Website Wartungsvertrag: Leistungen, Checkliste, VertragWebsite Maintenance Contract: What to Include
Ein Website Wartungsvertrag regelt Updates, Backups, Sicherheit, Datenschutz, Performance und Content verbindlich. Hier steht, was hineingehört und worauf Sie achten sollten.A website maintenance contract sets out updates, backups, security, data protection, performance and content in binding terms. Here is what belongs in it and what to check.
Eine Website ist kein Plakat, das einmal hängt und dann hält. Sie besteht aus Software, Erweiterungen, Servern und Daten, und all das verändert sich laufend. Ein Website Wartungsvertrag macht aus dem guten Vorsatz „Ich sollte da mal nachsehen“ eine verbindliche Routine mit klaren Zuständigkeiten.
Dieser Beitrag richtet sich zuerst an Betreiber von Websites: Was gehört in einen Wartungsvertrag, worauf sollten Sie achten, und woran erkennen Sie ein schwaches Angebot? Am Ende folgt ein kurzer Abschnitt für Agenturen und Freelancer, die damit planbare Einnahmen aufbauen.
Warum Wartung kein Luxus ist: Was die Zahlen zeigen
Der Sicherheitsanbieter Patchstack wertet jedes Jahr die bekannt gewordenen Schwachstellen im WordPress-Umfeld aus. Für 2025 zählte er 11.334 neue Schwachstellen. Davon entfielen 91 % auf Plugins, 9 % auf Themes und nur 6 Fälle auf den WordPress-Kern.
Zwei weitere Werte aus demselben Bericht sind für Betreiber wichtig. 46 % der Schwachstellen waren bei der Veröffentlichung noch nicht vom Hersteller behoben, und der gewichtete Median bis zum ersten Angriff lag bei 5 Stunden. Etwa die Hälfte der Lücken mit hoher Auswirkung wurde binnen 24 Stunden ausgenutzt.
Was das praktisch heißt: Das größte Risiko liegt selten im Kern, sondern in den Erweiterungen, die Sie nachträglich installiert haben. Und monatliches Nachsehen reicht nicht immer, wenn Angriffe so schnell folgen. Ein guter Vertrag regelt deshalb, wie mit kritischen Sicherheitsmeldungen außerhalb des Routinezyklus umgegangen wird.
Zwei Einschränkungen gehören dazu. Patchstack verkauft selbst Sicherheitslösungen, die Zahlen stammen also von einem Anbieter mit Eigeninteresse. Und sie beschreiben WordPress, nicht jedes andere System. Dass Software ohne Pflege angreifbar wird, gilt allerdings allgemein: Das deutsche BSI empfiehlt, Sicherheitsupdates so rasch wie möglich einzuspielen und Backups regelmäßig zu testen.
Was zu einem Website Wartungsvertrag gehört
Die Bausteine lassen sich in sechs Bereiche gliedern. Nicht jede Website braucht jeden Baustein in voller Tiefe, aber jeder Bereich sollte im Vertrag entweder geregelt oder bewusst ausgeschlossen sein.
Updates für Kern, Plugins und Themes
WordPress aktualisiert kleine Kernversionen auf den meisten Seiten automatisch, laut WordPress-Dokumentation wird das Abschalten ausdrücklich nicht empfohlen. Größere Updates, Plugins und Themes brauchen dagegen oft Prüfung, weil eine neue Version eine bestehende Funktion brechen kann. Im Vertrag sollte stehen, ob getestet wird (zum Beispiel auf einer Kopie der Seite), wie schnell Sicherheitsupdates eingespielt werden und was passiert, wenn ein Plugin nicht mehr weiterentwickelt wird.
Backups, die man wirklich zurückspielen kann
Ein Backup, das nie getestet wurde, ist eine Vermutung. Das BSI rät, Sicherungskopien anzulegen und sie regelmäßig zu testen. Legen Sie fest, wie oft gesichert wird, wo die Kopien liegen (nicht nur auf demselben Server), wie lange sie aufbewahrt werden und wie schnell eine Wiederherstellung beginnt. Die WordPress-Dokumentation nennt eine Sicherung vor jedem größeren Update als wichtige Vorbereitung.
