Website-Wartung: was nach dem Livegang dauerhaft zu tun ist

Eine Website ist mit dem Livegang nicht fertig, sie geht in Betrieb. Von diesem Moment an ist sie das, was sie technisch immer schon war: laufende Software auf einem Server, mit Abhängigkeiten, Zertifikaten, Zugängen und rechtlichen Pflichten, die alle ein Verfallsdatum haben. Eine Seite, die zwei Jahre lang niemand angefasst hat, sieht am letzten Tag noch aus wie am ersten. Sie ist trotzdem eine andere: veraltete Komponenten, ein still abgelaufenes Zertifikat, ein Einwilligungsdialog auf dem Rechtsstand von gestern, ein Backup, das noch nie zurückgespielt wurde.

Website-Wartung ist der wiederkehrende Prozess, der genau diesen Stillstand verhindert. Diese Seite beschreibt, welche Bereiche dazugehören, in welchen Intervallen sie anfallen, wie eine Prüfliste für den laufenden Betrieb aussieht, was in einem Wartungsvertrag geregelt sein muss und wo Wartung endet und Support beginnt.

Warum eine Website ohne Wartung altert

Der Verfall findet an vier Stellen gleichzeitig statt, und keine davon ist im Frontend sichtbar.

Die Softwarebasis läuft aus. Eine PHP-Version erhält zwei Jahre lang aktive Unterstützung und danach ein weiteres Jahr ausschließlich kritische Sicherheitsupdates. Danach gibt es keine Korrekturen mehr, auch nicht für schwerwiegende Lücken. Wer nicht mitzieht, betreibt seine Seite auf einer Basis, die niemand mehr repariert.

Die Angriffsfläche wächst mit den Erweiterungen. Die jährlichen Auswertungen von Patchstack zeigen, dass Sicherheitslücken in WordPress-Installationen ganz überwiegend Plugins und Themes betreffen, nicht den Core. Wartung ist deshalb selten eine Frage des Systems selbst, sondern eine Frage der Erweiterungen, die im Laufe der Jahre dazugekommen sind und oft niemandem mehr gehören.

Der Rechtsstand ändert sich unter der bestehenden Seite. Die Einwilligungspflicht für das Speichern von Informationen auf Endgeräten steht seit Mai 2024 in § 25 TDDDG, das das TTDSG abgelöst hat. Eine Seite, deren Texte und Einwilligungsdialog auf dem Stand davor stehen, ist nicht falsch gebaut. Sie ist nur nicht nachgeführt worden.

Die Messgrößen ändern sich ebenfalls. Google hat im März 2024 First Input Delay durch Interaction to Next Paint als Core Web Vital ersetzt. Wer weiter den alten Wert beobachtet, misst etwas, das keine Rolle mehr spielt.

Die fünf Bereiche der Wartung

Updates

Der Kern eines Update-Prozesses ist die Unterscheidung zwischen dem, was von allein passiert, und dem, was jemand entscheiden muss. WordPress verteilt seit Version 3.7 Wartungs- und Sicherheitsreleases des Cores automatisch im Hintergrund. Automatische Updates für einzelne Plugins und Themes lassen sich erst seit WordPress 5.5 im Backend aktivieren, und sie sind standardmäßig ausgeschaltet. Genau dort, wo laut Patchstack die meisten Lücken sitzen, passiert also ohne bewusste Entscheidung nichts.

Ein belastbarer Update-Prozess besteht aus wenigen, aber festen Bestandteilen:

• eine gepflegte Liste aller eingesetzten Erweiterungen samt Zweck und Verantwortlichkeit,
• eine Entscheidung pro Erweiterung, ob sie automatisch oder kontrolliert aktualisiert wird,
• eine Testumgebung für alles, was Layout, Formulare oder Schnittstellen berührt,
• ein jährlicher Blick auf die PHP-Version des Hostings,
• das konsequente Aussortieren von Erweiterungen, die niemand mehr braucht. Deaktivierte Plugins sind installierte Plugins.

Backups

Ein Backup ist erst dann ein Backup, wenn es einmal zurückgespielt wurde. Als Mindestanspruch gilt die 3-2-1-Regel: drei Kopien der Daten auf zwei verschiedenen Medien, davon eine an einem anderen Standort. Für eine Website heißt das konkret: Datenbank und Dateien getrennt sichern, nicht nur auf demselben Server ablegen, auf dem auch die Seite läuft, und eine Aufbewahrungsdauer festlegen, die länger ist als der Zeitraum, in dem ein Schaden unbemerkt bleiben kann. Eine Kompromittierung, die erst nach drei Wochen auffällt, nützt einem Backup-Bestand von sieben Tagen nichts.

