Mal ehrlich: Wann haben Sie das letzte Mal an die Wartung Ihrer WordPress-Website gedacht? Zwischen Kundenakquise, Personalfragen und Budgetplanung bleibt dafür oft keine Zeit. Doch während Sie Ihr Geschäft vorantreiben, tickt im Hintergrund eine Zeitbombe: veraltete Plugins, Sicherheitslücken und eine langsam gewordene Website, die Kunden und Suchmaschinen gleichermaßen abschreckt.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 4 Abschnitte
Die Konsequenzen sind messbar teuer. Die professionelle Bereinigung einer gehackten WordPress-Website kostet zwischen 300 € (einfache Webvisitenkarte) und über 2.500 € (Onlineshop mit Datenbankbefall); der Reputationsverlust ist dabei noch gar nicht eingerechnet. Bei schweren Cyberangriffen müssen etwa 60 % der betroffenen Kleinunternehmen innerhalb von sechs Monaten den Geschäftsbetrieb einstellen. Was im Ernstfall zu tun ist, steht im Leitfaden WordPress gehackt? Was du jetzt tun solltest.
Und eine langsame Website? Jede zusätzliche Sekunde Ladezeit kostet durchschnittlich 7 % der Conversion-Rate. Braucht die mobile Seite drei statt einer Sekunde, halbieren sich die Abschlüsse; nur 5 % der deutschen mobilen Websites laden innerhalb einer Sekunde. Google straft langsame Seiten mit schlechteren Rankings ab, und potenzielle Kunden springen ab, bevor sie das Angebot überhaupt sehen.
Die gute Nachricht: WordPress-Wartung ist planbar. Dafür gibt es zwei Wege.
Selbst anpacken: Mit der richtigen Checkliste stemmen Sie oder Ihr Team die wichtigsten Wartungsaufgaben systematisch, auch ohne Entwickler-Know-how.
Profi beauftragen: Sie konzentrieren sich auf Ihr Kerngeschäft, während Spezialisten Ihre Website sicher, schnell und aktuell halten.
Dieser Artikel liefert eine Checkliste mit 66 Prüfpunkten, die beide Wege ebnet: als Leitfaden für die WordPress-Wartung durch eigene Mitarbeiter oder als Briefing-Grundlage für einen externen Dienstleister. So behalten Sie in jedem Fall die Kontrolle über Ihre Website.
Die WordPress-Wartungs-Checkliste: 66 Prüfpunkte in zehn Bereichen
Systematisch statt planlos: Diese Checkliste führt Schritt für Schritt durch alle kritischen Bereiche der WordPress-Wartung. Ob Sie die Aufgaben selbst übernehmen oder an einen Dienstleister delegieren, Sie wissen genau, was wann zu tun ist. Für Inhouse-Teams dient die Liste als Abhakvorlage samt Turnusangabe (täglich, wöchentlich, monatlich); für die Auslagerung als Briefing und Service-Level-Agreement, damit nichts übersehen wird.
Die zehn Kategorien reichen von der Sicherheit über die Performance bis zu den rechtlichen Anforderungen. Jeder Punkt nennt eine konkrete Handlungsanweisung, die auch Nicht-Techniker verstehen. Einen Teil der Punkte, etwa Server-Updates, Staging und automatische Backups, übernimmt beim Managed-WordPress-Hosting der Hoster selbst. Was die einzelnen Anbieter im DACH-Raum davon abdecken, stellt der WordPress-Hosting-Vergleich gegenüber. Los geht es.
