Website-Wartung: Updates, Backups und Sicherheit

Kurz gesagt

• Wartung hält die Technik sicher, Pflege die Inhalte aktuell. Ein gutes Angebot nennt beides getrennt.
• Ein Backup zählt erst, wenn die Wiederherstellung einmal geprobt wurde.
• Programme suchen automatisch nach Websites mit bekannten Lücken, egal wie groß der Betrieb dahinter ist.
• TLS-Zertifikate, die seit dem 15. März 2026 ausgestellt werden, gelten höchstens 200 Tage, ab März 2027 nur noch 100. Die Erneuerung muss deshalb automatisch laufen.
• Sind nach einem Angriff personenbezogene Daten betroffen, ist in der Regel die Datenschutzaufsicht zu informieren: unverzüglich und möglichst binnen 72 Stunden.

Wartung ist nicht Pflege

Wartung betrifft die Technik: die Software, auf der die Website läuft, den Server, das Zertifikat, die Sicherungen und die Zugänge. Pflege betrifft die Inhalte: neue Öffnungszeiten, ein geändertes Angebot, ein neues Foto.

Wer die Inhalte selbst pflegt, braucht trotzdem jemanden für die Technik, und ein Wartungsvertrag ändert oft keinen Satz auf Ihrer Seite. Fragen Sie deshalb bei jedem Angebot zweimal: Wer hält die Technik sicher, und wer ändert die Inhalte?

Was zur Wartung gehört

Gleich welches System: Wartung besteht aus fünf Teilen.

Updates

Aktualisiert werden der Kern des Systems, jede Erweiterung und die Software auf dem Server. „Automatisch“ heißt bei vielen Systemen nur, dass kleine Sicherheitsupdates des Kerns von selbst kommen. Erweiterungen und größere Versionssprünge brauchen Handarbeit.

Backups

Gesichert werden Dateien und Datenbank nach der 3-2-1-Regel: drei Kopien, das Original mitgezählt, auf zwei verschiedenen Speichern, eine davon an einem anderen Ort als der Server. Die älteste Kopie reicht Wochen zurück, weil ein Einbruch oft spät auffällt. Und einmal wird eine Kopie probeweise zurückgespielt. Erst dann wissen Sie, dass sie vollständig ist und wie lange die Seite im Ernstfall fehlt.

Zertifikat

Das TLS-Zertifikat verschlüsselt die Verbindung. Nach einem Beschluss des CA/Browser Forums, des Gremiums der Zertifizierungsstellen und Browserhersteller, gelten öffentliche Zertifikate, die seit dem 15. März 2026 ausgestellt werden, höchstens 200 Tage. Ab März 2027 sind es 100 Tage, ab März 2029 nur noch 47. Die Erneuerung muss deshalb automatisch laufen, und eine Überwachung meldet, wenn sie scheitert.

Zugänge

Jede Person hat einen eigenen Zugang mit Zwei-Faktor-Anmeldung: für die Verwaltung der Website, das Hosting, die E-Mail und vor allem die Domain. Scheidet jemand aus oder wechseln Sie die Agentur, werden deren Zugänge am selben Tag gelöscht. Mehr dazu im Artikel zum Wechsel des Webdesigners.

Überwachung

Ein Dienst prüft in kurzen Abständen, ob die Seite erreichbar ist. Und die Website ist in der Google Search Console eingetragen: Findet Google Schadcode, sehen Sie es dort im Bericht „Sicherheitsprobleme“. Wie Sie die Search Console einrichten, steht im Artikel über Websites, die Google nicht findet.

Warum gerade kleine Websites angegriffen werden

Bei vielen Angriffen sucht sich niemand ein Ziel aus: Programme durchsuchen das Netz nach Software mit bekannten Lücken, beim Konzern wie bei der Physiotherapiepraxis. Laut Lagebericht 2025 des BSI setzen Angreifer zunehmend auf viele kleine, leicht umsetzbare Angriffe, und viele Unternehmen sichern ihre aus dem Internet erreichbaren Systeme nicht ausreichend ab. Besonders oft trifft es kleine und mittlere Unternehmen. Im Berichtszeitraum von Juli 2024 bis Juni 2025 wurden im Schnitt 119 neue Sicherheitslücken bekannt, jeden Tag.