Sicherheit und Überwachung
Google empfiehlt Website-Betreibern, alle eingesetzten Programme und Plugins samt Versionen im Blick zu behalten, Logdateien zu prüfen und die Sicherheitsmeldungen in der Search Console zu beobachten. Ein Wartungsvertrag sollte benennen, wer diese Meldungen liest und was bei einem Verdachtsfall geschieht: Wer wird informiert, wer bereinigt, wer spielt das Backup ein?
DSGVO und Datenschutz
Wartung ist auch eine Datenschutzfrage. Art. 32 DSGVO verlangt „geeignete technische und organisatorische Maßnahmen“ für ein angemessenes Schutzniveau, ausdrücklich auch die Fähigkeit, Daten nach einem Zwischenfall rasch wiederherzustellen, und ein Verfahren zur regelmäßigen Überprüfung (Wortlaut Art. 32). Hat der Dienstleister Zugriff auf personenbezogene Daten, etwa auf Formularanfragen oder Kundenkonten, kann zudem ein Vertrag nach Art. 28 DSGVO nötig sein. Ob das bei Ihnen zutrifft, klären Sie im Einzelfall mit Ihrer Datenschutzberatung oder Rechtsvertretung.
Performance-Kontrolle
Eine Seite wird nicht nur durch Angriffe schlechter, sondern auch schleichend durch neue Plugins, größere Bilder und Skripte von Drittanbietern. Google nennt als Richtwerte für gute Nutzererfahrung einen Largest Contentful Paint von höchstens 2,5 Sekunden, einen Interaction to Next Paint von höchstens 200 Millisekunden und einen Cumulative Layout Shift von höchstens 0,1 (web.dev, Core Web Vitals). Vereinbaren Sie, dass diese Werte regelmäßig geprüft und Abweichungen berichtet werden. Mehr zum Zusammenhang von Tempo und Handy-Nutzung lesen Sie im Beitrag Mobile-First für KMUs.
Content-Pflege
Veraltete Öffnungszeiten, tote Links, abgelaufene Aktionen: Das kostet Vertrauen und Anfragen. Klären Sie, ob kleine Textänderungen im Vertrag enthalten sind, in welcher Frist sie umgesetzt werden und was als Zusatzaufwand gilt. Eine pauschale Formel wie „Content-Pflege inklusive“ ohne Mengenangabe führt später oft zum Streit.
Checkliste und Vertragsfallen
Was ein guter Wartungsvertrag enthält
- Leistungsumfang: Jede Tätigkeit einzeln benannt (Updates, Backups, Sicherheitsprüfung, Performance-Check, Content-Änderungen), dazu eine klare Liste dessen, was nicht enthalten ist.
- Rhythmus: Wie oft wird was gemacht, und wie schnell werden Sicherheitsupdates eingespielt?
- Backup-Regeln: Häufigkeit, Speicherort, Aufbewahrung, regelmäßiger Wiederherstellungstest.
- Reaktionszeiten: Innerhalb welcher Frist melden Sie sich bei einem Ausfall oder Sicherheitsvorfall, und über welchen Kanal?
- Zugänge und Eigentum: Sie bleiben Inhaber von Domain, Hosting-Konto und Inhalten. Zugänge werden dokumentiert und bei Vertragsende übergeben.
- Datenschutz: Regelung zum Umgang mit personenbezogenen Daten, bei Bedarf Auftragsverarbeitungsvertrag.
- Berichte: Was wurde getan, was ist aufgefallen, was empfehlen die Fachleute als Nächstes?
- Kontingent für Änderungen: Wie viel Content-Pflege ist enthalten, wie wird Mehraufwand angeboten und freigegeben?
- Laufzeit und Kündigung: Mindestlaufzeit, Kündigungsfrist, Ablauf der Übergabe.
- Haftung und Grenzen: Was passiert, wenn ein Update Schäden verursacht? Hier lassen Sie die Formulierung rechtlich prüfen.