Sicherheit (12 Punkte)
| Nr. | Prüfpunkt | Turnus | Warum wichtig? | Was zu tun ist |
|---|---|---|---|---|
| 1.1 | SSL-Zertifikat gültig | Monatlich | Schützt Datenübertragung; Google-Ranking-Faktor; Vertrauenssignal für Besucher | Ablaufdatum prüfen, bei Let’s Encrypt: Auto-Renewal aktiv? Browser-Warnung testen |
| 1.2 | Firewall aktiv (WAF) | Wöchentlich | Blockiert 90%+ automatisierte Angriffe, bevor sie WordPress erreichen | Sicherheits-Plugin (Wordfence, Sucuri, iThemes Security): Firewall-Status prüfen, Blockierungen auswerten |
| 1.3 | Zwei-Faktor-Authentifizierung (2FA) | Einmalig + bei neuen Usern | Verhindert 99,9% der Brute-Force-Angriffe auf Admin-Konten | Für alle Admin-Accounts aktivieren (z.B. via Wordfence, Google Authenticator Plugin) |
| 1.4 | Login-Versuche überwachen | Wöchentlich | Erkennt Angriffsmuster frühzeitig; zeigt Schwachstellen | Login-Logs checken: Auffällige IPs blockieren, Limit für Fehlversuche setzen (max. 3-5) |
| 1.5 | Admin-Username „admin“ entfernt | Einmalig | Standard-Username ist erstes Angriffsziel bei Brute-Force | Neuen Admin mit individuellem Namen anlegen, alten „admin“-Account löschen |
| 1.6 | Benutzerrollen & Rechte | Monatlich | Minimiert Schaden bei Account-Kompromittierung | Inaktive Accounts löschen, Rollen prüfen (nur nötige Rechte vergeben), Gastzugänge entfernen |
| 1.7 | wp-admin Verzeichnis geschützt | Einmalig | Zusätzliche Barriere gegen Angriffe auf Login-Bereich | .htaccess: IP-Whitelist oder Passwortschutz für /wp-admin einrichten |
| 1.8 | Datei-Berechtigungen korrekt | Quartalsweise | Verhindert unbefugte Datei-Manipulation durch Angreifer | Ordner: 755, Dateien: 644, wp-config.php: 440 oder 400 (via FTP/SSH prüfen) |
| 1.9 | wp-config.php abgesichert | Einmalig | Enthält Datenbank-Zugänge, höchstes Risiko bei Zugriff | Außerhalb des Web-Root verschieben oder via .htaccess Zugriff verweigern |
| 1.10 | Sicherheits-Scan durchführen | Wöchentlich | Erkennt Malware, Backdoors, veränderte Core-Dateien | Plugin-Scan starten (Wordfence, Sucuri), Quarantäne-Dateien prüfen, verdächtige Dateien untersuchen |
| 1.11 | Login-URL geändert | Einmalig | Erschwert automatisierte Angriffe auf /wp-login.php | Plugin wie „WPS Hide Login“ nutzen: Individuelle Login-URL festlegen |
| 1.12 | XML-RPC deaktiviert | Einmalig | Häufiges Angriffsziel für DDoS und Brute-Force | Wenn nicht benötigt: via Plugin (Disable XML-RPC) oder .htaccess blockieren |
Updates (8 Punkte)
| Nr. | Prüfpunkt | Turnus | Warum wichtig? | Was zu tun ist |
|---|---|---|---|---|
| 2.1 | WordPress Core aktualisieren | Wöchentlich | Schließt bekannte Sicherheitslücken; 39% aller Hacks durch veraltete WP-Version | Dashboard → Updates: Erst Backup, dann auf neueste stabile Version updaten. Minor-Updates (z.B. 6.4.1 → 6.4.2) können automatisiert werden |
| 2.2 | Plugins aktualisieren | Wöchentlich | 50%+ aller WordPress-Sicherheitslücken stammen aus veralteten Plugins | Dashboard → Plugins: Verfügbare Updates prüfen, einzeln oder gesammelt aktualisieren. Kritische Security-Updates sofort! |
| 2.3 | Themes aktualisieren | Wöchentlich | Veraltete Themes enthalten oft XSS-Lücken und Performance-Probleme | Dashboard → Design → Themes: Updates installieren. Bei Child-Themes: Parent-Theme mitaktualisieren |
| 2.4 | PHP-Version prüfen & updaten | Quartalsweise | Alte PHP-Versionen = massive Sicherheitsrisiken + langsame Performance | Hosting-Panel: Aktuelle PHP-Version checken (min. 8.0+). Vor Update: Kompatibilität mit Plugins testen |
| 2.5 | Staging-Umgebung nutzen | Bei Major-Updates | Verhindert, dass Updates die Live-Site crashen; spart Notfall-Kosten | Hoster-Feature oder Plugin (WP Staging): Updates erst auf Kopie testen, dann auf Live übertragen |
| 2.6 | Kompatibilität vor Updates prüfen | Bei Major-Updates | Plugin-Konflikte können Site lahmlegen; Datenverlust vermeiden | Plugin-Changelogs lesen, bekannte Konflikte googeln, im Staging testen. Notfall-Rollback-Plan bereithalten |
