Website ohne Wartung: Was passiert, wenn niemand Updates macht

Die Website läuft. Sie wurde vor ein paar Jahren gebaut, sieht ordentlich aus, und seitdem hat niemand mehr daran gearbeitet. Warum auch? Solange sie lädt, scheint alles in Ordnung.

Nur altert eine Website ohne Wartung im Hintergrund weiter: Erweiterungen bekommen Sicherheitslücken, der Server wird umgestellt, das Kontaktformular verschickt plötzlich keine Anfragen mehr. Von außen merkt man davon oft lange nichts. In diesem Ratgeber erfährst du, was ohne WordPress-Updates passiert, in welcher Reihenfolge du richtig aktualisierst und wann sich ein Wartungsvertrag lohnt.

Was Website-Wartung eigentlich bedeutet

Eine WordPress-Website besteht aus mehreren Teilen, die alle von verschiedenen Entwicklern gepflegt werden: WordPress selbst, das Theme für die Gestaltung und dazu Plugins, etwa für Formulare, den Cookie-Hinweis oder die Suchmaschinenoptimierung. Dazu kommt die Server-Software deines Hosters, vor allem die PHP-Version. Jedes dieser Teile bekommt regelmäßig neue Versionen.

Website-Wartung heißt, diese Teile aktuell und im Zusammenspiel funktionsfähig zu halten. Dazu gehören vier Aufgaben:

• Updates für WordPress, Plugins und Theme, geprüft und in der richtigen Reihenfolge.
• Sicherungen von Dateien und Datenbank, gespeichert außerhalb des eigenen Servers.
• Überwachung, damit jemand merkt, wenn die Seite nicht erreichbar ist.
• Kontrolle nach jeder Änderung: Lädt die Seite, funktioniert das Formular, stimmt die Darstellung am Handy?

Die Zahlen stammen aus dem Bericht „State of WordPress Security in 2026“ des Sicherheitsdienstleisters Patchstack. Sie zeigen, warum WordPress selbst selten das Problem ist: Die Lücken entstehen fast immer in den Erweiterungen, die du zusätzlich installiert hast.

Was passiert, wenn niemand Updates macht

Bekannte Sicherheitslücken bleiben offen

Ein Beispiel aus diesem Jahr: Im August 2026 wurde in Elementor Pro, einem der meistgenutzten Seitenbaukästen für WordPress, eine kritische Lücke bekannt. Über ein Formular mit Datei-Upload konnten Angreifer ohne Anmeldung eigene Dateien auf den Server laden und im schlimmsten Fall die ganze Website übernehmen. Betroffen waren alle Versionen bis 4.2.1, behoben ist der Fehler ab Version 4.2.2.

Laut dem Sicherheitsdienst Wordfence begannen die Angriffe am 19. August, also am selben Tag, an dem das Update erschien. Besonders viele Angriffe zählte Wordfence zwischen dem 19. und 23. August und blockierte insgesamt mehr als 190.000 Versuche. Wer das Update in diesen Tagen nicht eingespielt hatte, war angreifbar.

Das ist kein Einzelfall. Patchstack hat ausgewertet, wie schnell stark ausgenutzte Lücken angegriffen werden. Der Median lag bei fünf Stunden von der Veröffentlichung bis zu massenhaften Angriffen. Wer nur alle paar Monate aktualisiert, lässt solche Lücken wochenlang offen.

Die Seite fällt aus oder sieht plötzlich kaputt aus

Früher oder später stellt jeder Hoster seine Server auf eine neuere PHP-Version um, weil ältere keine Sicherheitsupdates mehr bekommen. Plugins, die seit Jahren nicht aktualisiert wurden, kommen damit oft nicht zurecht. Die Folge reicht von einzelnen Fehlermeldungen bis zur weißen Seite, auf der gar nichts mehr erscheint. Je länger nichts gemacht wurde, desto größer ist der Sprung, und desto mehr kann gleichzeitig kaputtgehen.

Google warnt Besucher vor deiner Website

Wird eine Website gehackt, landen dort oft fremde Inhalte: Spam-Seiten, Weiterleitungen oder Schadsoftware. Google erkennt das und kann betroffene Seiten in den Suchergebnissen mit einem Warnhinweis anzeigen. Im Browser erscheint unter Umständen sogar eine Warnseite, bevor Besucher deine Website überhaupt sehen. Ob Google bei deiner Seite ein Problem gefunden hat, siehst du in der Search Console im Bericht „Sicherheitsprobleme“.

Anfragen gehen verloren, ohne dass du es merkst

Am schwersten zu bemerken ist ein Formular, das nach einer Umstellung keine E-Mails mehr verschickt. Für Besucher sieht es völlig normal aus. Sie füllen es aus, klicken auf „Senden“ und warten auf eine Antwort, die nie kommt. Du erfährst davon erst, wenn sich jemand beschwert, oder gar nicht.

