WordPress-Wartung: dein verlässliches Agentur-Standbein

Der Anruf kommt an einem Sonntagmorgen: Die Website eines Kunden leitet plötzlich auf eine dubiose Glücksspielseite um, Google zeigt eine Malware-Warnung, und der Kunde ist in Panik. Du öffnest das Backend und findest die übliche Ursache – ein Plugin, das seit vierzehn Monaten kein Update mehr bekommen hat, mit einer öffentlich bekannten Lücke, die längst gepatcht gewesen wäre, hätte sie jemand eingespielt. Jetzt ist es Notfall statt Routine, und der Sonntag ist gelaufen.

Wenn du WordPress-Seiten für Kunden betreust, kennst du dieses Szenario. Es ist ärgerlich, aber es ist auch eine Chance – denn genau hier entsteht ein Argument für ein Geschäftsmodell, das kleine Agenturen unterschätzen: die kontinuierliche Wartung als festes, wiederkehrendes Standbein. Dieser Beitrag zeigt dir mit aktuellen Zahlen, wo das Risiko bei WordPress wirklich liegt, warum Updates allein nicht reichen und wie du daraus ein tragfähiges Angebot machst.

Warum WordPress-Wartung 2026 unverzichtbar ist

WordPress ist unverändert das Rückgrat des Webs. Nach den Daten von W3Techs laufen rund 42,6 Prozent aller Websites weltweit auf WordPress; unter den Seiten mit einem bekannten Content-Management-System sind es sogar knapp 60 Prozent. Diese Dominanz ist der Grund, warum WordPress-Seiten ein bevorzugtes Ziel für automatisierte Angriffe sind: Wer eine Schwachstelle in einem verbreiteten Plugin findet, kann sie über Bots gleich gegen zehntausende Seiten ausspielen.

Und Schwachstellen gibt es reichlich. Der Sicherheitsdienstleister Patchstack hat in seinem Jahresbericht zur WordPress-Sicherheit für das Jahr 2024 insgesamt 7.966 neue Sicherheitslücken im WordPress-Ökosystem dokumentiert – ein Anstieg von 34 Prozent gegenüber dem Vorjahr und im Schnitt rund 22 neue Lücken pro Tag. Der Trend setzt sich fort: Allein im ersten Halbjahr 2025 kamen laut Patchstacks Halbjahresbericht weitere 6.700 Schwachstellen hinzu.

Für eine Agentur, die nebenbei ein paar Kundenseiten „mitlaufen" lässt, ist das eine unbequeme Wahrheit: Der Zustand einer WordPress-Seite ist kein Dauerzustand, sondern ein bewegliches Ziel. Was heute sicher ist, kann nächste Woche eine bekannte Lücke haben.

Das Risiko heißt Plugin, nicht Core

Die wichtigste Erkenntnis aus den Zahlen ist zugleich die beruhigendste – und die, die dein Wartungsangebot begründet. Das Problem ist fast nie WordPress selbst.

Von den 7.966 Lücken des Jahres 2024 entfielen 96 Prozent auf Plugins und 4 Prozent auf Themes. Auf den WordPress-Core selbst gingen ganze sieben Schwachstellen zurück – keine davon mit breitem Bedrohungspotenzial. Im ersten Halbjahr 2025 zeigte sich dasselbe Bild: 89 Prozent aller Lücken steckten in Plugins, exakt eine einzige im Core. Der Kern von WordPress wird von einem großen Team gepflegt und aktualisiert sich weitgehend selbst. Die Gefahr sitzt in den Erweiterungen, die jede Seite individuell mitbringt – vom Kontaktformular über den Page-Builder bis zum Shop-Plugin.

Besonders heikel wird es bei verwaisten Plugins. Patchstack berichtet, dass 2024 rund 1.614 Plugins und Themes wegen ungelöster Sicherheitsprobleme aus dem offiziellen Verzeichnis entfernt wurden – die große Mehrheit davon mit Lücken hoher oder mittlerer Priorität. Diese Erweiterungen bleiben auf bestehenden Seiten installiert und aktiv, bekommen aber nie wieder ein Update. Wer sie nicht bemerkt und ersetzt, betreibt eine tickende Zeitbombe.

Dazu kommt: Ein erheblicher Teil der Lücken ist zum Zeitpunkt der Veröffentlichung noch gar nicht geschlossen. Laut Patchstack wurden 2024 rund ein Drittel der Schwachstellen nicht rechtzeitig zur öffentlichen Bekanntmachung gepatcht. Und die Lücken werden gefährlicher: Der Anteil der Schwachstellen, die sich in realen Angriffen tatsächlich ausnutzen lassen, stieg von 30,4 Prozent im Jahr 2024 auf 41 Prozent im ersten Halbjahr 2025.

