WordPress-Wartungsvertrag: Leistungen, Kosten und SLA prüfen

Ein WordPress-Wartungsvertrag soll nicht möglichst viele technische Begriffe auflisten. Er soll klären, wer einen geschäftlich relevanten Webauftritt wie betreibt, welche Änderungen kontrolliert werden, wie Störungen behandelt werden und woran sich die Leistung später prüfen lässt.

Das Ziel ist keine perfekte oder dauerhaft garantierte Sicherheit. Ein proaktiver Care-Prozess reduziert bekannte Risiken, verkürzt unkontrollierte Betriebsphasen und bereitet Erkennung, Eindämmung und Wiederherstellung vor. Unbekannte Schwachstellen, kompromittierte Zugänge oder Fehler in Software, Hosting und weiterer Infrastruktur lassen sich dadurch nicht ausschließen.

Gerade beim Angebotsvergleich sehen viele Pakete zunächst ähnlich aus: Updates, Backups, Monitoring und Support. Hinter denselben Überschriften können jedoch sehr unterschiedliche Leistungen stehen. Ein automatisches Backup ist nicht dasselbe wie eine geprüfte Wiederherstellung. Eine Reaktionszeit ist noch keine Lösungszeit. Und „Updates inklusive“ sagt nichts darüber aus, ob geschäftskritische Funktionen danach getestet werden.

Kurz gesagt

Ein belastbarer Wartungsvertrag beantwortet sieben zentrale Fragen:

1. Welche Systeme, Komponenten und Umgebungen gehören zum Auftrag?
2. Wer verantwortet Updates, Backups, Monitoring und Störungen?
3. Welche Prüfungen erfolgen vor und nach einer Änderung?
4. Wie werden Sicherungen auf Vollständigkeit und Wiederherstellbarkeit geprüft?
5. Welche Reaktionswege gelten innerhalb welcher Servicezeiten?
6. Welche Leistungen, Risiken und Fremdkosten sind ausdrücklich ausgeschlossen?
7. Welche Ziele sind Prozess- und Sorgfaltspflichten – und ausdrücklich keine Garantie?

Diese Punkte machen Angebote nicht identisch. Sie machen ihre Unterschiede sichtbar und damit kaufmännisch entscheidbar.

„WordPress-Wartung“ ist kein einheitlicher Leistungsumfang

WordPress besteht im Betrieb nicht nur aus dem Core. Themes, Plugins, PHP, Hosting, Datenbank, Caching, Formulare, E-Mail-Transport, Schnittstellen und geplante Hintergrundaufgaben wirken zusammen. Bei einem Shop kommen häufig Zahlung, Versand, Produktdaten und Bestellprozesse hinzu. Bei mehrsprachigen Websites müssen zentrale Funktionen in jeder relevanten Sprache geprüft werden.

Deshalb sollte der Vertrag das betreute System konkret benennen:

• Produktiv-, Staging- und gegebenenfalls Entwicklungsumgebung,
• WordPress Core, aktive Themes und aktive Plugins,
• Hosting-, PHP- und Datenbankverantwortung,
• Formulare, Suche, Checkout und weitere geschäftskritische Strecken,
• externe Dienste, APIs und individuelle Erweiterungen,
• Lizenzen, Zugänge und technische Ansprechpartner.

Fehlt dieses Inventar, bleibt im Störungsfall offen, ob der Hostinganbieter, die Webagentur, ein Pluginhersteller oder das interne Team handeln muss.

Zehn Leistungsbereiche, die vergleichbar beschrieben sein sollten

1. Technische Übernahme

Ein Anbieter sollte vor dem Regelbetrieb Versionen, Zugänge, Hosting, Komponenten, bekannte Fehler, Sicherheitslage, Backups und kritische Nutzerwege prüfen. Altlasten gehören sichtbar in einen Übernahmebericht. Ihre Behebung kann ein separates Stabilisierungsprojekt sein und sollte nicht stillschweigend im Monatsbudget verschwinden.

2. Update-Prozess

Die offizielle WordPress-Dokumentation empfiehlt aktuelle Versionen und eine Sicherung vor Änderungen. Für ein Unternehmen reicht die Aussage „wir spielen Updates ein“ dennoch nicht. Der Vertrag sollte unterscheiden zwischen Sicherheitskorrekturen, regulären Aktualisierungen, größeren Versionssprüngen und Änderungen mit erkennbarem Kompatibilitätsrisiko.