| 2.7 | Veraltete/inaktive Plugins löschen | Monatlich | Jedes Plugin = potenzielle Sicherheitslücke, auch wenn deaktiviert | Nicht genutzte Plugins komplett deinstallieren (nicht nur deaktivieren!). Min. 2 Jahre ohne Update = löschen |
| 2.8 | Server-Software updaten | Monatlich | MySQL, Apache/Nginx, SSL-Bibliotheken, alle brauchen Updates | Bei Managed Hosting: automatisch. Bei eigenem Server: via SSH/Control Panel prüfen und updaten |
Backups (6 Punkte)
| Nr. | Prüfpunkt | Turnus | Warum wichtig? | Was zu tun ist |
|---|---|---|---|---|
| 3.1 | Automatische Backups aktiviert | Einmalig einrichten | Manuelle Backups werden vergessen; bei Hack zählt jede Stunde | Plugin installieren (UpdraftPlus, BackWPup, Jetpack Backup) oder Hoster-Feature aktivieren. Intervall: täglich bei aktiven Sites, wöchentlich bei statischen |
| 3.2 | Externe Speicherung sicherstellen | Einmalig + monatliche Kontrolle | Backup auf demselben Server = nutzlos bei Server-Hack oder Hardware-Ausfall | Cloud-Speicher verbinden (Google Drive, Dropbox, Amazon S3). Mindestens eine Kopie außerhalb des Servers! |
| 3.3 | Vollständigkeit prüfen | Wöchentlich | Unvollständige Backups = böse Überraschung im Notfall | Backup-Umfang checken: Dateien (wp-content, Themes, Plugins) UND Datenbank enthalten? Größe plausibel? |
| 3.4 | Backup-Wiederherstellung testen | Quartalsweise | 30% der Backups lassen sich nicht wiederherstellen, zu spät im Ernstfall | Test-Restore in Staging-Umgebung durchführen. Funktioniert Site danach? Läuft Prozess reibungslos? Zeit stoppen! |
| 3.5 | Aufbewahrungsfristen festlegen | Einmalig + jährliche Anpassung | Zu kurz = kein sauberes Backup vor Hack; zu lang = Speicherkosten explodieren | Empfehlung: 30 tägliche + 12 monatliche Backups. Bei kritischen Sites: 90 Tage. Alte Backups automatisch löschen lassen |
| 3.6 | Zugriff auf Backups dokumentieren | Einmalig + bei Änderungen | Im Notfall muss jeder berechtigte Zugriff auf Backups haben, ohne Verzögerung | Zugangsdaten sicher dokumentieren (Passwort-Manager): Wo liegen Backups? Welche Zugänge? Wer hat Zugriff? Recovery-Anleitung erstellen |
Performance (10 Punkte)
| Nr. | Prüfpunkt | Turnus | Warum wichtig? | Was zu tun ist |
|---|---|---|---|---|
| 4.1 | Caching aktivieren | Einmalig + bei Config-Änderungen | Reduziert Server-Last um 80%+; Ladezeit halbiert sich oft | Caching-Plugin installieren (WP Super Cache, W3 Total Cache, WP Rocket). Browser-, Seiten- und Objekt-Caching aktivieren |
| 4.2 | Bilder optimieren & komprimieren | Bei jedem Upload + monatliche Prüfung | Bilder = 50-70% der Seitengröße; jede Sekunde Ladezeit kostet 7% Conversions | Plugin nutzen (Imagify, ShortPixel, Smush): Auto-Komprimierung aktivieren. Bestehende Bilder bulk-optimieren. WebP-Format nutzen |
| 4.3 | CSS & JavaScript minifizieren | Einmalig + nach Theme/Plugin-Updates | Reduziert Dateigröße um 20-40%; weniger HTTP-Requests | Plugin-Feature aktivieren (Autoptimize, WP Rocket): CSS/JS kombinieren, minifizieren, kritisches CSS inline laden |
| 4.4 | Datenbank optimieren | Monatlich | Revisionen, Spam, Transients blähen DB auf; langsame Queries = langsame Site | Plugin nutzen (WP-Optimize, Advanced Database Cleaner): Post-Revisionen begrenzen, Spam/Trash leeren, Tabellen optimieren |
| 4.5 | CDN (Content Delivery Network) | Einmalig einrichten | Verkürzt Ladezeit global um 50%+; reduziert Server-Last erheblich | Cloudflare (kostenlos) oder Premium-CDN einrichten. Statische Dateien (Bilder, CSS, JS) über CDN ausliefern |
| 4.6 | Ladezeit messen & überwachen | Wöchentlich | Google straft langsame Sites ab; 53% verlassen Site nach 3 Sek. Ladezeit | PageSpeed Insights, GTmetrix oder Pingdom nutzen. Ziel: unter 3 Sek. (mobil), unter 2 Sek. (desktop) |
| 4.7 | Lazy Loading aktivieren | Einmalig | Lädt Bilder/Videos erst bei Bedarf; spart 30-50% initiale Ladezeit | Native WordPress Lazy Loading (ab WP 5.5) oder Plugin (a3 Lazy Load). Für Videos und iFrames extra aktivieren |
