Website-Wartung 2026: warum sie zählt und was sie kostet

Was kostet Website-Wartung 2026?

Website-Wartung liegt bei uns zwischen 80 und 410 EUR im Monat, abhängig von Technologie, Umfang und vereinbarter Reaktionszeit. Wer lieber in Prozent rechnet: 15 bis 25 Prozent des Projektwerts pro Jahr. Bei einer Firmenwebsite für 4.000 EUR sind das 600 bis 1.000 EUR im Jahr.

Die Beträge stammen aus unserer veröffentlichten Preisliste, die in Forint geführt wird. Umgerechnet haben wir mit dem MNB-Mittelkurs von 1 EUR = 363,28 HUF (Stand 14.08.2026). Die EUR-Werte sind Richtwerte; maßgeblich ist der Kurs am Rechnungsdatum. Unsere aktuellen Sätze stehen dauerhaft auf der Preisseite.

Was den Preis bestimmt

• Die Technologie gibt den Rhythmus vor. Eine WordPress-Installation braucht wöchentliche Aufmerksamkeit, eine individuell gebaute Seite eher monatliche.
• Der Umfang skaliert nicht linear. Zehn Unterseiten und 5.000 Produkte sind zwei verschiedene Aufgaben, nicht dieselbe Aufgabe in zwei Größen.
• Jede Schnittstelle zu einem Fremdsystem ist ein zusätzlicher Bruchpunkt. Zahlungsdienstleister, CRM und Warenwirtschaft ändern ihre Schnittstellen nach ihrem Zeitplan, nicht nach Ihrem.
• Der Traffic bestimmt die Infrastruktur. 100 Besucher am Tag und 50.000 stellen unterschiedliche Anforderungen an Hosting und Überwachung.
• Bei Shops, im Gesundheitswesen und im Finanzbereich kommt Compliance-Aufwand hinzu. Der ist planbar, aber er ist nicht kostenlos.

Warum ist Wartung in Deutschland auch eine Rechtsfrage?

Weil mehrere Vorschriften einen laufenden Prozess verlangen und keinen einmaligen Zustand. Art. 32 Abs. 1 lit. d DSGVO fordert ausdrücklich ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit technischer Maßnahmen. Wer einmal absichert und danach nichts mehr prüft, erfüllt schon den Wortlaut nicht.

Das ist der Punkt, an dem sich deutsche Wartungsverträge von internationalen Vorlagen unterscheiden. Die relevanten Pflichten im Überblick:

• Art. 32 DSGVO verlangt ein dem Risiko angemessenes Schutzniveau und eben jenes Überprüfungsverfahren (dsgvo-gesetz.de).
• Art. 33 DSGVO gibt Ihnen 72 Stunden, um eine Verletzung des Schutzes personenbezogener Daten an die Aufsichtsbehörde zu melden. Ohne Protokolle und ohne saubere Backups können Sie in diesem Zeitfenster nicht einmal beantworten, welche Daten betroffen sind.
• Der Bußgeldrahmen nach Art. 83 Abs. 5 DSGVO reicht bis 20 Mio. EUR oder 4 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.
• Fällt Ihr Unternehmen unter das NIS2UmsuCG, das seit dem 06.12.2025 in Kraft ist und laut OpenKRITIS rund 30.000 Unternehmen betrifft, kommen Frühwarnung binnen 24 Stunden und Meldung binnen 72 Stunden nach Art. 23 der Richtlinie (EU) 2022/2555 hinzu. Details dazu auf unserer Seite zur NIS2-Umsetzung.
• § 25 TDDDG verlangt eine Einwilligung, bevor Informationen auf dem Endgerät gespeichert oder ausgelesen werden. Einwilligungsbanner altern schlecht: Jedes neu eingebundene Werkzeug bringt Skripte mit, die dann außerhalb der dokumentierten Einwilligung laufen.
• Das Barrierefreiheitsstärkungsgesetz gilt seit dem 28.06.2025 und setzt die Richtlinie (EU) 2019/882 um. Für Shops ist Barrierefreiheit damit ein Dauerzustand, kein Projektabschluss.
• § 147 AO verlangt für Buchungsbelege eine geordnete Aufbewahrung über acht Jahre. Ein rollierendes Backup, das nach 30 Tagen überschreibt, ist kein Archiv.

Was gehört monatlich, quartalsweise und jährlich dazu?

Wartung besteht aus drei Takten. Monatlich laufen Updates, Backups und Messungen. Quartalsweise kommen Prüfungen dazu, die Zeit brauchen und nicht dringend wirken: SEO-Technik, Schwachstellenscan, Rechte. Jährlich steht die Frage an, ob die Technologie noch trägt.