Zu klären ist:

• Wann wird automatisch und wann kontrolliert manuell aktualisiert?
• Wann ist ein Test auf Staging erforderlich?
• Welche Funktionen werden nach der Änderung geprüft?
• Welcher Rückfallpunkt steht bereit, wenn die Prüfung scheitert?
• Wie werden blockierte oder veraltete Komponenten behandelt?

3. Funktionsprüfung

Ein erfolgreicher Login oder HTTP-Status 200 beweist nicht, dass eine Website geschäftlich funktioniert. Je nach System sollten definierte Prüfpfade beispielsweise Navigation, Formulare, Sprache, Suche, Checkout, Zahlarten, Cronjobs oder Schnittstellen abdecken.

Der Vertrag sollte festhalten, welche Prüfungen automatisiert, welche manuell und welche nur nach bestimmten Änderungen erfolgen. Auch die Grenze ist wichtig: Eine technische Funktionsprüfung ist keine vollständige fachliche Abnahme jedes Inhalts, Produkts oder Datenflusses.

Eine Prüfstrecke braucht einen benannten Ausgangspunkt, Testschritte und Erfolgskriterien. Bei einem Kontaktformular können beispielsweise Pflichtfeldprüfung und eine synthetische Übermittlung in einer isolierten Testumgebung vereinbart werden; eine erfolgreiche Formularprüfung belegt nicht automatisch die Zustellung an ein reales Postfach. Bei einem Shop ist ein vereinbarter Test-Checkout von echten Bestellungen und Zahlungen zu trennen.

4. Backups

Nach der WordPress-Dokumentation gehören Datenbank und Dateien gemeinsam zu einer typischen vollständigen Sicherung. Ein Wartungsvertrag sollte deshalb nicht nur „tägliches Backup“ nennen, sondern mindestens klären:

• Was wird gesichert?
• Wie häufig und wie lange werden Stände aufbewahrt?
• Liegt mindestens eine Kopie getrennt vom Produktivsystem?
• Wer kann auf die Sicherungen zugreifen?
• Wie werden Fehler im Sicherungsprozess erkannt?
• Welche Änderungen könnten seit der letzten Sicherung verloren gehen?

Die passende Frequenz hängt davon ab, wie oft sich Inhalte, Bestellungen, Anfragen oder Konfigurationen ändern und wie viel Verlust das Unternehmen im Störungsfall akzeptieren kann.

5. Wiederherstellung

Ein vorhandenes Archiv ist noch kein Restore-Nachweis. Eine belastbare Vereinbarung beschreibt, wie eine Wiederherstellung vorbereitet, getestet und dokumentiert wird. Dazu gehören Dateien, Datenbank, Konfiguration, Zugänge und die Prüfung der zentralen Nutzerwege nach dem Restore.

Beim Vergleich sollten Unternehmen fragen:

• Wie oft findet ein realistischer Restore-Test statt?
• Erfolgt er isoliert oder auf dem Produktivsystem?
• Welche Prüfkriterien entscheiden über Erfolg oder Abbruch?
• Wer entscheidet, welcher Sicherungsstand verwendet wird?
• Welche Zeit- und Datenverlustziele werden tatsächlich zugesagt?

Begriffe wie RTO und RPO können dabei helfen. Entscheidend ist nicht das Kürzel, sondern eine verständliche, vertraglich eindeutige Definition.

6. Monitoring und Sicherheitsbetrieb

Site Health kann technische Hinweise zu WordPress, Plugins, Themes, PHP und Konfiguration liefern. Für einen geschäftskritischen Betrieb reicht dieser Einzelblick nicht. Relevant können außerdem Verfügbarkeit, Zertifikate, Hintergrundjobs, Fehlerlogs, Speichergrenzen, sicherheitsrelevante Ereignisse und zentrale Nutzerwege sein.

WordPress beschreibt Sicherheit als Risikoreduktion, nicht als vollständige Risikobeseitigung. Ein seriöses Angebot garantiert deshalb keine „hacksichere“ Website. Es benennt angemessene Kontrollen, Zuständigkeiten, Eskalationen und die Behandlung bekannter Schwachstellen.

