WordPress Wartung sorgt dafür, dass Ihre Website auch nach dem Start sicher, aktuell und erreichbar bleibt. Fertig ist eine WordPress-Seite mit dem Livegang nämlich nicht: Für Kern, Plugins und Theme erscheinen ständig neue Versionen, ältere PHP-Versionen verlieren ihre Unterstützung, und Sicherungen nützen nur, wenn sie sich im Ernstfall zurückspielen lassen. Fällt Ihre Website aus oder wurde sie gehackt, leisten wir außerdem schnelle WordPress Hilfe, auch wenn wir sie bisher nicht betreut haben.

Was gehört zur WordPress Wartung?

Gemeint ist die regelmäßige technische Pflege einer WordPress-Installation. Wer das neben dem Tagesgeschäft erledigt, schafft es selten oft genug. Diese Aufgaben übernehmen wir:

Aktualisierungen: Neue Versionen von WordPress, Plugins und Theme spielen wir zeitnah ein und kontrollieren danach die Seite. Eine PHP-Version ohne Sicherheitsupdates kommt bei uns nicht zum Einsatz.
Sicherungen: einmal am Tag, abgelegt in einem separaten Speicher getrennt vom Webspace. Wollen Sie zu einem früheren Stand zurück, reicht eine kurze Nachricht.
Sicherheit und Erreichbarkeit: Wir überwachen beides fortlaufend. Liegt die Website auf einem Server, den wir betreuen, beheben wir Störungen selbst.
Datenschutz und Barrierefreiheit: Bei Änderungen achten wir auf die DSGVO und auf das Barrierefreiheitsstärkungsgesetz (BFSG). Den Vertrag zur Auftragsverarbeitung bekommen Sie dazu.
Inhalte: Auf Wunsch pflegen wir auch Texte, Bilder und neue Angebote ein.

Warum sind Updates so wichtig?

Angreifer nutzen vor allem Schwachstellen in Erweiterungen. Der WordPress-Kern selbst ist selten das Problem, veraltete Plugins und Themes dagegen sehr oft. Ist eine Lücke öffentlich, beginnen automatisierte Angriffe häufig nach kurzer Zeit. Schon wenige Tage Verzögerung beim Update können also zu viel sein.

Deshalb arbeiten wir mit möglichst wenigen, sorgfältig ausgewählten Plugins und halten sie aktuell. Vor jedem Update entsteht eine frische Sicherung, denn auch eine neue Version kann Fehler mitbringen. Klemmt danach etwas, stellen wir den vorherigen Stand wieder her und suchen in Ruhe nach der Ursache.

Was bringt Ihnen WordPress Betreuung zusätzlich?

Wartung kümmert sich um die Technik. Betreuung geht weiter: Jemand hat Ihre Website auch dann im Blick, wenn keine Routineaufgabe ansteht.

Feste Ansprechpartner: keine Hotline und keine Ticketnummer, sondern Menschen, die Ihr Projekt kennen.
Kurze Wege: Liegt die Website auf einem von uns betreuten Server, holen wir eine Sicherung selbst zurück, ohne einen Dritten einzuschalten.
Änderungen auf Zuruf: Andere Öffnungszeiten, ein zusätzliches Angebot, ein neues Foto. Sie schicken uns, was sich ändern soll, und wir pflegen es ein.
Weiterentwicklung: Für neue Seiten, Funktionen oder einen Shop erhalten Sie vorab ein Angebot. Mehr zu unserer Arbeit mit WordPress finden Sie unter WordPress und CMS.
Verantwortung beim Menschen: Automatisierte Werkzeuge beschleunigen Routinearbeiten. Über jede Änderung an Ihrer Website entscheidet aber ein Mensch.

Lohnt sich eine WordPress Wartung für Sie?

Bedienen Sie WordPress sicher, nehmen sich regelmäßig Zeit dafür und können im Notfall selbst eine Sicherung einspielen, kommen Sie ohne externe Wartung aus. Dann reicht reines Webhosting. Sinnvoll ist Wartung, wenn

über Ihre Website Anfragen, Buchungen oder Umsätze hereinkommen,
sich im Unternehmen niemand verlässlich um Updates kümmert,
ein Shop oder ein Buchungsformular an der Website hängt,
Sie Themen wie Datenschutz und Barrierefreiheit lieber abgeben,
neue Inhalte nötig wären, im Alltag aber liegen bleiben.

Kümmern Sie sich auch um fremde WordPress-Websites?

Ja. Hat eine andere Agentur Ihre Website gebaut oder endet die bisherige Betreuung, übernehmen wir die Installation nach einem technischen Check.

