Ein Wartungsvertrag ab 14 Euro im Monat klingt günstig, vier Update-Runden im Jahr vom Entwickler auch. Teuer wird es meist an einer anderen Stelle: beim Vorfall, den keiner der beiden verhindert hat.
Julian Bräucker Stand: ca. 9 Minuten Lesezeit Website-Wartung kostet je nach Angebot zwischen 14 und 300 Euro im Monat, vier Update-Runden im Jahr vom Entwickler je nach Website 900 bis über 3.600 Euro im Jahr. Beide Zahlen sagen wenig, solange offen ist, was dafür passiert.
Die eigentlichen Kosten entstehen beim Vorfall: der gehackten Website, dem Update, das am Freitagabend alles lahmlegt, dem Shop, der zwei Tage keine Bestellungen annimmt. Gute Wartung ist deshalb nicht die billigste, sondern die, die solche Vorfälle verhindert oder in Minuten rückgängig macht.
Drei grobe Gruppen öffentlicher Angebote für WordPress-Wartung, beobachtet 2025/26, keine repräsentative Erhebung.
Ein ordentlicher Update-Durchgang ist mehr als ein Klick auf „Plugins aktualisieren“.
| Website | Stunden pro Durchgang |
|---|---|
| Kleine WordPress-Website | 2 bis 3 h |
| WordPress mit WooCommerce oder Page-Builder | 3 bis 5 h |
| Shopware 6, kleinere Updates | 6 bis 8 h |
WordPress: meine Schätzung aus der Praxis. Shopware: sechs bis acht Stunden für ein durchschnittliches Update laut der Agentur web-grips (2024), ohne den Aufbau einer Testkopie. Größere Shopware-Updates brauchen eher ein bis drei Arbeitstage.
Freiberufliche Softwareentwickler in Deutschland liegen laut freelancermap (Auswertung der Profile 2026) im Median bei 90 Euro pro Stunde, der Durchschnitt aller Freelancer lag 2025 bei 104 Euro. Shopware-Agenturen berechnen 110 bis 180 Euro.
| Website | Rechnung | Pro Jahr | Pro Monat |
|---|---|---|---|
| Kleine WordPress-Website | 4 × 2,5 h × 90 € | 900 € | 75 € |
| WordPress mit WooCommerce | 4 × 4 h × 100 € | 1.600 € | 133 € |
| Shopware 6 | 4 × 7 h × 130 € | 3.640 € | 303 € |
Pro Update-Durchgang weniger als zwei Entwicklerstunden, und jeder ist vorher getestet.Kostet in der Regel so viel wie vier Runden von Hand, aktualisiert aber dreimal so oft und prüft jedes Update vorher auf der Kopie.Günstiger als vier Update-Runden im Jahr bei einer Agentur, und monatlich statt quartalsweise.
Eine Woche lang leitete die Website auf Casinoseiten um. Fünf Websites auf demselben Server waren befallen, die Backups des Hosters auch.Eine Woche lang leitete die Website auf Casinoseiten um. Fünf Websites auf demselben Server waren befallen, die Backups des Hosters auch.Wochenlang wurden im Checkout Kreditkartendaten mitgeschnitten, über eine veraltete Erweiterung. Gemeldet hat es die Bank.
Fallbeispiel ansehen Fallbeispiel ansehen Fallbeispiel ansehenBeispielrechnung: 2 bis 3 Stunden je Runde inklusive Backup, Updates, Durchklicken und kleiner Korrekturen, Median-Stundensatz freier Entwickler 90 €. Beispielrechnung: 3 bis 5 Stunden je Runde für WordPress mit WooCommerce oder Page Builder, 100 € je Stunde. Beispielrechnung: 6 bis 8 Stunden je Runde für Minor-Updates (Schätzung einer Agentur), Agentursatz 130 €. Vorfallkosten: Beispielrechnung aus dem Fallbeispiel, ohne Umsatzverlust. Quellen: freelancermap 2025, Patchstack 2026.
Dazu kommen bei Shopware große Versionssprünge, die eigene Projekte sind. Und vier Durchgänge im Jahr sind für die Sicherheit zu wenig.
Wer einmal im Quartal aktualisiert, lässt eine neu bekannt gewordene Lücke im Schnitt 45 Tage offen, im ungünstigsten Fall fast 90. Ein günstiger Wartungsvertrag mit seltenen Updates spart an der falschen Stelle.
Sicherheitsupdates gehören innerhalb weniger Tage eingespielt. Ungetestet sind sie selbst ein Risiko, also braucht es einen schnellen Test.
Quelle: Patchstack, State of WordPress Security in 2026 (Auswertung 2025)
Zwei typische Verläufe, zusammengesetzt aus realen Vorfällen. Die Zahlen sind Beispielrechnungen mit den genannten Annahmen.
Ein Plugin-Update bleibt bis zum nächsten Wartungstermin liegen. Am nächsten Tag legt ein automatisierter Angriff eine Hintertür ab, eine Woche lang werden Besucher vom Handy aus auf Glücksspielseiten umgeleitet. Bemerkt wird es durch eine Kundin, inzwischen sind weitere Websites auf demselben Server befallen und die Backups des Hosters reichen nicht weit genug zurück.
| Posten | Annahme | Betrag |
|---|---|---|
| Erste forensische Analyse | extern | 3.000 bis 8.000 € |
| Bereinigung | 5 Websites × 300 bis 800 € | 1.500 bis 4.000 € |
| Neuaufbau und Härtung | 16 bis 30 h × 90 bis 120 € | 1.440 bis 3.600 € |
| Datenschutzprüfung | 5 bis 15 h × 150 bis 250 € | 750 bis 3.750 € |
| Eigene Arbeitszeit | 20 bis 40 h × 50 € | 1.000 bis 2.000 € |
| Summe | ohne entgangene Anfragen | 7.690 bis 21.350 € |
Vierzehn Updates auf einmal, danach meldet die Website nur noch einen kritischen Fehler. Am Wochenende ist niemand erreichbar, Anfragen über das Kontaktformular gehen ins Leere, am Montag folgt ein Notfalleinsatz.