In welcher Reihenfolge du WordPress aktualisierst

Wer Updates selbst einspielt, sollte nicht einfach auf „Alle aktualisieren“ klicken. Geht dabei etwas schief, weißt du nicht, welches Update schuld war. So gehst du Schritt für Schritt vor:

1. Sicherung erstellen. Dateien und Datenbank sichern und prüfen, ob die Sicherung vollständig ist. Das empfiehlt auch die offizielle WordPress-Dokumentation vor jedem Update.
2. Einen ruhigen Zeitpunkt wählen. Nicht kurz vor Feierabend oder vor dem Wochenende, sondern dann, wenn du Fehler direkt beheben kannst.
3. Zuerst WordPress selbst aktualisieren. Kleine Sicherheitsupdates für den WordPress-Kern installieren sich auf den meisten Websites ohnehin automatisch. Große Versionssprünge musst du selbst anstoßen.
4. Danach die Plugins, eins nach dem anderen. Sicherheitsupdates zuerst. Nach jedem Update kurz die Website aufrufen.
5. Zum Schluss das Theme. Hast du am Theme direkt etwas verändert statt über ein Child-Theme, gehen diese Änderungen beim Update verloren. Kläre das vorher.
6. Kontrollieren. Startseite, wichtigste Unterseiten, Darstellung am Handy und das Kontaktformular mit einer echten Testanfrage. Wenn du ein Cache-Plugin nutzt, leere den Cache und prüfe danach noch einmal.

Checkliste: Website-Wartung pro Woche, Monat und Jahr

Wenn du die Wartung selbst übernimmst, hilft ein fester Rhythmus. Diese Aufgaben haben sich für kleine Firmenwebsites bewährt:

Warum ein Update erst nach der Kontrolle fertig ist

Ein Beispiel aus unserer eigenen Arbeit: Anfang Oktober 2026 haben wir auf unserer eigenen Website den Zwischenspeicher geleert, wie es nach Änderungen üblich ist. Der Hoster lieferte danach aber für einige Zeit noch alte Seitenversionen aus, die auf gelöschte Gestaltungsdateien verwiesen. Einige Seiten erschienen dadurch ohne Teile ihrer Gestaltung. Direkt nach der Änderung sah alles gut aus. Aufgefallen ist es erst bei einer späteren Kontrolle.

Seitdem prüft bei uns jeden Morgen ein automatischer Wächter alle Seiten und jede eingebundene Datei. Nach Plugin-Updates vergleichen wir zusätzlich die Darstellung auf Computer und Handy. Abgeschlossen ist ein Update bei uns erst, wenn die Seite auch diese Kontrolle am nächsten Morgen besteht.

Selbst machen oder Wartungsvertrag?

Die Wartung selbst zu übernehmen ist möglich, wenn du dich etwas mit WordPress auskennst, regelmäßig Zeit dafür einplanst und weißt, was im Notfall zu tun ist. Für eine einfache Website mit wenigen Plugins reicht das oft.

Ein Wartungsvertrag lohnt sich, wenn mindestens einer dieser Punkte zutrifft:

• Über die Website kommen Anfragen, Termine oder Bestellungen, ein Ausfall kostet also direkt Geld.
• Du hast nicht jede Woche Zeit, nach Updates zu schauen.
• Die Website nutzt einen Seitenbaukasten wie Elementor, ein Buchungssystem oder einen Shop, also viele Teile, die zusammenspielen müssen.
• Du willst im Ernstfall jemanden anrufen können, statt selbst nach dem Fehler zu suchen.

Die Preise hängen stark vom Umfang ab. Ein Vergleich von hosttest.de nennt als Beispiel ein Einstiegsangebot ab 35 Euro im Monat zuzüglich Mehrwertsteuer. Pakete mit Sicherheitsprüfung, Überwachung und kleinen Änderungen liegen darüber. Mit welchen laufenden Kosten du insgesamt rechnen solltest, zeigt unser Ratgeber Was kostet eine Website?

Ist die Website schon so alt, dass Updates kaum noch möglich sind, weil Plugins nicht mehr weiterentwickelt werden, ist Wartung allein oft nicht mehr sinnvoll. Dann lohnt sich ein Blick auf einen Website-Relaunch.

Woran du eine gute Wartung erkennst

Ob du einen Anbieter vergleichst oder ein bestehendes Angebot prüfst, diese Punkte sollten klar geregelt sein:

• Sicherungen außerhalb des Servers, und die Wiederherstellung wurde schon einmal getestet.
• Updates werden geprüft, nicht blind eingespielt.
• Nach jedem Update wird kontrolliert: Seite, Formular und Darstellung am Handy.
• Die Erreichbarkeit wird überwacht, damit ein Ausfall nicht erst durch Kunden auffällt.
• Kritische Sicherheitslücken werden sofort geschlossen, auch außerhalb des festen Termins.
• Alle Zugänge bleiben bei dir. Die Website gehört dir, auch wenn jemand anderes sie pflegt.

Häufige Fragen

Fazit

Eine Website ohne Wartung kann lange unauffällig laufen. Der Elementor-Fall aus dem August zeigt aber, wie schnell aus einer bekannten Lücke ein Angriff wird, wenn niemand das Update einspielt. Mit einer Sicherung, Updates in der richtigen Reihenfolge und einer Kontrolle danach bleibt dieses Risiko klein.

Ob du das selbst übernimmst oder abgibst, hängt von deiner Zeit ab und davon, wie viele Anfragen über die Website kommen. Wenn du die Wartung abgeben willst, findest du alles Weitere auf unserer Seite Website-Wartung.