt haben.
Wir reden hier nicht von SEO-Tricks oder Trends. Wir reden von einer laufenden Anpassung an einen sich verändernden Algorithmus. Wer die Anpassung nicht macht, fällt langsam zurück — meist erst kaum merklich, dann immer schneller.
11. Warum wir keine bestehenden Webseiten übernehmen
Jetzt zur unbequemen Wahrheit, die uns regelmäßig gestellte Anfragen einträgt: Wir nehmen keine bestehenden Webseiten in unsere Wartung auf, die wir nicht selbst gebaut haben. Das ist keine Geschäftspolitik, sondern eine Berufsehrlichkeit. Hier die Gründe.
Grund 1: Wir wissen nicht, was wir übernehmen
Eine bestehende Webseite ist eine Black Box. Wir sehen das Front-End — die Seite, die Besucher zu Gesicht bekommen. Aber im Hintergrund läuft potenziell vieles, was wir nicht kennen. Welche Plugins sind installiert? Sind die alle aktuell oder schon gehackt? Gibt es Hintertüren vom Vorgänger, die wir nicht entdecken? Welche Datenbanken liegen daneben? Welche Software wurde nicht offiziell installiert? Liegt vielleicht schon ein Schadcode auf dem Server, der nur darauf wartet, ausgelöst zu werden?
Wir können das in einer Vollanalyse herausfinden — aber das dauert Tage und kostet Geld, das niemand für etwas zahlt, was am Ende sein Vertrauen voraussetzt.
Grund 2: Wir kennen die Server-Umgebung nicht
Webseiten, die bei anderen Hostern laufen — und das ist meist der Fall bei Übernahmeanfragen — bringen ihre eigene Server-Konfiguration mit. PHP-Version, Cache-Mechanismen, Datenbank-Setup, Backup-Strategie. All das müssen wir erst verstehen, bevor wir verantwortlich warten können. Manchmal sind die Konfigurationen so verschachtelt, dass wir Stunden brauchen, um überhaupt eine Standard-Maßnahme durchzuführen.
Bei Webseiten, die wir selbst auf webgo aufsetzen, kennen wir jeden Handgriff. Wir wissen, wo welche Datei liegt, welche Plugins eingerichtet sind, welche Backups wo gespeichert werden. Das ist die Voraussetzung für effiziente und verantwortungsvolle Wartung.
Grund 3: Verantwortung ohne Kontrolle
Das ist der entscheidende Punkt. Wenn wir die Wartung einer Webseite übernehmen, übernehmen wir damit auch die Verantwortung für deren Funktion und Sicherheit. Aber wir haben nicht die volle Kontrolle über Faktoren, die wir nicht selbst geschaffen haben. Wenn ein versteckter Schadcode aus den Zeiten vor unserer Übernahme aktiv wird, sind wir es, die ihn finden und beheben sollen — obwohl wir ihn nicht verursacht haben. Das ist nicht fair für niemanden: nicht für Sie als Kunde, nicht für uns als Dienstleister, nicht für die Vertrauens-Basis.
Grund 4: Grundlegende Fehler von Anfang an
Viele bestehende Webseiten haben Probleme, die nicht durch Wartung lösbar sind, weil sie schon in der Grundkonstruktion liegen: ein ungünstig gewähltes Theme, schlecht strukturierte Inhalte, ungeeignete Plugin-Kombinationen, fehlende Mobile-Optimierung. Solche Webseiten zu warten ist wie ein Auto mit verbogenem Rahmen monatlich zur Werkstatt zu fahren. Es fährt vielleicht — aber gerade ist es nie wieder. Wir wollen Sie nicht jahrelang gegen solche grundlegenden Probleme anwirtschaften — wir wollen Ihnen lieber gleich ehrlich sagen: Hier wäre ein Neubau die ehrlichere Lösung.
Wenn wir eine Webseite warten, dann vollständig und mit Garantie. Wenn wir sie nicht selbst gebaut haben, können wir das nicht garantieren — und dann wollen wir es auch nicht versuchen. Das mag manchmal nach Geschäfts-Verzicht klingen — ist aber tatsächlich die Form von Ehrlichkeit, die unsere Kunden bei uns schätzen.