| 4.8 | Unnötige Plugins deaktivieren | Monatlich | Jedes Plugin = zusätzliche Requests, Code-Ballast, Sicherheitsrisiko | Performance-Analyse: Welche Plugins verlangsamen Site? (Query Monitor Plugin). Alternativen suchen oder Features ins Theme integrieren |
| 4.9 | GZIP-Komprimierung aktivieren | Einmalig | Reduziert übertragene Datenmenge um 70%; schnellere Auslieferung | Server-Config oder .htaccess: GZIP aktivieren. Test: giftofspeed.com/gzip-test/ |
| 4.10 | Core Web Vitals optimieren | Monatlich | Google Ranking-Faktor seit 2021; direkte SEO-Auswirkung | Google Search Console: LCP unter 2,5s, FID unter 100ms, CLS unter 0,1. Größte Probleme zuerst beheben |
Datenbank (6 Punkte)
| Nr. | Prüfpunkt | Turnus | Warum wichtig? | Was zu tun ist |
|---|---|---|---|---|
| 5.1 | Post-Revisionen bereinigen | Monatlich | Jeder Entwurf = DB-Eintrag; bei 100 Posts mit je 20 Revisionen = 2.000 Einträge Ballast | Plugin (WP-Optimize, Revision Control): Alte Revisionen löschen, Limit auf 3-5 Revisionen pro Post setzen |
| 5.2 | Spam-Kommentare löschen | Wöchentlich | Spam bläht wp_comments-Tabelle auf; verlangsamt Queries | Spam-Ordner komplett leeren (nicht nur Papierkorb!). Akismet oder Anti-Spam-Plugin aktiv halten |
| 5.3 | Papierkorb leeren | Wöchentlich | Gelöschte Posts/Seiten bleiben 30 Tage in DB; unnötige Last | Dashboard: Posts/Seiten → Papierkorb → Endgültig löschen. Auto-Delete nach 7 Tagen einstellen (wp-config.php) |
| 5.4 | Transients aufräumen | Monatlich | Temporäre Daten von Plugins bleiben oft hängen; verwaiste Einträge | Plugin (WP-Optimize): Abgelaufene Transients löschen. Spart oft 10-30% DB-Größe |
| 5.5 | Datenbank-Tabellen optimieren | Monatlich | Fragmentierte Tabellen = langsame Queries; Overhead reduzieren | phpMyAdmin oder Plugin (WP-Optimize): „Optimize Tables“ ausführen. Vorher: Backup! |
| 5.6 | Datenbank-Größe überwachen | Monatlich | Plötzliches Wachstum = Hinweis auf Fehler, Spam-Attacke oder Plugin-Problem | DB-Größe notieren, Trend beobachten. Bei ungewöhnlichem Anstieg: Ursache finden (Query Monitor, Plugin-Logs) |
Content-Pflege (6 Punkte)
| Nr. | Prüfpunkt | Turnus | Warum wichtig? | Was zu tun ist |
|---|---|---|---|---|
| 6.1 | Broken Links finden & beheben | Monatlich | Kaputte Links = schlechte UX + negative SEO-Signale an Google | Plugin (Broken Link Checker): Scan durchführen, Links reparieren oder entfernen. Externe Links besonders prüfen |
| 6.2 | 404-Fehlerseiten überwachen | Monatlich | Häufige 404er = verlorener Traffic + Ranking-Verlust | Google Search Console: Coverage-Bericht checken. Wichtige 404er auf relevante Seiten per 301 umleiten |
| 6.3 | Verwaiste Medien löschen | Quartalsweise | Ungenutzte Bilder/PDFs = verschwendeter Speicher + langsame Backups | Plugin (Media Cleaner): Nicht eingebundene Dateien identifizieren und löschen. Vorher: Backup! |
| 6.4 | Kommentar-Spam bekämpfen | Wöchentlich | Spam-Kommentare schaden Reputation + können Malware-Links enthalten | Akismet aktivieren, Spam-Ordner leeren. Kommentare für alte Posts (>90 Tage) ggf. automatisch schließen |
| 6.5 | Veraltete Inhalte aktualisieren | Quartalsweise | Alte Infos/Preise = Vertrauensverlust; Google bevorzugt frische, aktuelle Inhalte | Content-Audit: Posts mit Datumsangaben, Statistiken, Produktinfos prüfen. Aktualisieren oder mit Hinweis versehen |
| 6.6 | Duplicate Content prüfen | Halbjährlich | Doppelte Inhalte verwirren Google; Rankings leiden unter Kannibalisierung | Yoast SEO oder Screaming Frog: Duplicate Titles/Descriptions finden. Canonical Tags setzen oder Content konsolidieren |
Monitoring (5 Punkte)
Kein Bereich zahlt sich schneller aus als dieser: Ein Ausfall, den niemand bemerkt, kostet mit jeder Minute Umsatz und Sichtbarkeit. Ein automatischer Wächter meldet die Störung deshalb sofort, statt das Problem bis zum nächsten Kundenanruf zu verschleppen. Die kostenlosen Einstiegsdienste decken die Grundfunktion ab; welches Werkzeug zum eigenen Anspruch an Prüfintervall, Benachrichtigungswege und Statusseite passt, ordnet der Vergleich der Website-Monitoring-Tools nach genau diesen Kriterien ein.