Typische Fallen im Kleingedruckten
| Klausel | Worauf Sie achten sollten | Warnsignal |
|---|---|---|
| „Wartung“ ohne Aufzählung | Konkrete Tätigkeiten und Intervalle | Nur ein Pauschalbegriff |
| Backups | Test der Wiederherstellung, getrennter Speicherort | „Automatische Backups“ ohne Details |
| Zugänge | Domain und Hosting auf Ihren Namen | Alles läuft über Konten des Dienstleisters |
| Laufzeit | Nachvollziehbare Mindestlaufzeit und Kündigungsfrist | Stillschweigende lange Verlängerung |
| Reports | Konkrete Inhalte, regelmäßig geliefert | Kein Nachweis der Leistung |
Was Care & Growth von TRIUM abdeckt, und was nicht
Auf der Seite Care & Growth beschreibt TRIUM die monatliche Betreuung nach dem Launch. Enthalten sind laufende SEO-Pflege und Ranking-Monitoring, vier Social-Media-Posts pro Monat, monatliche Conversion-Iterationen und Website-Verbesserungen sowie ein Performance-Report mit Handlungsempfehlungen. Der Ansatz folgt dem Gedanken, dass Rankings, Wettbewerber und Suchverhalten sich ständig ändern und eine Seite nach dem Launch nicht stillstehen sollte.
Wichtig für Ihre Planung: Technische Wartung im engeren Sinn, also Plugin-Updates, Backups oder Sicherheitsüberwachung, wird auf dieser Seite nicht als Leistung genannt. Wenn Sie genau das suchen, fragen Sie danach, bevor Sie sich entscheiden. Ob Care & Growth auch ohne eine Website von TRIUM gebucht werden kann, hängt laut TRIUM von Ihrer bestehenden Website ab und wird im Gespräch geklärt. Preise werden im persönlichen Gespräch besprochen.
Wenn Sie wissen möchten, wie es um Ihre Seite steht, ist der kostenlose Website-Check für KMUs ein guter Einstieg. Für Fragen zu Betreuungsmodellen können Sie ein kostenloses Erstgespräch buchen. Der Hintergrund zu TRIUMs Ablauf steht in der 369-Methode, die als letzten Schritt das Pflegen mit monatlichem Report vorsieht.
Für Agenturen und Freelancer: planbare Einnahmen aufbauen
Wer Websites baut, lebt oft von Projekt zu Projekt. Ein Wartungsvertrag verteilt einen Teil der Einnahmen gleichmäßiger über das Jahr und hält den Kontakt zum Kunden nach dem Launch. Das schafft Gelegenheiten für Verbesserungen, etwa bei Conversion oder SEO.
Die Rechnung ist einfach, aber sie hat eine Falle: Wiederkehrende Einnahmen entsprechen der Zahl der Verträge mal dem Monatsbetrag, doch jeder Vertrag bindet Zeit und Verantwortung. Beispielrechnung mit klar gekennzeichneten Annahmen: Nehmen wir an, ein Kunde verursacht im Schnitt 1,5 Stunden Aufwand pro Monat. Dann sind 10 Kunden 15 Stunden, 30 Kunden 45 Stunden, also mehr als eine Arbeitswoche, bevor der erste Notfall passiert. Die 1,5 Stunden sind eine Annahme, keine Marktzahl. Messen Sie Ihre eigene Zahl über ein paar Monate.
- Definieren Sie ein kleines Standardpaket mit klar beschriebenem Leistungsumfang statt jedes Mal ein Individualangebot.
- Dokumentieren Sie den Monatsablauf und automatisieren Sie, was sich automatisieren lässt.
- Planen Sie Kapazität für Notfälle ein und regeln Sie im Vertrag, was als Notfall gilt.
- Schreiben Sie Haftung und Grenzen so, dass Sie sie halten können, und lassen Sie die Vorlage einmal juristisch prüfen.
- Schicken Sie jeden Monat einen kurzen Bericht, damit der Kunde sieht, was er bekommt.
Wann das nicht passt
Nicht jede Seite braucht einen laufenden Vertrag. Eine kleine statische Visitenkarten-Seite ohne Formulare und Plugins hat weniger Angriffsfläche, hier kann eine jährliche Prüfung genügen. Auch wenn Ihr Hoster bereits Updates und Backups verlässlich übernimmt, brauchen Sie womöglich nur die Bereiche, die er nicht abdeckt.