Monatlich: Updates, Backups, Messungen

Sicherheitsupdates sind der Kern. Jede Komponente bekommt Korrekturen: das CMS, das Framework, die Serversoftware, die eingebundenen Bibliotheken. Bei WordPress ist jedes Plugin fremder Code, der im selben Prozess läuft wie Ihre Seite, und der Aktualisierungstakt richtet sich nach dem langsamsten Betreuer im Stapel. Deshalb gehört nach jedem Update ein Test dazu, und zwar zuerst auf einer Staging-Umgebung.

Bei der Geschwindigkeit sind die Zielwerte öffentlich dokumentiert, Sie müssen sie nicht schätzen. Google nennt für die Core Web Vitals eine LCP von höchstens 2,5 Sekunden, eine INP von höchstens 200 Millisekunden und eine CLS von höchstens 0,1 (web.dev/articles/vitals); als guter TTFB-Wert gelten 0,8 Sekunden (web.dev/articles/ttfb). Verschlechtern sich die Werte, greifen Bildoptimierung, Cache-Konfiguration, Reduktion von JavaScript oder eine CDN-Anpassung.

Dazu kommt die Überwachung der Erreichbarkeit. Werkzeuge wie UptimeRobot oder Datadog prüfen minütlich und melden per Slack oder SMS, wenn die Seite nicht antwortet, die Antwortzeit ausreißt oder das Zertifikat bald abläuft. Für den Wartungsvertrag relevant: Auch Monitoring-Anbieter verarbeiten Daten. Prüfen Sie den Verarbeitungsort, bevor Sie ein Werkzeug einführen.

Quartalsweise: SEO-Technik, Schwachstellen, Rechte

• Technisches SEO-Audit: defekte Links, 404-Seiten, Weiterleitungsketten, doppelte Inhalte, fehlerhafte strukturierte Daten.
• Inhaltsprüfung: welche Seiten Nachfrage bedienen, welche zusammengelegt gehören und welche ersatzlos verschwinden können.
• Schwachstellenscan gegen bekannte Lücken, dazu eine Sichtung der Anmeldeversuche und der vergebenen Benutzerrechte.
• Prüfung der Firewall-Regeln und der Zugänge ehemaliger Dienstleister. Dieser Punkt wird fast immer vergessen.

Jährlich: Zertifikate, Recht, Technologie

Die Domain zu verlängern klingt trivial, bis sie es nicht mehr ist. Beim TLS-Zertifikat hat sich die Lage 2026 verschärft: Seit dem 15.03.2026 dürfen öffentlich vertrauenswürdige Zertifikate maximal 200 Tage laufen, ab dem 15.03.2027 sind es 100 Tage, ab dem 15.03.2029 noch 47 (CA/Browser Forum, Ballot SC-081v3, Terminplan zitiert nach DigiCert). Manuelle Erneuerung fällt damit als Verfahren aus. Wie die Automatisierung aussieht, steht im Leitfaden zum SSL-Zertifikat.

Die jährliche Rechtsprüfung deckt Impressum, Datenschutzerklärung, Einwilligungsverwaltung und Barrierefreiheit ab. Die technische Bewertung beantwortet vier Fragen: Läuft eine Komponente auf ihr Supportende zu? Passt der Hosting-Tarif noch zum Traffic? Ist die Seite mit den aktuellen Browserversionen kompatibel? Und lohnt sich die nächste Ausbaustufe überhaupt noch auf diesem Unterbau?

Ist WordPress teurer in der Wartung als eine individuelle Website?

Pro Monat ist WordPress meist günstiger, über das Jahr gerechnet oft nicht. Der Monatspreis sagt wenig aus. Entscheidend ist die Zahl der Eingriffe pro Jahr, und die liegt bei einer Plugin-lastigen WordPress-Seite deutlich höher als bei einer individuell gebauten Anwendung.

Bei WordPress ist die Pflege des Plugin-Bestands die eigentliche Arbeit. Jedes Update kann eine Funktion brechen, deshalb braucht jede Änderung einen Test. Wer das ernst nimmt, arbeitet mit einer Staging-Umgebung und spielt erst danach in den Livebetrieb. Wer es nicht ernst nimmt, merkt den Bruch am Montagmorgen im Bestellformular. Unsere Empfehlung für bestehende Installationen steht auf der Seite zur Website im Monatsabo.

Bei individueller Entwicklung ist der Alltag ruhiger und der Ausschlag seltener, dafür heftiger. Ein Framework-Sprung über eine Hauptversion ist Projektarbeit, kein Wartungsposten. Planen Sie ihn alle zwei bis drei Jahre ein, statt ihn zu verdrängen.