| Nr. | Prüfpunkt | Turnus | Warum wichtig? | Was zu tun ist |
|---|---|---|---|---|
| 7.1 | Uptime-Überwachung einrichten | Einmalig + tägliche Alerts | Jede Minute Ausfall = Umsatzverlust + Ranking-Schaden; schnelle Reaktion rettet Geschäft | Tool einrichten (UptimeRobot kostenlos, Pingdom): 5-Min-Intervall, E-Mail/SMS-Benachrichtigung bei Ausfall |
| 7.2 | Error-Logs prüfen | Wöchentlich | PHP-Fehler, 500er-Errors zeigen Probleme, bevor sie sichtbar werden | Hosting-Panel oder Plugin (WP Error Log Viewer): error_log durchsehen. Kritische Fehler sofort beheben |
| 7.3 | Traffic & Nutzerverhalten analysieren | Wöchentlich | Plötzliche Traffic-Einbrüche = technische Probleme oder SEO-Penalty | Google Analytics/Matomo: Besucher-Trend, Absprungrate, Top-Seiten prüfen. Anomalien untersuchen |
| 7.4 | Server-Ressourcen überwachen | Wöchentlich | CPU/RAM-Spitzen = Plugin-Probleme oder Angriffe; Vorwarnung vor Servercrash | Hosting-Dashboard: CPU, RAM, Disk-Usage checken. Bei konstant >80%: Ursache finden oder Hosting upgraden |
| 7.5 | Google Search Console checken | Wöchentlich | Indexierungs-Probleme, manuelle Abstrafungen, Sicherheitswarnungen frühzeitig erkennen | Search Console: Coverage-Fehler, Security Issues, Core Web Vitals prüfen. Sitemaps aktuell? Mobile Usability ok? |
SEO & Technik (5 Punkte)
| Nr. | Prüfpunkt | Turnus | Warum wichtig? | Was zu tun ist |
|---|---|---|---|---|
| 8.1 | Robots.txt & Crawling prüfen | Monatlich | Fehlerhafte robots.txt blockiert Google; wichtige Seiten werden nicht indexiert | Site-URL/robots.txt aufrufen. Prüfen: Wichtige Bereiche nicht blockiert? Google Search Console: Crawling-Errors checken |
| 8.2 | XML-Sitemap aktualisieren | Monatlich | Veraltete Sitemap = Google indexiert neue Inhalte nicht oder zu spät | Yoast/Rank Math: Sitemap automatisch generieren. In Search Console einreichen. Prüfen: Alle wichtigen Seiten enthalten? |
| 8.3 | Mobile-Optimierung testen | Monatlich | 60%+ Traffic kommt mobil; Google nutzt Mobile-First-Indexierung | Google Mobile-Friendly Test: Lesbarkeit, Buttons, Abstände prüfen. Responsive Design funktioniert auf allen Geräten? |
| 8.4 | Strukturierte Daten (Schema) | Quartalsweise | Rich Snippets = höhere Klickrate in Suchergebnissen; bessere Google-Sichtbarkeit | Schema Markup prüfen (Google Rich Results Test): Breadcrumbs, FAQ, Bewertungen, Produkte korrekt ausgezeichnet? |
| 8.5 | HTTPS-Weiterleitung prüfen | Monatlich | HTTP-Versionen = Duplicate Content + Sicherheitswarnung im Browser | Alle URLs auf HTTPS umleiten (301). Mixed Content vermeiden. Test: http://domain.de → https://domain.de funktioniert? |
Rechtliches (4 Punkte)
| Nr. | Prüfpunkt | Turnus | Warum wichtig? | Was zu tun ist |
|---|---|---|---|---|
| 9.1 | DSGVO-Compliance prüfen | Quartalsweise | Verstöße = Bußgelder bis 20 Mio. € oder 4% Jahresumsatz; Abmahnrisiko | Checkliste abarbeiten: Consent für Cookies, Datenverarbeitung dokumentiert, AV-Verträge mit Tools (Analytics, Newsletter), Opt-in statt Opt-out |
| 9.2 | Cookie-Banner & Consent | Monatlich + bei Plugin-Updates | Ohne aktive Einwilligung = DSGVO-Verstoß; Third-Party-Cookies müssen blockiert werden | Cookie-Plugin (Real Cookie Banner, Borlabs Cookie) aktiv? Consentvor Tracking? Google Analytics/Fonts erst nach Zustimmung laden? |