Zum Vergleich: Ein einziger Vorfall wie der erste kostet so viel wie viele Jahre vierteljährlicher Updates von Hand.
Was davon fehlt, bezahlen Sie im Ernstfall extra.
Werden Updates vor dem Livegang auf einer Kopie geprüft oder direkt auf der Live-Website eingespielt?
Was genau wird nach einem Update geprüft? Formulare, Checkout, mobile Ansicht?
Wie schnell lässt sich ein fehlerhaftes Update zurücknehmen, für die ganze Website, nicht nur ein Plugin?
Wie schnell reagiert jemand, wenn die Website ausfällt oder gehackt wurde, auch am Wochenende?
Wie schnell werden kritische Lücken geschlossen, unabhängig vom normalen Rhythmus?
Liegt eine Sicherung an einem zweiten Ort, falls das Hosting-Konto selbst betroffen ist?
Wer hat Zugang zu Website und Server, und ist nachvollziehbar, wer was geändert hat?
Erfahren Sie regelmäßig, was aktualisiert wurde und was die Prüfungen gefunden haben?
Der Doppelgänger kostet eine monatliche Pauschale, individuell nach Umfang, dazu eine einmalige Einrichtung. Ein konkretes Angebot gibt es nach einem kurzen Gespräch.
Ihre Website auf einem eigenen Server in Deutschland. Jedes Update wird dort geprüft, bevor es live geht.
Jeder Release ist eine eigene Version. Zurück zum vorherigen Stand geht es in Sekunden.
Erreichbarkeit, Ladezeiten, bekannte Schwachstellen, Server, Dateien, Plugins und Inhalte der Live-Website.
Eine unabhängige, verschlüsselte Sicherung zusätzlich zum Backup Ihres Hosters.
Bei einer WordPress-Website mit monatlichen oder 14-täglichen Updates kostet ein geprüfter Durchgang weniger als zwei Entwicklerstunden.
Bei einem Shopware-Shop kostet der Doppelgänger mit monatlichen Updates weniger als vier Update-Runden im Jahr von Hand bei einer Agentur.
Öffentliche Angebote liegen zwischen etwa 14 und 35 Euro im Monat für reine Plugin-Update-Dienste, 30 bis 80 Euro bei Freelancern und 100 bis 300 Euro bei Agenturen (Beobachtung öffentlicher Angebote 2025/26). Wichtiger als der Preis ist, was enthalten ist: ob Updates vorher getestet werden, ob sich ein fehlerhaftes Update schnell zurücknehmen lässt und wie schnell bei einem Problem reagiert wird.
Mit Backup, Update, Durchklicken der wichtigsten Seiten und kleinen Korrekturen rechne ich bei einer kleinen WordPress-Website mit zwei bis drei Stunden, mit WooCommerce oder Page-Builder mit drei bis fünf. Für ein durchschnittliches Shopware-6-Update nennt eine Agentur sechs bis acht Stunden, ohne den Aufbau einer Testkopie.
Für die Sicherheit meist nicht. Bei vierteljährlichen Updates bleibt eine bekannte Lücke im Schnitt 45 Tage offen. Laut Patchstack werden die meistgesuchten WordPress-Lücken im Mittel nach fünf Stunden erstmals angegriffen. Sicherheitsupdates gehören deshalb innerhalb weniger Tage eingespielt, unabhängig vom Wartungsrhythmus.
Eine einfache Bereinigung zum Festpreis beginnt bei deutschen Anbietern um 250 bis 300 Euro. Was im Ernstfall zuerst zu tun ist, zeigt der Ratgeber WordPress gehackt. Bleibt ein Einbruch länger unbemerkt, kommen Analyse, Neuaufbau, Datenschutzprüfung und eigene Arbeitszeit dazu. In meiner Beispielrechnung für eine Website, die eine Woche lang auf Casinoseiten umleitete, sind das 7.690 bis 21.350 Euro, ohne entgangene Anfragen.
Auf eine Testumgebung, in der Updates vor dem Livegang geprüft werden, ein schnelles Rollback, feste Reaktionszeiten, eine Frist für Sicherheitsupdates, Backups außerhalb des Hosters, klare Regeln zum Zugriff und regelmäßige Berichte. Was davon fehlt, bezahlen Sie im Ernstfall extra.
Eine monatliche Pauschale, individuell nach Umfang: Zahl der Websites, Erweiterungen und Schnittstellen, Update-Rhythmus und Reaktionszeiten, dazu eine einmalige Einrichtung. Ein konkretes Angebot gibt es nach einem kurzen Gespräch.
Schreiben Sie mir kurz, welche Website oder welchen Shop Sie betreiben und wie Updates heute laufen. Ich melde mich mit einer ehrlichen Einschätzung und, wenn es passt, einem konkreten Angebot.
Entwickelt von Julian Bräucker, Düsseldorf. Server in Deutschland.