Was kostet ein Sicherheitsvorfall wirklich?

Eine belastbare deutsche Erhebung zu Vorfallskosten speziell für Websites mittelständischer Unternehmen ist öffentlich nicht verfügbar. Wir schätzen deshalb offen statt eine fremde Zahl zu zitieren. Grundlage ist der Medianstundensatz von 95 EUR für IT-Freelancer im DACH-Raum aus dem Freelancer-Kompass 2026.

Die Summe der bezifferbaren Posten liegt bei rund 5.000 bis 26.000 EUR. Wichtiger als die Spanne ist der Vergleich: Der obere Wert entspricht etwa sechs Jahren Premium-Wartung. Der untere Wert entspricht etwa fünf Jahren Basis-Wartung. Und der Bußgeldrahmen aus Art. 83 DSGVO steht daneben noch unberührt im Raum.

Zur beliebten Zahl, eine ungepflegte Seite entwickle binnen 14 Monaten eine kritische Lücke: Dafür haben wir keine überprüfbare Quelle gefunden. Wir schreiben sie deshalb nicht. Überprüfbar ist etwas anderes, und das genügt als Argument: Angriffe auf Websites nutzen weit überwiegend Lücken, für die längst ein Patch existiert. Das Zeitfenster zwischen Veröffentlichung des Patches und Ihrem Einspielen ist die eigentliche Risikogröße.

Welche SLA-Stufen sind sinnvoll?

Ein Wartungsvertrag ohne Reaktionszeiten ist eine Absichtserklärung. Die folgenden Stufen sind der Marktstandard, an dem wir uns orientieren. Prüfen Sie vor der Unterschrift, ob die Zeiten in Arbeitsstunden oder in Kalenderstunden gelten. Der Unterschied entscheidet über das Wochenende.

Für eine Broschüren-Website ist der Aufpreis auf zwei Stunden Reaktionszeit selten gerechtfertigt. Für einen Shop, bei dem jede Stunde Ausfall direkt Bestellungen kostet, rechnet sich der Unterschied häufig schon beim ersten Vorfall.

Woran erkennen Sie, dass die Wartung wirkt?

An einem monatlichen Bericht, der Zahlen enthält statt Tätigkeiten. Ein Protokoll mit dem Satz, es seien Updates eingespielt worden, beweist nichts. Ein Bericht mit Verfügbarkeitsquote, Ladezeitwerten, Zahl der geschlossenen Schwachstellen und dem Datum der letzten erfolgreichen Rückspielprobe beweist etwas.

Diese fünf Angaben verlangen wir selbst von jedem Dienstleister, mit dem wir zusammenarbeiten, und liefern sie umgekehrt an unsere Auftraggeber:

• Verfügbarkeit im Berichtsmonat in Prozent, gemessen von außen, nicht aus dem Serverlog.
• LCP, INP und CLS aus Felddaten, nicht aus einer Labormessung auf dem Entwicklerrechner. Labordaten sehen immer besser aus.
• Zahl der eingespielten Sicherheitsupdates und die höchste Kritikalität darunter.
• Datum der letzten Rückspielprobe und Dauer der Wiederherstellung in Minuten. Ein Backup, das nie zurückgespielt wurde, ist eine Vermutung.
• Offene Punkte mit Aufwandsschätzung, damit Sie entscheiden können statt informiert zu werden.

Wenn ein Anbieter diese Angaben nicht liefern kann, misst er nicht. Dann bezahlen Sie Anwesenheit statt Wirkung, und das fällt erst beim ersten Vorfall auf.

Rechnet sich Wartung gegenüber einem Neubau?

Nicht automatisch, und die übliche Rechnung in Werbetexten hält der Prüfung nicht stand. Drei Jahre Basis-Wartung kosten rund 4.000 EUR. Eine neue Firmenwebsite kostet bei uns 2.200 bis 4.100 EUR. In reinen Beträgen ist Wartung damit nicht der günstigere Weg.

Der Unterschied liegt woanders. Während der Wartung arbeitet die Seite weiter und bringt Anfragen. Ein Neubau setzt Inhalte, interne Verlinkung und einen Teil der Sichtbarkeit zurück, und die Erholung dauert Monate. Dazu kommt der Vorfall, der bei gepflegten Systemen seltener eintritt. Genau dort entsteht der wirtschaftliche Vorteil, nicht im Vergleich der Rechnungsbeträge. Die Preise für einen Neubau stehen im Beitrag zu Website-Kosten 2026.

Wann ist ein Neubau die bessere Entscheidung?

Wartung hält ein funktionierendes System am Laufen. Sie repariert keine falsche Grundlage. Ab einem bestimmten Punkt zahlen Sie monatlich dafür, einen Zustand zu konservieren, den Sie ohnehin ablösen müssen.