Check: Wir prüfen den Stand von WordPress, die installierten Plugins, das Theme und die PHP-Version. Wichtig ist, dass sich die Website überhaupt sinnvoll warten lässt. Danach erhalten Sie ein Angebot für die Übernahme.
Umzug: Die Website wird auf einen Server kopiert, den wir betreuen, und dort getestet. Ihre bisherige Installation bleibt bis zum Umschalten online.
Aufräumen: Wir aktualisieren veraltete Plugins und holen versäumte Updates nach.
Regelbetrieb: Danach laufen Updates, Sicherungen, Überwachung und, falls gewünscht, die Pflege der Inhalte nach Plan.

Ist eine Installation stark veraltet, hilft Wartung allein nicht weiter. Dann raten wir eher zu einem Website-Relaunch.

WordPress Hilfe: Bei welchen Problemen helfen wir?

Funktioniert Ihre Website nicht mehr, kümmern wir uns kurzfristig darum. Auch Websites bei fremden Hostern oder von anderen Agenturen nehmen wir an. Häufige Fälle sind:

Weiße Seite oder „kritischer Fehler“: Die Seite bleibt leer, oder WordPress meldet einen kritischen Fehler. Dahinter steckt fast immer ein PHP-Problem, etwa nach einem Plugin-Update, durch ein fehlerhaftes Theme oder nach einem Wechsel der PHP-Version.
Fehler nach einem Update: Die Darstellung ist verrutscht, oder Funktionen sind verschwunden. Wir stellen den letzten funktionierenden Zustand wieder her, wenn nötig aus der Sicherung, und beseitigen dann die Ursache.
Ausgesperrt aus dem Backend: Das Login klappt nicht, das Passwort fehlt, oder ein Sicherheits-Plugin blockiert den Zugang. Über den Server holen wir Sie wieder herein.
Formular-Mails bleiben aus: Nachrichten aus dem Kontaktformular landen im Spamordner oder kommen nie an. Wir untersuchen den Versand und prüfen die DNS-Einträge für SPF, DKIM und DMARC.
Langsam oder offline: Serverfehler, Probleme mit der Datenbankverbindung oder sehr lange Ladezeiten. Wir klären, ob WordPress, ein Plugin oder das Hosting verantwortlich ist.
Website gehackt: Unbekannte Inhalte tauchen auf, Besucher werden umgeleitet, oder der Browser warnt. Mehr dazu weiter unten.

Passt Ihr Problem in keine dieser Gruppen, schreiben Sie uns trotzdem über die Kontaktseite.

Was können Sie im Notfall sofort selbst tun?

Bis wir uns melden, sorgen diese Schritte dafür, dass keine Spuren verloren gehen und die Reparatur zügig vorangeht:

Nichts löschen, nichts neu aufsetzen, keine Sicherung zurückspielen. Den Fehler finden wir am besten im aktuellen Zustand. Nach einem Angriff zeigen gerade die veränderten Dateien, wo der Täter hereingekommen ist.
Notieren, was sich zuletzt geändert hat: ein Update, ein neu installiertes Plugin, ein anderes Theme, neue Inhalte oder ein Umzug.
Bei Verdacht auf einen Hack neue Passwörter vergeben, und zwar an einem Gerät, das sicher sauber ist. Betroffen sind alle WordPress-Administratoren, der Zugang zum Hoster, FTP oder SFTP und die E-Mail-Konten der Domain. Das Kennwort der Datenbank ändern wir selbst während der Bereinigung, weil WordPress es in seiner Konfiguration gespeichert hat.
Beim Hoster erfragen, welche Sicherungen es gibt und wie alt sie sind. Ein Stand aus der Zeit vor dem Vorfall ist wertvoll und darf nicht überschrieben werden.
Prüfen, ob personenbezogene Daten im Spiel sind, zum Beispiel Formularanfragen, Bestellungen oder Kundenkonten. In dem Fall kann eine Meldepflicht bestehen, siehe die Fragen am Ende.
Zugänge bereithalten: einen Administrator-Login für WordPress sowie den Hosting-Zugang per FTP, SFTP oder Kundenportal.

Wie läuft die Reparatur ab?

Wir reparieren erst, wenn Sie dem Preis zugestimmt haben:

Kontakt: Sie schildern uns telefonisch oder schriftlich, was passiert ist, seit wann der Fehler besteht und was vorher geändert wurde.
Diagnose: Mit Ihren Zugängen halten wir zuerst den Ist-Zustand fest. Anschließend werten wir Protokolle, Dateien, Datenbank und Serverkonfiguration aus.
Angebot und Reparatur: Den Preis nennen wir nach der Diagnose, abhängig vom Aufwand. Mit Ihrer Zustimmung beheben wir den Fehler und testen die Website auf Desktop und Smartphone.
Absicherung: Wir schließen die Schwachstelle und aktualisieren veraltete Komponenten. Außerdem erfahren Sie, wie es dazu kam und wie sich so etwas künftig verhindern lässt.