| 9.3 | Impressum & Datenschutz aktuell | Halbjährlich + bei Änderungen | Fehlende/falsche Angaben = Abmahnungen (ab 100 €); Impressumspflicht gilt für fast alle Sites | Pflichtangaben vollständig? (Name, Adresse, Kontakt, Register, USt-ID). Datenschutzerklärung aktuell? Neue Tools ergänzt? |
| 9.4 | Externe Dienste inventarisieren | Quartalsweise | Jeder externe Dienst = Datenverarbeitung; muss in Datenschutzerklärung stehen | Liste führen: Google Fonts/Analytics, Social Media Plugins, Newsletter-Tools, CDN. AV-Verträge vorhanden? Datenweitergabe USA geklärt |
Benutzerverwaltung (4 Punkte)
| Nr. | Prüfpunkt | Turnus | Warum wichtig? | Was zu tun ist |
|---|---|---|---|---|
| 10.1 | Benutzer-Berechtigungen prüfen | Monatlich | Zu viele Admin-Rechte = Sicherheitsrisiko; Prinzip der minimalen Rechte beachten | Dashboard → Benutzer: Rollen überprüfen. Admin nur für IT/Geschäftsführung. Redakteure/Autoren für Content. Abonnenten löschen |
| 10.2 | Inaktive Accounts entfernen | Quartalsweise | Alte Accounts = Sicherheitslücke; Ex-Mitarbeiter-Zugänge oft vergessen | Login-Historie prüfen (Plugin: User Activity Log). Accounts ohne Login >6 Monate löschen. Alte E-Mail-Adressen aktualisieren |
| 10.3 | Admin-Zugangsdaten rotieren | Halbjährlich | Langlebige Passwörter erhöhen Kompromittierungs-Risiko; best practice = regelmäßiger Wechsel | Alle Admin-Passwörter erneuern (min. 12 Zeichen, Sonderzeichen). Passwort-Manager nutzen. FTP/SSH-Zugänge mit erneuern |
| 10.4 | Gastzugänge & Testzugänge | Monatlich | Temporäre Zugänge für Dienstleister werden oft nicht gelöscht; bleiben Einfallstor | Temporäre Accounts identifizieren und löschen. Bei Bedarf: Neuen Zugang mit Ablaufdatum anlegen (Plugin: Temporary Login Without Password) |
Fazit: 66 Prüfpunkte oder doch lieber Profis ans Steuer?
Sie kennen jetzt alle 66 kritischen Prüfpunkte einer professionellen WordPress-Wartung. Allein das Lesen dieser Checkliste hat vermutlich 20 Minuten gekostet. Die tatsächliche Umsetzung dauert deutlich länger.
Rechnen wir realistisch nach (Basis: eine mittelgroße Website mit rund 50 Seiten).
Monatliche Routine-Wartung:
- Sicherheits-Checks (SSL, Firewall, Login-Logs, User-Rollen): ca. 30–40 Min
- Updates durchführen (Core, Plugins, Themes): ca. 60–80 Min
- Backup-Kontrolle (wöchentlich): ca. 40 Min
- Performance-Monitoring (Ladezeit, Cache, Datenbank): ca. 30–40 Min
- Content-Pflege (Broken Links, 404er, Spam): ca. 30–40 Min
- Error-Logs und Monitoring (wöchentlich): ca. 60 Min
- SEO- und technische Prüfungen: ca. 20–30 Min
- Rechtliches und Benutzerverwaltung: ca. 15–20 Min
Summe: ca. 4,5–6 Stunden pro Monat.
Quartalsweise zusätzlich:
- Backup-Wiederherstellung testen: ca. 45–60 Min
- Verwaiste Medien löschen: ca. 30 Min
- Veraltete Inhalte aktualisieren: ca. 60–90 Min
- Schema-Markup und DSGVO-Audit: ca. 30–45 Min
Zusätzlich: ca. 2,5–3,5 Stunden pro Quartal.
Im Durchschnitt sind das 5–6 Stunden pro Monat, und zwar nur, wenn alles reibungslos läuft. Bei Plugin-Konflikten, Sicherheitsvorfällen oder komplexen Updates wird schnell das Doppelte oder Dreifache daraus. Ein einzelner Hack-Angriff kostet 8–24 Stunden Bereinigungsaufwand, dazu 300 bis über 2.500 € an direkten Kosten.