Das gilt ebenso für unbekannte oder noch nicht behebbare Sicherheitslücken, kompromittierte Zugangsdaten, Lieferkettenrisiken in Plugins oder Themes und Schwachstellen in Hosting, Betriebssystem, Netzwerk oder weiterer Architektur. Der vereinbarte Umfang grenzt die betreuten Maßnahmen und Abhängigkeiten ab. Eigene Auswahl-, Konfigurations-, Prüf- und Eskalationspflichten bleiben dabei bestehen. Ein Fremdsystem oder eine unbekannte Lücke befreit nicht automatisch von Verantwortung für eigene Pflichtverletzungen.

7. Störungsannahme und Reaktion

„Support inklusive“ bleibt unklar, solange Kanal, Servicezeit, Priorität und Reaktionsbeginn nicht definiert sind. Ein brauchbarer Vertrag unterscheidet mindestens:

• Eingangsbestätigung: Wann ist die Meldung nachvollziehbar angenommen?
• Reaktionszeit: Wann beginnt eine qualifizierte Bearbeitung?
• Wiederherstellungsziel: Wann soll der wichtigste Dienst wieder nutzbar sein?
• Lösungszeit: Wann ist die Ursache dauerhaft beseitigt?

Diese Zeitpunkte sind nicht automatisch identisch. Auch Prioritätsstufen sollten an Auswirkungen geknüpft sein: Ein kompletter Ausfall einer umsatzrelevanten Strecke ist etwas anderes als ein Darstellungsfehler auf einer Unterseite.

Im Startumfang von HEAVY CAMPAIGNS sind keine festen Reaktions-, Wiederherstellungs- oder Lösungszeiten enthalten. Ein konkretes Zeitziel gilt nur, wenn Servicefenster, Priorität, Meldekanal, erforderliche Mitwirkung, Abhängigkeiten und Vergütung im individuellen Angebot oder Vertrag ausdrücklich festgelegt sind. Ohne eine solche Vereinbarung entsteht weder ein 24/7-Bereitschaftsdienst noch eine feste Wiederherstellungs- oder Lösungsfrist. Gesetzliche Sorgfalts- und Meldepflichten bleiben unberührt. Soweit HEAVY CAMPAIGNS als Auftragsverarbeiter tätig ist, sind bekannt gewordene Verletzungen des Schutzes personenbezogener Daten dem Verantwortlichen unverzüglich zu melden.

Automatische Prüfungen, menschliche Sichtung und die Bearbeitung einer Meldung sind unterschiedliche Leistungen. Messpunkte und Prüfrhythmus sowie Servicezeiten und Meldekanal sollten deshalb getrennt beschrieben werden. Automatisches Monitoring bedeutet keine ständig besetzte Leitstelle.

Ebenso muss klar sein, was nach einem Hinweis geschieht: erste Einordnung, Kundeninformation und Eskalation sind von vertiefter Analyse, Forensik und Wiederaufbau zu unterscheiden. Im HEAVY-CAMPAIGNS-Startumfang gehören die ersten drei Schritte innerhalb vereinbarter Servicezeiten zu den vereinbarten Prüfwegen. Weitergehende Arbeiten werden separat eingeordnet, soweit nicht enthalten. Bereits bestehende Leistungs- und gesetzliche Pflichten bleiben davon unberührt.

8. Änderungen, Inhalte und Weiterentwicklung

Laufende Wartung ist nicht automatisch ein unbegrenztes Entwicklungsbudget. Der Vertrag sollte erklären, ob kleinere Inhaltsänderungen, neue Funktionen, Designanpassungen, Tracking, SEO-Arbeit oder Schnittstellenänderungen enthalten sind. Für zusätzliche Arbeit braucht es einen transparenten Freigabe- und Preisweg.

9. Dokumentation und Reporting

Ein Monatsbericht ist nur nützlich, wenn er Entscheidungen unterstützt. Er sollte nicht mit einer langen Liste automatischer Meldungen beeindrucken, sondern zeigen:

• welche Änderungen umgesetzt wurden,
• welche Prüfungen bestanden oder blockiert waren,
• welche Ereignisse und Risiken Aufmerksamkeit brauchen,
• ob Backups und Restore-Nachweise aktuell sind,
• welche Verbesserung als Nächstes sinnvoll ist.