WordPress gehackt: Woran erkennen Sie einen Angriff?

Ein Hack bleibt oft eine Weile unbemerkt. Viele Angreifer blenden ihre Änderungen für eingeloggte Nutzer aus und zeigen sie nur normalen Besuchern oder dem Google-Crawler. Diese Hinweise sollten Sie ernst nehmen:

Besucher landen auf fremden Websites, manchmal nur, wenn sie aus der Google-Suche kommen oder mit dem Handy surfen.
In den Suchergebnissen erscheint bei Ihrer Website der Zusatz „Diese Website wurde möglicherweise gehackt“, außerdem kann der Browser vor dem Öffnen warnen.
Die Suche „site:ihre-domain.de“ bei Google listet Seiten auf, die Sie nie erstellt haben, oft in fremden Sprachen oder mit Angeboten für Arzneimittel und Markenartikel.
Im Backend gibt es Administratoren, die Ihnen fremd sind, oder Ihr Login wird abgelehnt.
Ihr Hoster meldet Schadcode oder sperrt die Website, oder Ihr Server verschickt plötzlich Spam.
In der Google Search Console steht ein Eintrag unter „Sicherheitsprobleme“.

Gibt es außer einer leeren Seite oder einer Fehlermeldung keine Spur eines Angriffs, handelt es sich eher um einen technischen Defekt wie oben beschrieben.

Was gehört zur Bereinigung einer gehackten Website?

Eine gehackte Website ist erst dann wieder sauber, wenn drei Dinge erledigt sind: Der Schadcode ist weg, das Einfallstor ist zu, und alle Zugänge sind neu. Bleibt ein Punkt offen, kann der Angreifer zurückkehren, über dieselbe Schwachstelle oder eine übersehene Hintertür. Nur Dateien zu löschen genügt also nicht. Wir gehen so vor:

Spuren sichern, Ursache suchen: Zuerst sichern wir den befallenen Zustand. Dann werten wir Serverprotokolle und Dateien aus, um das Einfallstor zu finden. Typisch sind veraltete Plugins, gestohlene Passwörter oder unsichere Themes.
Schadcode beseitigen: Wir reinigen Dateien und Datenbank, entfernen unbekannte Administratoren sowie versteckte Hintertüren und installieren WordPress mit allen Plugins und Themes frisch aus vertrauenswürdigen Quellen.
Schwachstelle schließen: Die betroffene Erweiterung oder das Theme bringen wir auf den neuesten Stand oder tauschen sie aus. Sämtliche Zugänge bekommen neue Passwörter, die Datenbank eingeschlossen, und WordPress erhält neue Sicherheitsschlüssel.
Spam aus dem Index holen: Vom Angreifer angelegte Seiten löschen wir und lassen sie über die Search Console aus den Suchergebnissen entfernen, bis Google sie nicht mehr kennt.
Warnung bei Google aufheben lassen: Mit Zugang zu Ihrer Search Console sehen wir uns die gemeldeten Sicherheitsprobleme an und stellen den Antrag auf Überprüfung, sobald keine Spur des Angriffs mehr übrig ist.
Abschlussbericht: Sie erfahren, auf welchem Weg der Angreifer kam, was er geändert hat und welche Daten möglicherweise betroffen sind. Das brauchen Sie auch, falls der Vorfall dokumentiert oder gemeldet werden muss.

Wie lange bleibt die Warnung bei Google?

Google setzt den Hinweis unter ein Suchergebnis, sobald es vermutet, dass Fremde Inhalte verändert oder Spam-Seiten eingeschleust haben. Bei Schadsoftware und Phishing schlägt zusätzlich der Browser Alarm. Die Warnung verschwindet nicht von selbst. Der Inhaber muss in der Search Console eine Überprüfung beantragen, und das erst, wenn die komplette Website bereinigt ist.

Laut Google dauert die Prüfung nach einem Spam-Hack unter Umständen mehrere Wochen, nach Schadsoftware einige Tage und nach Phishing etwa einen Tag. Ein verfrühter Antrag verlängert die Zeit mit Warnung nur. Voraussetzung ist, dass Ihre Inhaberschaft in der Search Console bestätigt ist. Fehlt das noch, richten wir es mit Ihnen ein, per DNS-Eintrag bei Ihrer Domain oder per Datei auf dem Server.

Wie beugen Sie einem Hack vor?

Die meisten bekannt gewordenen Schwachstellen betreffen Erweiterungen. Vorbeugung bedeutet daher: Updates rasch einspielen, nicht benötigte Plugins entfernen, Sicherungen getrennt vom Webspace lagern und die Website überwachen lassen. All das ist Bestandteil unserer Wartung.