Was wir stattdessen anbieten
Wer mit einer bestehenden Webseite zu uns kommt, bekommt eine ehrliche Beratung: Wir schauen uns die Seite an, sagen, was wir sehen, geben unsere Einschätzung. Dann gibt es drei Wege:
- Wir empfehlen den Verbleib beim bisherigen Anbieter — wenn der seine Sache gut macht. Wir sind nicht hier, um Kunden abzuwerben, die woanders gut betreut sind.
- Wir empfehlen einen kompletten Neubau bei uns — wenn die bestehende Seite grundlegende Schwächen hat. Das ist meist überraschend günstig, weil wir auf erprobten Vorlagen aufbauen.
- Wir vermitteln einen anderen seriösen Dienstleister, der auf Bestands-Webseiten spezialisiert ist — falls Sie unbedingt bei der vorhandenen Seite bleiben möchten.
Das mag nicht der typische Vertriebs-Pitch sein. Aber wir glauben, dass dieser Stil zu uns passt und langfristig auch besser für Kunden ist.
12. Was wir bei ideaDIGITAL für Sie tun
Wenn wir Ihre Webseite gebaut haben und für Sie betreuen, läuft die Wartung als Teil unseres Komplettpakets — ohne dass Sie sich täglich darum kümmern müssen. Konkret:
- Monatliche Wartungs-Routine — Plugin-Updates, WordPress-Kern-Updates, Sicherheits-Logs, Backup-Prüfung
- Quartalsweise Tiefen-Pflege — Datenbank-Optimierung, Performance-Audit, SEO-Check, Rechtstext-Aktualisierung wenn nötig
- Notfall-Reaktion — bei kritischen Sicherheitslücken (mediane Reaktionszeit 5 Stunden) sofortige Updates, ohne dass Sie es anstoßen müssen
- Rechtstext-Pflege — wenn sich Gesetze ändern (TDDDG, BFSG, etc.), passen wir die betroffenen Texte automatisch an
- Inhaltliche Anpassungen — bei Bedarf neue Texte, geänderte Preise, aktualisierte Bilder. Im monatlichen Volumen abgedeckt
- Google-Anpassungen — nach jedem Core Update prüfen wir Ihre Sichtbarkeit und passen Inhalte an, wo es nötig ist
- Backups in mehreren Stufen — webgo-Tagesbackups, plus unsere eigene unabhängige Sicherung
- Hosting bei webgo (Hamburg) — deutscher Anbieter, DSGVO-konform, mit eigenem Spam- und Virenschutz
Die monatliche Pauschale ist bewusst überschaubar — bei einer normalen Mittelstands-Webseite zwischen 79 und 207 € pro Monat, je nach Umfang. Im Gegenzug haben Sie die Sicherheit, dass alles oben Beschriebene tatsächlich passiert — und nicht eine Webseite, die irgendwo auf einem Server vor sich hin vergisst, bis sie eines Tages still abgeschaltet wird.
Wir machen die Wartung nicht aus Marketing-Gründen, sondern weil wir es als Teil unseres Berufs verstehen. Eine Webseite, die wir bauen, soll funktionieren — nicht nur am Tag der Übergabe, sondern auch in fünf Jahren noch. Das ist die ehrliche Antwort auf „Wozu zahle ich denn dafür?".
Häufige Fragen
Quellen und weiterführende Informationen
Die Liste umfasst Patchstack (State of WordPress Security), Wordfence Threat Reports, Sucuri SiteCheck-Statistiken, Google Search Central, BSI-Lageberichte, sowie die Original-Dokumentation von webgo. Stand der Recherche: 13. Mai 2026.