Der Wiederherstellungstest gehört in ein festes Intervall, nicht in den Ernstfall.

Sicherheit

Sicherheit im laufenden Betrieb ist überwiegend Routine, nicht Spezialwissen:

• Zertifikate. TLS-Zertifikate von Let’s Encrypt sind 90 Tage gültig, die Erneuerung wird nach 60 Tagen automatisiert empfohlen. Wichtig ist nicht nur, dass die Automatik eingerichtet ist, sondern dass ihr Fehlschlagen jemandem auffällt.
• Zugänge. Wer hat Administratorrechte, und braucht diese Person sie noch? Ausgeschiedene Dienstleister und ehemalige Mitarbeitende bleiben in Benutzerlisten erstaunlich lange stehen.
• Meldungen von außen. Die Google Search Console meldet erkannte Sicherheitsprobleme und manuelle Maßnahmen an die verifizierten Inhaber einer Property. Das funktioniert nur, wenn die Property verifiziert ist und die hinterlegte Adresse tatsächlich gelesen wird.
• Dateiebene. Unerwartete Änderungen im Dateisystem oder im Adminbereich sind das erste sichtbare Zeichen einer Kompromittierung.

Monitoring

Wartung ohne Messung ist Vermutung. Überwacht gehören mindestens die Erreichbarkeit der Seite, das Verhalten der Formulare, die Fehlerseiten und die Ladeperformance. Für die Performance sind die Core Web Vitals der praktikable Maßstab, seit März 2024 mit Interaction to Next Paint anstelle von First Input Delay. Ergänzend zeigt die Search Console, ob Seiten weiterhin indexiert werden oder ob nach einem Update ganze Bereiche aus dem Index verschwunden sind.

Der Sinn des Monitorings ist nicht das Dashboard, sondern die Benachrichtigung. Ein Ausfall, den man beim nächsten geplanten Termin bemerkt, war zu lange ein Ausfall.

Rechtliche Aktualität

Der rechtliche Teil der Wartung ist weniger anlassbezogen, als viele annehmen. Art. 32 Abs. 1 lit. d DSGVO verlangt ausdrücklich ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit technischer und organisatorischer Maßnahmen. Regelmäßige Prüfung ist damit kein guter Vorsatz, sondern Teil der Pflicht.

Praktisch gehören dazu: die Aktualität von Impressum und Datenschutzerklärung, ein vollständiges Verzeichnis der eingebundenen Drittdienste, die Frage, ob der Einwilligungsdialog dem Stand von § 25 TDDDG entspricht, und die Kontrolle, ob wirklich nichts geladen wird, bevor eingewilligt wurde. Der häufigste Fehler ist nicht der fehlende Dialog, sondern ein Skript, das ihn ignoriert, weil es später über ein Plugin dazugekommen ist.

Wartungsintervalle: was wann anfällt

Die Intervalle sind kein Naturgesetz. Eine Seite mit Shopfunktion, Formularstrecken oder angebundenen Systemen braucht engere Takte als eine reine Informationsseite, weil dort mehr Teile gleichzeitig kaputtgehen können.

Prüfliste für den laufenden Betrieb

Vor jedem Wartungslauf:

1. Aktuelles Backup von Datenbank und Dateien erstellen und dessen Existenz prüfen.
2. Anstehende Updates sichten und in kritisch, unkritisch und riskant einteilen.
3. Riskante Updates zuerst in der Testumgebung einspielen.

Nach jedem Wartungslauf:

4. Startseite, wichtigste Unterseiten und mindestens ein Formular manuell aufrufen.
5. Suchfunktion, Navigation und Sprachumschaltung testen, falls vorhanden.
6. Fehlerprotokoll des Servers auf neue Einträge prüfen.
7. Ergebnis dokumentieren: Datum, eingespielte Versionen, Auffälligkeiten, offene Punkte.

Zusätzlich im größeren Takt:

8. Backup testweise in eine separate Umgebung zurückspielen.
9. Zertifikatslaufzeit und Erneuerungsautomatik kontrollieren.
10. Benutzerkonten und Rechte bereinigen.
11. Eingebundene Drittdienste mit der Datenschutzerklärung abgleichen.