Für Dienstleister gilt: Wer keine Kapazität hat, Notfälle zuverlässig zu bearbeiten, sollte Wartung nicht als Nebenprodukt anbieten. Ein schlecht erfüllter Vertrag schadet dem Ruf mehr als kein Vertrag.
Häufige Fragen
Was ist ein Website Wartungsvertrag?
Eine schriftliche Vereinbarung, in der ein Dienstleister sich verpflichtet, Ihre Website regelmäßig zu pflegen. Typische Inhalte sind Updates, Backups, Sicherheitsprüfungen, Performance-Kontrolle und kleine Inhaltsänderungen, jeweils mit festgelegtem Rhythmus und Umfang.
Wie oft sollte eine Website gewartet werden?
Das hängt von System und Risiko ab. Wegen der schnellen Angriffe, die Patchstack beschreibt, sollten Sicherheitsupdates möglichst zeitnah erfolgen, Routineprüfungen bieten sich monatlich an. Legen Sie den Rhythmus im Vertrag fest.
Reichen automatische Updates aus?
Teilweise. WordPress führt kleine Kern-Updates auf den meisten Seiten automatisch aus. Bei Plugins und größeren Versionen kann ein Test sinnvoll sein, damit nach dem Update alles funktioniert. Wichtig ist, dass jemand das Ergebnis kontrolliert.
Ist Wartung nach DSGVO Pflicht?
Art. 32 DSGVO verlangt angemessene technische und organisatorische Maßnahmen und ein Verfahren zur regelmäßigen Überprüfung. Wie das konkret für Ihre Seite aussieht, hängt von den verarbeiteten Daten ab. Klären Sie das mit Ihrer Datenschutzberatung.
Welche Mindestlaufzeit ist üblich?
Dazu gibt es keinen einheitlichen Standard, den wir belegen könnten. Achten Sie auf eine nachvollziehbare Laufzeit, eine klare Kündigungsfrist und eine geregelte Übergabe der Zugänge.
Deckt TRIUM Care & Growth technische Wartung ab?
Auf der Leistungsseite sind SEO-Pflege, Ranking-Monitoring, vier Social-Media-Posts, Conversion-Iterationen und ein Performance-Report genannt. Technische Wartung wie Updates oder Backups wird dort nicht aufgeführt. Fragen Sie im Erstgespräch nach, was für Ihre Seite gelten soll.
Quellen
- Patchstack: State of WordPress Security in 2026, 25. Februar 2026.
- Google Search Central: How to prevent malware infection, Stand 10. Dezember 2025.
- BSI: Schritt 2: Schutzmaßnahmen ergreifen, abgerufen am 3. Oktober 2026.
- WordPress Developer Resources: Upgrading WordPress, abgerufen am 3. Oktober 2026.
- Verordnung (EU) 2016/679 (DSGVO), Art. 32, Textwiedergabe, abgerufen am 3. Oktober 2026.
- Verordnung (EU) 2016/679 (DSGVO), Art. 28, Textwiedergabe, abgerufen am 3. Oktober 2026.
- web.dev (Google): Web Vitals, Stand 31. Oktober 2024.
A website is not a poster that you hang once and forget. It consists of software, extensions, servers and data, and all of it keeps changing. A website maintenance contract turns the vague intention "I should check on that sometime" into a binding routine with clear responsibilities.
This article is written first for website owners: what belongs in a maintenance contract, what to look for, and how to spot a weak offer. A short section at the end covers agencies and freelancers who want to build predictable income this way.
Why maintenance is not a luxury: what the numbers show
The security vendor Patchstack analyses publicly known vulnerabilities in the WordPress ecosystem every year. For 2025 it counted 11,334 new vulnerabilities. Of these, 91% were in plugins, 9% in themes and only 6 in WordPress core.
Two more figures from the same report matter to site owners. 46% of vulnerabilities had not been fixed by the vendor at the time of disclosure, and the weighted median time to the first exploit was 5 hours. About half of the high-impact vulnerabilities were exploited within 24 hours.