Im Juli 2026 warnte das BSI vor zwei Lücken im Kern von WordPress, über die sich eine gewöhnliche Installation ohne Anmeldung übernehmen ließ. Wer erst Tage nach dem Update aktualisierte, musste mit einem Einbruch rechnen und die Seite auf Spuren prüfen. Übernommene Seiten verteilen etwa Spam oder Schadsoftware, und Browser warnen dann vor Ihrer Adresse.

Einen Wartungsvertrag beurteilen: sechs Fragen

Diese sechs Fragen sollte jedes Angebot schriftlich beantworten, auch unseres.

1. Was wird aktualisiert, und wie schnell? Kern, Erweiterungen und Server; kritische Updates zeitnah, nicht zum nächsten Monatstermin.
2. Wer prüft danach? Ein Update, das das Kontaktformular stilllegt, fällt sonst erst auf, wenn keine Anfragen mehr kommen.
3. Wie wird gesichert? Wie oft, wo, wie lange, und wann zuletzt eine Wiederherstellung geprobt wurde.
4. Wem gehören Domain und Zugänge? Die Domain ist auf Ihren Namen eingetragen, und bei einer Kündigung bekommen Sie alle Zugänge und Daten.
5. Was geschieht im Ernstfall? Wie schnell der Anbieter reagiert und ob die Bereinigung nach einem Angriff enthalten ist.
6. Ist die Auftragsverarbeitung geregelt? Der Anbieter verarbeitet Daten in Ihrem Auftrag und braucht einen Vertrag nach Art. 28 DSGVO. Eine Datenpanne muss er Ihnen unverzüglich melden, denn gegenüber der Aufsicht sind Sie in der Pflicht.

Gehackt: die ersten Schritte

Anzeichen sind fremde Seiten in den Suchergebnissen, Weiterleitungen auf unbekannte Adressen, eine Browserwarnung oder eine Nachricht der Search Console. Dann in dieser Reihenfolge:

1. Festhalten, was Sie sehen: Bildschirmfotos, Uhrzeit, betroffene Adressen.
2. Hoster oder Dienstleister informieren und die Seite, wenn nötig, vorübergehend vom Netz nehmen.
3. Ein sauberes Backup einspielen, eines von vor dem Einbruch, und sofort alle Updates nachholen. Sonst kommt der Angreifer durch dieselbe Lücke wieder.
4. Alle Zugänge ändern (Website, Hosting, Datenbank, E-Mail), von einem sauberen Gerät aus und erst jetzt: Die Sicherung bringt die alten Passwörter der Website mit.
5. In der Search Console „Sicherheitsprobleme“ ansehen und nach der Bereinigung dort eine Überprüfung beantragen; laut Google dauert sie je nach Problem einen Tag bis mehrere Wochen.

Waren personenbezogene Daten betroffen, etwa Anfragen aus dem Kontaktformular, melden Sie das nach Art. 33 DSGVO unverzüglich und möglichst binnen 72 Stunden der Datenschutzaufsicht Ihres Bundeslands, außer es besteht voraussichtlich kein Risiko für die Betroffenen. Dokumentieren müssen Sie den Vorfall immer; bei hohem Risiko sind nach Art. 34 auch die Betroffenen zu informieren.

Wartung bei Miete und bei Kauf

Mieten Sie Ihre Website bei Talvesa, gehören Updates und Sicherheit sowie Hosting in Deutschland mit SSL zu jedem Paket. Pflege ist getrennt geregelt: Einige kleine Änderungen im Jahr sind enthalten, mehr übernimmt die Content-Pflege (29 €/Monat, brutto 34,51 €). Ob alles läuft, zeigt das Website-Cockpit (5 €/Monat, brutto 5,95 €, in L · Plus enthalten) auf einer Status-Seite.

Eine gekaufte Website gehört Ihnen, und mit ihr die Wartung. Sie können sie selbst übernehmen, jemanden beauftragen oder unsere Betreuung buchen, mit Hosting, Domain und Updates, ohne inhaltliche Änderungen: 15 €/Monat (brutto 17,85 €/Monat) für Präsenz, 19 €/Monat (brutto 22,61 €/Monat) für Business und 29 €/Monat (brutto 34,51 €/Monat) für Plus, jeweils netto, brutto in Klammern. Ab wann sich der Kauf lohnt, zeigt der Vergleich Website mieten oder kaufen?

Dieser Artikel ist eine Orientierung und keine Rechtsberatung.

Quellen

• Search Console-Hilfe: Bericht „Sicherheitsprobleme“