Was in einem Wartungsvertrag stehen sollte

Ein Wartungsvertrag ist vor allem eine Zuständigkeitsregelung. Er wird typischerweise als monatliche Pauschale abgerechnet, deren Höhe sich aus dem vereinbarten Leistungsumfang und den Reaktionszeiten ergibt, nicht aus der Größe der Seite allein.

Leistungsumfang. Welche Systeme sind eingeschlossen, welche Erweiterungen, welche Umgebungen? Gehört das Hosting dazu oder nur die Anwendung? Sind Testumgebung und Wiederherstellungstest Teil der Leistung? Ein Umfang, der nur „Updates" sagt, führt zuverlässig zu Streit über den Rest.

Intervalle und Zeitpunkte. Wie oft wird gewartet, und in welchem Zeitfenster? Für Seiten mit Bestellprozess ist die Wartungszeit selbst eine Vereinbarung wert, denn ein Update zur falschen Uhrzeit kann mehr kosten als es behebt.

Reaktionszeiten. Sinnvoll ist eine Staffelung nach Schweregrad: Ausfall der gesamten Seite, Ausfall einer geschäftskritischen Funktion, kosmetischer Fehler. Zu jeder Stufe gehören eine zugesagte Reaktionszeit, die Servicezeiten, in denen sie gilt, und ein definierter Meldeweg. Eine Reaktionszeit ohne Servicezeit ist keine Zusage.

Reporting. Ein Wartungsbericht sollte nachvollziehbar machen, was passiert ist: eingespielte Versionen, festgestellte Probleme, durchgeführte Tests, offene Empfehlungen, Ergebnis des letzten Wiederherstellungstests. Erst der Bericht macht Wartung überprüfbar. Er ist zugleich der Nachweis, der auf das von Art. 32 Abs. 1 lit. d DSGVO geforderte Überprüfungsverfahren einzahlt.

Abgrenzung nach oben. Genauso wichtig ist, was nicht enthalten ist. Neue Funktionen, neue Seitenbereiche, gestalterische Überarbeitungen und der Umbau auf ein anderes System sind Projekte, keine Wartung. Wartung hält den bestehenden Zustand betriebsfähig. Sobald der Zielzustand ein anderer ist als der bisherige, beginnt ein Projekt mit eigenem Umfang und eigener Kalkulation.

Wartung oder Support: wo die Grenze liegt

Beide Leistungen werden oft in einen Topf geworfen, obwohl sie unterschiedlicher Logik folgen.

Die Trennung ist nicht akademisch. Wartung lässt sich pauschalieren, weil ihr Aufwand vorhersehbar ist. Support lässt sich das nur, wenn ein Kontingent vereinbart wird, sonst wird die Pauschale entweder für den Auftraggeber teuer oder für den Dienstleister unhaltbar. Wer Redaktionsarbeit, Inhaltsänderungen und Schulungsfragen erwartet, sollte sie ausdrücklich als Support-Kontingent vereinbaren, statt zu hoffen, dass sie unter Wartung mitlaufen.

Zuständigkeit klären, bevor etwas ausfällt

Managed Hosting deckt in der Regel Server, Betriebssystem und teilweise die Zertifikate ab. Die Anwendung selbst, ihre Erweiterungen, die Inhalte und der rechtliche Stand liegen fast nie beim Hoster. Genau in dieser Lücke bleiben Seiten jahrelang ungewartet, weil alle Beteiligten den jeweils anderen für zuständig halten.

Der praktikable Einstieg ist deshalb eine Bestandsaufnahme, keine Vertragsunterschrift: eingesetztes System und Version, Liste der Erweiterungen, PHP-Version, Zertifikat und Erneuerungsweg, vorhandene Backups samt letztem erfolgreichen Test, alle Zugänge mit Inhabern, eingebundene Drittdienste. Aus dieser Liste ergibt sich der tatsächliche Wartungsbedarf, und daraus ergibt sich, was ein Wartungsvertrag abdecken muss. Für Betreiber in Hannover und Umgebung gilt dabei dasselbe wie überall: entscheidend ist nicht die Nähe des Dienstleisters, sondern dass für jeden Punkt dieser Liste ein Name danebensteht.