Risiken gibt es aber auch unterhalb von WordPress, nämlich in PHP, der Sprache, in der WordPress programmiert ist, und im Server selbst. Eine Schwachstelle auf dieser Ebene gefährdet sämtliche Websites des Servers, selbst bei aktuellen Plugins und Themes. Auf Serverseite helfen vor allem:

PHP in einer Version, die weiterhin Sicherheitsupdates bekommt,
Updates für PHP und Server direkt nach Erscheinen statt erst beim nächsten regulären Termin,
strikt getrennte Websites, jede unter einem eigenen Systembenutzer und mit separaten PHP-Prozessen, damit sich ein Angriff nicht auf Nachbarseiten ausbreitet,
eine Firewall, die typische Angriffsmuster und Wellen von Anmeldeversuchen stoppt, bevor WordPress sie überhaupt sieht,
Sicherungen außerhalb des Servers und ausreichend lange aufbewahrte Protokolle, damit sich ein Einbruch auch nach Wochen noch rekonstruieren lässt.

Auf den Servern, die wir betreuen, ist das Standard. Zusätzlich härten wir jede Website einzeln: mit Sicherheits-Headern, gesperrten Systemdateien und Regeln gegen verbreitete Angriffe wie Cross-Site-Scripting. Dabei schleust ein Angreifer Code ein, der dann bei Ihren Besuchern im Browser läuft.

Häufige Fragen zu WordPress Wartung und Hilfe

Mit welchen Kosten ist bei WordPress Wartung zu rechnen?

Entscheidend sind die Größe der Website, die Zahl der Plugins und ob wir auch Inhalte pflegen sollen. Sie bekommen vorher ein Angebot, auf Wunsch gemeinsam mit dem Hosting.

Worin unterscheiden sich Wartung und Hosting?

Beim Hosting geht es um den Server, der Ihre Website ausliefert. Die Wartung kümmert sich um WordPress selbst, also um Updates, Sicherheit, Fehlerbehebung und auf Wunsch die Inhalte. Bei uns können Sie beides kombinieren.

Muss die Website auf Ihrem Server liegen?

Nicht zwingend, aber es ist der einfachste Weg. Auf einem Server, den wir betreuen, greifen wir direkt ein, beheben Störungen selbst und legen Sicherungen getrennt vom Webspace ab. Möchten Sie beim bisherigen Anbieter bleiben, besprechen wir, was dort machbar ist.

Was tun Sie, wenn ein Update etwas kaputt macht?

Wir greifen auf die Sicherung zurück, die vor dem Update entstanden ist, und stellen den funktionierenden Stand wieder her. Danach suchen wir die Ursache.

Welche Zugänge brauchen Sie für die WordPress Hilfe?

Ein Administrator-Konto für WordPress und Zugriff auf das Hosting, entweder per FTP oder SFTP oder über das Kundenportal Ihres Hosters. Geht es um nicht zugestellte E-Mails, kommt der Zugang zur Domainverwaltung hinzu.

Was kostet es, wenn WordPress gehackt wurde?

Der Aufwand richtet sich danach, wie weit sich der Angreifer im System ausgebreitet hat. Den Preis nennen wir deshalb nach der Diagnose. Mit der Bereinigung beginnen wir erst, wenn Sie zugestimmt haben.

Genügt nach einem Hack eine ältere Sicherung?

Nein, nicht für sich allein. Die Schwachstelle, über die der Angreifer eingedrungen ist, bleibt damit offen. Außerdem kann die Sicherung bereits befallen sein, falls der Angriff früher stattfand als angenommen. Für die Bereinigung ist sie hilfreich, ersetzen kann sie diese nicht.

Muss ich einen Hack melden?

Möglicherweise. Geht es um personenbezogene Daten, verlangt die DSGVO in Art. 33 grundsätzlich eine Meldung an die zuständige Aufsichtsbehörde, nach Möglichkeit innerhalb von 72 Stunden ab Kenntnis des Vorfalls, außer es entsteht voraussichtlich kein Risiko für die Betroffenen. Dieser Hinweis ersetzt keine Rechtsberatung, klären Sie den Einzelfall mit Ihrem Datenschutzbeauftragten oder einem Anwalt.

Ist PHP unsicher?

Nein, nicht grundsätzlich. PHP zählt zu den am häufigsten eingesetzten Sprachen im Web, und auch WordPress basiert darauf. Schwere Sicherheitslücken treten in jeder weit verbreiteten Software auf, ein bekanntes Beispiel ist Log4Shell, eine Lücke in Log4j für Java aus dem Jahr 2021. Wichtig ist, eine unterstützte PHP-Version zu nutzen und deren Updates ohne Verzögerung einzuspielen.