Technische Signale

• Das CMS oder Framework erhält keine Sicherheitsupdates mehr.
• Der Technologiestapel ist so alt, dass sich kaum noch jemand findet, der damit arbeiten will. Das ist ein Kostenfaktor, kein Geschmacksurteil.
• Die Seite ist nicht responsiv, und die Nachrüstung kostet mehr als ein Neubau.
• Die Ladezeit liegt über fünf Sekunden und lässt sich auf diesem Unterbau nicht wesentlich verbessern.

Geschäftliche Signale

• Die Konversionsrate sinkt dauerhaft, und Inhaltsarbeit ändert daran nichts.
• Sie brauchen Funktionen, die auf der bestehenden Grundlage nicht umsetzbar sind.
• Positionierung und Auftritt haben sich deutlich verändert.
• Die Seite erfüllt geltende Anforderungen an Einwilligung und Barrierefreiheit nicht, und die Nachbesserung berührt die Struktur.

Selbst warten oder vergeben?

Selbst machen funktioniert bei einer einfachen WordPress-Seite mit wenigen Plugins, technischem Grundverständnis im Haus und ohne direkte Umsatzrelevanz. Sobald Zahlungen, personenbezogene Daten oder individuell entwickelter Code im Spiel sind, brauchen Sie jemanden mit Bereitschaftszeit.

Die Rechnung ist unspektakulär: Der Stundensatz einer Störung am Sonntagabend liegt über dem Monatspreis der Vorsorge, und Sie verhandeln ihn im schlechtesten Moment. Vorsorge ist planbar, Notfallhilfe nicht.

Worauf Sie im Wartungsvertrag achten sollten

• Wartung ist rechtlich in aller Regel ein Dienstvertrag nach § 611 BGB, geschuldet wird sorgfältiges Tätigwerden. Ein konkretes Ergebnis, etwa ein Relaunch-Modul, gehört als Werkvertrag nach § 631 BGB in eine eigene Vereinbarung mit Abnahme.
• Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ist Pflicht, sobald der Dienstleister Zugriff auf personenbezogene Daten hat. Beim Serverzugang ist das praktisch immer der Fall. Die Liste der Unterauftragsverarbeiter gehört dazu.
• Klären Sie den Verarbeitungsort. Laut Bitkom Cloud Report 2026 (603 befragte Unternehmen ab 20 Beschäftigten) halten 98 Prozent der deutschen Unternehmen die Herkunft des Anbieters für relevant, 68 Prozent bevorzugen einen EU-Anbieter. Wir arbeiten aus Budapest, in derselben Zeitzone und im selben Rechtsrahmen.
• Lassen Sie sich Repository-Zugang und Rechte am Quellcode schriftlich geben. Ohne diesen Punkt ist ein Anbieterwechsel teuer, unabhängig davon, wie gut das Verhältnis heute ist.

Wartungs-Checkliste für 2026

Wöchentlich

• Erreichbarkeitsberichte sichten
• Auffällige Anmeldeversuche prüfen
• Backup-Läufe auf Erfolg kontrollieren

Monatlich

• CMS-, Plugin- und Framework-Updates einspielen und testen
• Core Web Vitals gegen die Schwellenwerte prüfen
• Defekte Links und 404-Seiten suchen
• Zertifikatslaufzeit und Domain-Ablauf kontrollieren
• Serverauslastung und Speicherplatz bewerten
• Inhaltspflege im vereinbarten Umfang

Quartalsweise

• Technisches SEO-Audit
• Schwachstellenscan und Rechteprüfung
• Rückspielprobe aus dem Backup, dokumentiert
• Inhaltsleistung auswerten, Seiten zusammenlegen oder entfernen
• Nutzungsanalyse mit Heatmap oder Sitzungsaufzeichnung

Jährlich

• Domain und Zertifikate verlängern beziehungsweise automatisieren
• Technologiebewertung inklusive Supportende der Komponenten
• UX-Prüfung an den Konversionspfaden
• Rechtsprüfung: Impressum, Datenschutzerklärung, Einwilligung nach § 25 TDDDG, Barrierefreiheit nach dem BFSG
• Zugänge ehemaliger Dienstleister entziehen

Zusammenfassung und häufige Fragen

Wenn Sie wissen möchten, in welchem Zustand Ihre Seite tatsächlich ist, schicken Sie uns die URL. Wir prüfen Updatestand, Backups, Zertifikat, Core Web Vitals und die rechtlichen Pflichtangaben und melden uns mit einer konkreten Liste zurück: Bestandsaufnahme anfordern.