Die entscheidende Frage: Was ist Ihre Zeit wert?
Sie sind Geschäftsführer, Marketing- oder IT-Leiter. Ihre Aufgabe ist es, das Unternehmen voranzubringen, Kunden zu gewinnen und Strategien zu entwickeln. Nicht, Spam-Kommentare zu löschen oder PHP-Versionen zu vergleichen.
In den sechs Stunden, die eine gründliche WordPress-Wartung im Monat frisst, ließen sich auch zwei qualifizierte Verkaufsgespräche führen, eine neue Marketingkampagne konzipieren, strategische Partnerschaften aufbauen oder die Unternehmensstrategie schärfen.
Profis haben die Wartung im Griff, ganz automatisch
Eine spezialisierte WordPress-Agentur erledigt genau das, was in dieser Checkliste steht, täglich, für Dutzende Kunden, mit eingespielten Prozessen und automatisierten Werkzeugen. Was Sie sechs Stunden im Monat kostet, schaffen Profis durch Routine, Automatisierung und Erfahrung in 1,5–2 Stunden, effizienter, sicherer und mit deutlich weniger Risiko.
Die Vorteile auf einen Blick:
- Planbare Kosten statt unkalkulierbarer Notfall-Einsätze; ein Hack kostet mehr als sechs Monate Wartung.
- Proaktive Überwachung statt böser Überraschungen am Montagmorgen.
- Expertise auf Abruf: bei Problemen steht sofort ein Ansprechpartner bereit.
- Automatisierte Prozesse: Monitoring-Werkzeuge erkennen Probleme, bevor sie kritisch werden.
- Freiraum fürs Wesentliche: Sie konzentrieren sich auf Ihr Kerngeschäft.
Ihre Entscheidung: DIY oder Delegation?
Option A: Sie oder Ihr Team übernehmen die Wartung selbst. Die Checkliste ist der Leitfaden, strukturiert, vollständig und umsetzbar. Planen Sie realistisch 5–6 Stunden pro Monat ein.
Option B: Sie nutzen die Checkliste als Briefing-Vorlage für Ihre WordPress-Agentur. So wissen Sie genau, was geleistet werden muss, und können die Qualität kontrollieren.
Eine vernachlässigte WordPress-Website gibt keine Vorwarnung; der Ausfall kommt am Montagmorgen, wenn das Backup längst drei Wochen alt ist. Wer die 66 Prüfpunkte an feste Turnusse bindet oder ganz abgibt, zahlt einen Bruchteil dessen, was ein einziger Hack kostet.
Markus Seyfferth, Chefredakteur Dr. Web
Glossar: 8 wichtige Begriffe zur WordPress-Wartung
Caching
Ein Zwischenspeicher legt fertig berechnete Seiten ab, statt sie bei jedem Aufruf neu aus der Datenbank zu erzeugen. Das entlastet den Server spürbar und verkürzt die Ladezeit, weshalb ein Caching-Plugin zu den wirksamsten Performance-Hebeln der Wartung zählt.
CDN (Content Delivery Network)
Ein Netz verteilter Server liefert statische Dateien wie Bilder, CSS und JavaScript vom geografisch nächsten Standort aus. Das verkürzt die Ladezeit besonders für weit entfernte Besucher und nimmt dem eigenen Server einen Großteil der Last ab.
Core Web Vitals
Drei Google-Messwerte für die wahrgenommene Nutzererfahrung: Ladegeschwindigkeit des größten Elements, Reaktionsschnelligkeit auf Eingaben und visuelle Stabilität beim Aufbau. Seit 2021 fließen sie als Ranking-Faktor in die Google-Suche ein.
Staging-Umgebung
Eine identische Kopie der Website, auf der Updates und Änderungen zuerst getestet werden. Erst wenn dort alles läuft, wandert die Änderung auf die Live-Seite, sodass ein fehlerhaftes Update den laufenden Betrieb nicht lahmlegt.
Transients
Zeitlich befristete Zwischendaten, die Plugins in der Datenbank ablegen. Bleiben abgelaufene Transients hängen, blähen sie die Datenbank auf und bremsen Abfragen; regelmäßiges Aufräumen spart oft einen zweistelligen Prozentsatz an Datenbankgröße.
Uptime-Monitoring
Ein Dienst ruft die Website in kurzen Intervallen auf und schlägt Alarm, sobald sie nicht erreichbar ist. So fällt ein Ausfall sofort auf, statt erst beim nächsten Kundenanruf, und die Ausfallzeit bleibt kurz.