-
Hostinger, WordPress Security Report 2026. 13.000 gehackte WordPress-Seiten täglich, 90.000 Angriffe pro Minute, alle 22 Minuten wird eine WordPress-Seite angegriffen. hostinger.com
-
Patchstack, State of WordPress Security 2026. 11.334 neue WordPress-Schwachstellen 2025 (+42 % gegenüber 2024), 91 % davon in Plugins, mediane Zeit bis Massen-Ausnutzung: 5 Stunden. patchstack.com
-
Wordfence, 2024 Annual WordPress Security Report. Über 48 Mrd. blockierte böswillige Anfragen, über 50 Mrd. abgewehrte Login-Angriffe im Berichtsjahr. Größter Datensatz seiner Art in der WordPress-Welt. wordfence.com
-
WP Munich, WordPress Sicherheit 2025. Verarbeitete Patchstack-Daten: rund 97 Prozent aller bekannten Sicherheitslücken stammen aus Plugins und Themes, nicht aus dem WordPress-Kern selbst. wp-munich.de
-
MOLOTOW Web Development, WordPress-Sicherheit 2025 — Angriffsvektoren. Etwa 50 % aller Plugin-Schwachstellen waren 2024/2025 Cross-Site-Scripting (XSS). Brute-Force-Angriffe als volumenstärkstes Angriffsszenario. molotow-web.com
-
Sucuri SiteCheck Mid-Year 2024 Report. 39,3 % der gehackten WordPress-Seiten hatten zum Zeitpunkt des Vorfalls nachweislich veraltete Software installiert — die wichtigste statistische Korrelation in der Websicherheitsforschung. blog.sucuri.net
-
Google Search Central, Core Updates Documentation. Offizielle Google-Doku zu Core Updates: Sie passieren mehrfach pro Jahr und sind Systemweite Re-Evaluierung der Inhaltsqualität. developers.google.com
-
Connectica, Google Algorithm Update Tracker 2026. Live-Übersicht aller Google-Updates seit 2021. Google rollt im Schnitt 8 bis 12 benannte Updates pro Jahr aus, plus tausende unbenannte kleinere Anpassungen. connecticallc.com
-
BSI, Die Lage der IT-Sicherheit in Deutschland 2025 (Lagebericht). Jährlicher Bericht zur Bedrohungslage. 80 % der gemeldeten Angriffe richten sich gegen KMU. Unique-IP-Index zeigt explosionsartige Zunahme von Bot-Netz-Aktivität. bsi.bund.de
-
webgo, Sicherheits-Features im Webhosting. Übersicht der webgo-internen Schutz-Mechanismen: WAF, Mail-Server-Schutz, automatische Backups, SSL-Zertifikate über Let's Encrypt, Server-Monitoring. webgo.de
-
Kinsta, WordPress Market Share Statistics. WordPress hat aktuell 43,4 % Marktanteil bei allen Webseiten weltweit. Das macht es zum häufigsten Angriffs-Ziel — relativ ist die Plattform aber nicht unsicherer als andere CMS. kinsta.com
-
BSI & ProPK, Cybersicherheitsmonitor 2026. 11 % der deutschen Internet-Nutzer wurden 2025 Opfer von Cyberkriminalität, 88 % der Betroffenen erlitten Schaden. bsi.bund.de
-
PHP.net, Supported Versions. Offizielle Liste der unterstützten PHP-Versionen mit End-of-Life-Zeitpunkten. Ältere Versionen wie PHP 7.2 und 7.3 erhalten seit 2020/2021 keine Sicherheits-Updates mehr. php.net
-
e-Recht24, Rechtsänderungen für Webseiten 2018-2026. Übersicht der für Webseiten-Betreiber relevanten Gesetzesänderungen: DSGVO, TTDSG/TDDDG, EinwV, BFSG, DSA. e-recht24.de
-
EuGH, Urteil vom 1. Oktober 2019 („Planet49"), C-673/17. Grundlegendes Urteil zur Einwilligungspflicht bei Cookies: Vor-angekreuzte Häkchen sind nicht zulässig. Führte zur weltweiten Überarbeitung aller Cookie-Banner. curia.europa.eu
-
Search Engine Land, Google Algorithm Updates Library. Konsolidierte chronologische Sammlung aller Google-Updates: März 2025 Core, Juni/Juli 2025 Core, Dezember 2025 Core, Februar 2026 Discover Update, März 2026 Spam Update, März/April 2026 Core Update. searchengineland.com
Webseite gebaut, jetzt unsicher, ob sie wirklich gepflegt wird?
Wir schauen uns Ihre Situation an: Wer hostet, welches System läuft, was wird aktuell gemacht — und was nicht. Sie bekommen eine ehrliche Einschätzung und konkrete Empfehlungen. Ohne Verpflichtung. Falls eine Überarbeitung sinnvoll wäre, sagen wir das genauso ehrlich wie wenn nicht.