In practice, the biggest risk rarely sits in the core. It sits in the extensions you added later. And a monthly look is not always enough when attacks follow that quickly, so a good contract also defines how critical security alerts are handled outside the routine cycle.
Two caveats apply. Patchstack sells security products itself, so these figures come from a vendor with an interest. They also describe WordPress, not every other system. That unmaintained software becomes vulnerable is a general rule, though: Germany's BSI recommends installing security updates as quickly as possible and testing backups regularly.
What belongs in a website maintenance contract
The building blocks fall into six areas. Not every site needs every block in full depth, but each area should either be covered in the contract or deliberately excluded.
Updates for core, plugins and themes
WordPress updates minor core releases automatically on most sites, and its documentation strongly discourages switching that off. Larger updates, plugins and themes often need checking, because a new version can break an existing feature. The contract should say whether updates are tested (for example on a copy of the site), how fast security updates are applied, and what happens when a plugin is no longer maintained.
Backups you can actually restore
A backup that has never been tested is a guess. The BSI advises creating backup copies and testing them regularly. Define how often backups run, where the copies are stored (not only on the same server), how long they are kept and how quickly a restore starts. The WordPress documentation also names a backup before any major update as essential preparation.
Security and monitoring
Google recommends that site owners keep track of all software and plugins in use, including versions, check log files and watch the security reports in Search Console. A maintenance contract should name who reads these reports and what happens in a suspected incident: who is informed, who cleans up, who restores the backup?
GDPR and data protection
Maintenance is also a data protection matter. Article 32 GDPR requires "appropriate technical and organisational measures" for a suitable level of security, expressly including the ability to restore access to personal data in a timely manner after an incident and a process for regularly testing the measures (text of Art. 32). If the service provider has access to personal data, such as form submissions or customer accounts, a contract under Art. 28 GDPR may also be required. Whether that applies to you is a question for your data protection adviser or legal counsel.
Performance monitoring
Sites get worse not only through attacks but gradually, through new plugins, larger images and third-party scripts. Google gives these thresholds for a good experience: Largest Contentful Paint of 2.5 seconds or less, Interaction to Next Paint of 200 milliseconds or less and Cumulative Layout Shift of 0.1 or less (web.dev, Core Web Vitals). Agree that these values are checked regularly and deviations are reported. For more on speed and phone use, read mobile-first for small businesses.
Content upkeep
Outdated opening hours, dead links, expired offers: they cost trust and enquiries. Clarify whether small text changes are included, how fast they are done and what counts as extra work. A blanket phrase like "content upkeep included" without any quantity often leads to disputes later.
Checklist and contract traps
What a good maintenance contract contains
- Scope: Every task named separately (updates, backups, security checks, performance checks, content changes), plus a clear list of what is not included.
- Rhythm: How often is each task done, and how fast are security updates applied?
- Backup rules: Frequency, storage location, retention, regular restore test.
- Response times: Within what period do you hear back after an outage or security incident, and through which channel?
- Access and ownership: You remain the owner of the domain, hosting account and content. Access is documented and handed over when the contract ends.
- Data protection: Rules for handling personal data and, where needed, a data processing agreement.
- Reports: What was done, what stood out, what is recommended next?
- Change allowance: How much content upkeep is included, and how is extra work quoted and approved?
- Term and termination: Minimum term, notice period, handover process.
- Liability and limits: What happens if an update causes damage? Have this wording reviewed legally.
Typical traps in the small print
| Clause | What to look for | Warning sign |
|---|---|---|
| "Maintenance" without a list | Concrete tasks and intervals | Only a catch-all term |
| Backups | Restore test, separate storage location | "Automatic backups" without details |
| Access | Domain and hosting in your name | Everything runs through the provider's accounts |
| Term | Reasonable minimum term and notice period | Silent, long renewal |
| Reports | Concrete content, delivered regularly | No proof of work |
What TRIUM's Care & Growth covers, and what it does not
On its Care & Growth page, TRIUM describes monthly support after launch. It includes ongoing SEO upkeep and ranking monitoring, four social media posts per month, monthly conversion iterations and website improvements, and a performance report with recommendations. The idea behind it is that rankings, competitors and search behaviour keep changing, so a site should not stand still after launch.