WAF (Web Application Firewall)
Ein vorgelagerter Filter prüft eingehende Anfragen und blockiert typische Angriffsmuster, bevor sie WordPress erreichen. Eine aktive WAF wehrt einen Großteil automatisierter Attacken ab und gehört zu den ersten Sicherheitsmaßnahmen.
Zwei-Faktor-Authentifizierung (2FA)
Zusätzlich zum Passwort verlangt der Login einen zweiten Nachweis, etwa einen Code aus einer App. Selbst ein erbeutetes Passwort genügt Angreifern dann nicht mehr, was Brute-Force-Angriffe auf Admin-Konten praktisch aussichtslos macht.
FAQ: Häufige Fragen zur WordPress-Wartung
Wie oft muss eine WordPress-Website gewartet werden?
Die Wartung folgt festen Turnussen statt einem einzelnen Termin. Sicherheits-Scans, Updates und Backup-Kontrollen laufen wöchentlich, Datenbank- und Content-Pflege monatlich, rechtliche Prüfungen und Backup-Restore-Tests quartalsweise. Wichtig ist die Regelmäßigkeit, denn die meisten Hacks nutzen bekannte Lücken in veralteten Versionen.
Wie viel Zeit kostet die WordPress-Wartung pro Monat?
Für eine mittelgroße Website mit rund 50 Seiten sind es im Durchschnitt 5 bis 6 Stunden pro Monat, sofern alles reibungslos läuft. Bei Plugin-Konflikten oder Sicherheitsvorfällen kann sich der Aufwand verdoppeln oder verdreifachen. Eine spezialisierte Agentur erledigt dasselbe Pensum durch Routine und Automatisierung meist in 1,5 bis 2 Stunden.
Was kostet es, wenn die Wartung ausbleibt?
Die Bereinigung einer gehackten WordPress-Website kostet zwischen 300 Euro für eine einfache Webvisitenkarte und über 2.500 Euro für einen Onlineshop mit Datenbankbefall, dazu 8 bis 24 Stunden Aufwand. Hinzu kommen Reputationsverlust und Umsatzausfall; bei schweren Cyberangriffen müssen rund 60 Prozent der betroffenen Kleinunternehmen binnen sechs Monaten aufgeben.
Welche Aufgaben sind bei der WordPress-Wartung am wichtigsten?
Den größten Hebel haben zeitnahe Updates von Core, Plugins und Themes, funktionierende und extern gespeicherte Backups sowie eine aktive Firewall mit Zwei-Faktor-Authentifizierung. Ergänzend sichern Performance-Optimierung und ein Uptime-Monitoring, dass die Seite schnell und erreichbar bleibt. Diese Bereiche verhindern die teuersten Notfälle.
Sollte ich die WordPress-Wartung selbst machen oder auslagern?
Beides ist möglich. Wer Zeit und technisches Grundverständnis mitbringt, arbeitet die Checkliste selbst ab und plant 5 bis 6 Stunden pro Monat ein. Für alle, die sich lieber auf das Kerngeschäft konzentrieren, übernimmt eine Agentur die Wartung, während die Checkliste als Briefing und Kontrollinstrument dient. Die Entscheidung hängt vom Wert der eigenen Arbeitszeit ab.
Wie schützt regelmäßige Wartung vor Hackerangriffen?
Über die Hälfte der WordPress-Sicherheitslücken stammt aus veralteten Plugins, ein weiterer großer Teil aus veralteten Core-Versionen. Zeitnahe Updates schließen diese bekannten Einfallstore. Zusammen mit Firewall, Zwei-Faktor-Authentifizierung, Sicherheits-Scans und aktuellen Backups sinkt das Risiko einer erfolgreichen Kompromittierung deutlich.
2 Kommentare
Wir können Duplikator als Plugin empfehlen, benutzen wir regelmäßig um auch den Hoster für unsere Kunden zu wechseln. Es wird tatsächlich 100% des Blogs/Website in einer Datei gespeichert und kann jederzeit wiederhergestellt werden.
Richtig starker Beitrag – endlich mal jemand, der das Thema WordPress-Wartung nicht auf die „Updates klicken“-Ebene reduziert. Besonders die klare Struktur mit Prioritäten ist Gold wert. Viele unterschätzen, wie sehr eine Wartung auch die Performance und SEO beeinflusst.
Wir erleben das täglich: Sicherheitslücken und Ladezeitprobleme sind meist kein Zufall, sondern Folge von Nachlässigkeit. Die 66-Punkte-Checkliste ist da ein echter Reality-Check.
Beste Grüße aus Hessen