10. Übergabe und Vertragsende

Auch der Ausstieg gehört in einen belastbaren Vertrag. Zu klären sind Kündigungsfrist, Dokumentationsübergabe, Administratorzugänge, Quellcode, Lizenzen, Backups, offene Risiken und die Entfernung nicht mehr benötigter Zugänge. Der Kunde sollte seine Domain, Daten und geschäftskritischen Accounts kontrollieren können.

Was ein SLA konkret definieren sollte

SLA wird häufig als Qualitätsversprechen verwendet, ohne die Messung zu erklären. Vor der Unterschrift sollten Unternehmen mindestens diese Punkte verstehen:

1. Welche Servicezeiten gelten an Werktagen, Wochenenden und Feiertagen?
2. Über welchen Kanal muss eine Störung gemeldet werden?
3. Wann startet die Uhr und wann darf sie pausieren?
4. Wie werden Prioritäten nach geschäftlicher Auswirkung bestimmt?
5. Was bedeutet Reaktion, Workaround, Wiederherstellung und Lösung?
6. Welche Mitwirkung und Zugänge muss der Kunde bereitstellen?
7. Welche Drittanbieter- oder Hostingausfälle liegen außerhalb der Kontrolle?
8. Welche Eskalation greift, wenn ein Ziel nicht erreicht wird?
9. Wie werden Leistung und Ausnahmen dokumentiert?
10. Welche Rechtsfolgen oder Servicegutschriften gelten tatsächlich?

Die Antworten müssen zur Bedeutung der Website passen. Ein Informationsangebot mit seltenen Änderungen benötigt einen anderen Rahmen als ein Shop, ein Mitgliederportal oder eine internationale Lead-Plattform.

Wer eine ständig besetzte Bereitschaft oder feste Wiederherstellungsziele benötigt, muss die Eignung des konkreten Angebots vorab prüfen. Solche Anforderungen sind im HEAVY-CAMPAIGNS-Startumfang nicht enthalten und benötigen eine gesonderte Prüfung von Umfang und tatsächlich verfügbarer Kapazität.

Proaktiv und dauerhaft – ohne Sicherheitsgarantie

WordPress Care & Security ist als laufende Vorsorge einzuordnen. Der Nutzen liegt in einem aktuellen Inventar, kontrollierten Änderungen, der Beobachtung relevanter Signale, nachvollziehbaren Eskalationswegen und vorbereiteten Wiederherstellungsabläufen. Diese Arbeit kann Eintrittswahrscheinlichkeit, Auswirkung oder Dauer bestimmter Störungen reduzieren. Sie kann nicht garantieren, dass kein Angriff erfolgreich ist oder dass keine Daten verloren gehen.

Vor einer Beauftragung sollten deshalb auch die Grenzen eindeutig sein:

• keine Garantie vollständiger Sicherheit oder ununterbrochener Verfügbarkeit,
• keine Zusage, jede unbekannte Schwachstelle oder jeden Angriff vorab zu erkennen,
• keine feste Reaktions-, Wiederherstellungs- oder Lösungszeit ohne ausdrückliche Einzelvereinbarung,
• klar benannte Verantwortlichkeiten für eigene Maßnahmen, Kundensysteme und Drittanbieter; eigene Sorgfalts- und gesetzliche Pflichten bleiben bestehen,
• Mitwirkungspflichten des Kunden für Zugänge, Lizenzen, Hosting, Entscheidungen und koordinierte Änderungen,
• gesonderte Einordnung von Incident Response, Forensik, Wiederaufbau und Drittanbieterleistungen, soweit sie nicht ausdrücklich enthalten sind.

Leistungsbeschreibung, Angebot und Vertrag sollten diese Grenzen verständlich und übereinstimmend beschreiben. Die konkrete B2B-Haftungsregelung erfordert eine fachanwaltliche Prüfung. Ein Hinweis auf der Website ersetzt diese nicht.

Was kostet ein WordPress-Wartungsvertrag?