Important for your planning: technical maintenance in the narrower sense, meaning plugin updates, backups or security monitoring, is not listed as a service on that page. If that is what you are looking for, ask about it before you decide. According to TRIUM, whether Care & Growth can be booked without a TRIUM website depends on your existing site and is clarified in conversation. Prices are discussed in a personal conversation.
If you want to know where your site stands, the free website check for small businesses is a good start. For questions about support models, you can book a free initial call. The background to TRIUM's process is in the 369 method, whose last step is upkeep with a monthly report.
For agencies and freelancers: building predictable income
If you build websites, you often live from project to project. A maintenance contract spreads part of your income more evenly across the year and keeps you in touch with the client after launch. That creates openings for improvements, for example in conversion or SEO.
The arithmetic is simple, but it has a catch: recurring income equals the number of contracts times the monthly fee, yet every contract ties up time and responsibility. An example with clearly marked assumptions: suppose one client causes 1.5 hours of work per month on average. Then 10 clients mean 15 hours, 30 clients mean 45 hours, more than a working week, before the first emergency happens. The 1.5 hours is an assumption, not a market figure. Measure your own number over a few months.
- Define one small standard package with a clearly described scope instead of a custom quote every time.
- Document the monthly routine and automate what can be automated.
- Reserve capacity for emergencies and define in the contract what counts as one.
- Write liability and limits so that you can keep to them, and have the template reviewed legally once.
- Send a short report every month so the client sees what they are getting.
When this does not fit
Not every site needs an ongoing contract. A small static brochure site without forms or plugins has less attack surface, and an annual check may be enough. If your host already handles updates and backups reliably, you may only need the areas it does not cover.
For providers: if you lack the capacity to handle emergencies reliably, do not offer maintenance as a side product. A badly fulfilled contract hurts your reputation more than no contract.
Frequently asked questions
What is a website maintenance contract?
A written agreement in which a provider commits to maintaining your website regularly. Typical contents are updates, backups, security checks, performance monitoring and small content changes, each with a defined rhythm and scope.
How often should a website be maintained?
It depends on the system and the risk. Because of the fast attacks Patchstack describes, security updates should be applied promptly, and routine checks work well monthly. Set the rhythm in the contract.
Are automatic updates enough?
Partly. WordPress applies minor core updates automatically on most sites. For plugins and larger versions, a test can make sense so everything still works afterwards. What matters is that someone checks the result.
Is maintenance a GDPR requirement?
Article 32 GDPR requires appropriate technical and organisational measures and a process for regular testing. What that means for your site depends on the data you process. Clarify it with your data protection adviser.
What minimum term is usual?
There is no uniform standard that we can document. Look for a reasonable term, a clear notice period and a regulated handover of access.
Does TRIUM Care & Growth include technical maintenance?
The service page lists SEO upkeep, ranking monitoring, four social media posts, conversion iterations and a performance report. Technical maintenance such as updates or backups is not listed there. Ask in the initial call what should apply to your site.
Sources
- Patchstack: State of WordPress Security in 2026, 25 February 2026.
- Google Search Central: How to prevent malware infection, last updated 10 December 2025.
- BSI (German Federal Office for Information Security): Schritt 2: Schutzmaßnahmen ergreifen (in German), accessed 3 October 2026.
- WordPress Developer Resources: Upgrading WordPress, accessed 3 October 2026.
- Regulation (EU) 2016/679 (GDPR), Art. 32, text reproduction, accessed 3 October 2026.
- Regulation (EU) 2016/679 (GDPR), Art. 28, text reproduction, accessed 3 October 2026.
- web.dev (Google): Web Vitals, last updated 31 October 2024.
Möchten Sie das für Ihr Unternehmen umsetzen?Want this for your business?
In einem kostenlosen 30-Minuten-Gespräch zeigen wir Ihnen, wo bei Ihnen der größte Hebel liegt. Passende Leistung: Care & Growth.In a free 30-minute call we show you where your biggest lever is. Related service: Care & Growth.
Termin buchenBook a call Demo anfragenRequest a demo