Eine belastbare Preisaussage braucht einen definierten Ausgangspunkt. Anzahl der Instanzen, WooCommerce, Mehrsprachigkeit, individuelle Plugins, Integrationen, Änderungsfrequenz, Servicezeiten und gewünschte Reaktionswege beeinflussen den Aufwand.

WordPress Care & Security von HEAVY CAMPAIGNS startet aktuell mit einem Onboarding ab 1.490 Euro netto und anschließend ab 790 Euro netto pro Monat für Geschäftskunden. Die dokumentierte Startkonfiguration umfasst eine Produktiv- und eine Staging-Instanz, kontrollierte Updates, täglich geplante und überwachte Sicherungsläufe, technisches Monitoring und eine dokumentierte quartalsweise Restore-Übung. Ob eine konkrete Wiederherstellung gelingt und wie lange sie dauert, hängt vom verfügbaren Sicherungsstand, der betroffenen Umgebung und der Störungsursache ab. Erweiterte Servicefenster, WooCommerce, Mehrsprachigkeit, zusätzliche Instanzen, individuelle Plugins und weitere Arbeiten werden separat eingeordnet.

Eine feste Reaktions-, Wiederherstellungs- oder Lösungszeit ist in dieser Startkonfiguration nicht enthalten. Solche Ziele werden – falls sinnvoll und leistbar – ausschließlich im individuellen Angebot für einen klar definierten Serviceumfang vereinbart.

Diese Angaben dienen der Orientierung. Verbindlich sind ausschließlich der im individuellen Angebot bestätigte Umfang, Preis, Rechtsträger und Servicelevel.

Zur Übernahme erhält das Kundenteam ein Systeminventar, Befunde und Prüflücken, eine Zuordnung der Verantwortlichkeiten und einen abgestimmten Betreuungsplan. Dieser konkretisiert Prüfstrecken, Sicherungsaufbewahrung und getrennte Kopie, Servicezeiten, Meldewege sowie die Übergabe bei Vertragsende. Der Monatsreport zeigt Änderungen, Prüfergebnisse, Sicherungsstatus und offene Entscheidungen. Die Leistungsseite erklärt, welche Informationen der Monatsreport enthält und wie er offene Entscheidungen unterstützt.

Checkliste vor der Unterschrift

• □Produktiv-, Staging- und weitere Umgebungen sind benannt.
• □Core, Themes, Plugins, PHP, Hosting und Integrationen haben klare Verantwortliche.
• □Updateklassen, Testweg und Rückfallpunkt sind beschrieben.
• □Dateien und Datenbank sind Teil der Sicherung.
• □Aufbewahrung, Speicherorte und Zugriffsrechte sind definiert.
• □Restore-Tests haben Rhythmus, Umfang und Erfolgskriterien.
• □Kritische Nutzerwege sind als Prüfpfade benannt.
• □Servicezeiten, Prioritäten und Reaktionsbeginn sind eindeutig.
• □Fremddienste, Lizenzen und ausgeschlossene Arbeiten sind sichtbar.
• □Änderungen außerhalb des Pakets haben einen Freigabe- und Preisweg.
• □Reporting zeigt Maßnahmen, Befunde, Nachweise und offene Risiken.
• □Übergabe, Zugänge und Datenhoheit sind auch für das Vertragsende geregelt.

Welcher nächste Schritt ist sinnvoll?

Website und Betreuungsbedarf prüfen lassen: Beschreiben Sie Ihre Website und den gewünschten Betreuungsumfang. Im nächsten Schritt werden Ausgangslage, passende Prüfstrecken und offene Anforderungen eingeordnet. Bitte keine Passwörter oder vertraulichen Unterlagen übermitteln.

Die Care-Leistungsseite zeigt Startumfang, Abgrenzungen und den Inhalt des Monatsreports. Der bestehende Insight WordPress-Wartung für Unternehmen erklärt das technische Betriebsmodell. Ist zunächst eine grundsätzliche Entscheidung zwischen Wartung, Stabilisierung und Relaunch nötig, wird eine passende Bestandsaufnahme gesondert eingeordnet.

Dieser Beitrag ist ein Beschaffungsleitfaden, keine Vertragsvorlage und keine Rechtsberatung. Er begründet weder eine Sicherheits- oder Verfügbarkeitsgarantie noch ein bestimmtes Servicelevel.