Warum „einmal Updates klicken" nicht reicht

Die naheliegende Antwort – „dann spiele ich halt regelmäßig die Updates ein" – greift zu kurz, und das aus mehreren Gründen.

Erstens ist Timing alles. Sobald eine Lücke öffentlich bekannt ist, beginnen automatisierte Scanner binnen Stunden, verwundbare Seiten abzuklopfen. Ein Update, das erst beim nächsten Quartalsbesuch eingespielt wird, kommt oft zu spät. Zweitens sind nicht alle Updates harmlos: Ein Plugin-Update kann eine andere Erweiterung oder das Theme brechen, weshalb blindes Auto-Update ohne anschließende Sichtprüfung und Backup ein eigenes Risiko ist. Drittens helfen Updates bei verwaisten Plugins gar nicht – dort gibt es schlicht keins mehr, und die einzige Lösung ist, die Erweiterung zu erkennen und durch eine gepflegte Alternative zu ersetzen.

Wartung im ernstzunehmenden Sinn ist deshalb ein Prozess, kein Klick: ein aktuelles Backup vor jedem Eingriff, das Einspielen sicherheitsrelevanter Updates zeitnah statt quartalsweise, ein Blick auf verwaiste oder aus dem Verzeichnis entfernte Plugins, eine funktionierende Firewall auf Anwendungsebene und ein regelmäßiger Integritäts-Check der Seite. Das ist keine Raketenwissenschaft, aber es braucht Kontinuität und Aufmerksamkeit – genau das, was ein Kunde nebenbei nicht leisten kann und wofür er zu Recht jemanden bezahlt.

Wie du daraus ein Standbein machst

Hier schließt sich der Kreis zum Geschäftsmodell. Die Sicherheitslage macht die Wartung nicht zu einer Kür, sondern zu einer Notwendigkeit – und Notwendigkeiten lassen sich als planbares, wiederkehrendes Angebot verkaufen.

Vom Notfall zum Abonnement

Der entscheidende Wechsel ist der von reaktiv zu proaktiv. Ein Kunde, der dich nur im Notfall anruft, zahlt jedes Mal für Feuerwehr-Einsätze und ärgert sich trotzdem über Ausfälle. Ein Kunde mit Wartungsvertrag zahlt einen kalkulierbaren Monatsbeitrag – und du verhinderst die Notfälle, bevor sie entstehen. Für die Agentur bedeutet das planbaren, wiederkehrenden Umsatz statt unregelmäßiger Projektspitzen. Genau diese Art von Standbein macht kleine Agenturen widerstandsfähiger, ähnlich wie es die neue barrierefreie Website-Pflicht tut – auch dort entsteht aus einer gesetzlichen Anforderung ein dauerhafter Betreuungsbedarf.

In der Praxis funktioniert das am besten mit gestaffelten Paketen statt eines Alles-oder-nichts-Angebots. Ein schlankes Basis-Paket deckt das Pflichtprogramm ab – regelmäßige Updates, tägliches Backup, Monitoring – zu einem niedrigen, für jeden Kunden vertretbaren Monatsbeitrag. Darüber legst du Stufen mit mehr Leistung: schnellere Reaktionszeiten, inkludierte Kleinänderungen am Inhalt, ein regelmäßiger Sicherheits- und Performance-Check. So findet jeder Kunde eine passende Stufe, und du hebst den durchschnittlichen Beitrag über die Zeit an, ohne jemanden zu überfordern. Wichtig ist, den Aufwand realistisch zu kalkulieren: Wer Wartung zu billig anbietet, subventioniert das Risiko des Kunden aus der eigenen Tasche. Dieselben Kalkulationsprinzipien, die für jedes wiederkehrende Digitalprodukt gelten, kannst du hier eins zu eins anwenden – vom kalkulierten Zeitaufwand bis zur klaren Leistungsgrenze.

Sicherheit ehrlich verpacken

Verkaufe keine Angst, sondern Verlässlichkeit. Ein Wartungspaket lässt sich klar beschreiben: zeitnahe Sicherheitsupdates, regelmäßige Backups mit getesteter Wiederherstellung, Monitoring auf Ausfälle und Schadcode, ein kurzer Monatsreport. Der Kunde kauft nicht ein diffuses „wir kümmern uns", sondern eine definierte Leistung mit sichtbarem Gegenwert. Und wenn doch einmal etwas passiert, ist der Wiederherstellungsweg über das Backup Teil des Pakets – nicht ein teurer Sonntagseinsatz.

Der regulatorische Rückenwind

Das Timing ist günstig, denn Software-Sicherheit wird zunehmend zur rechtlichen Pflicht. Patchstack verweist im Zusammenhang mit den steigenden Plugin-Lücken auf den EU Cyber Resilience Act, der Hersteller digitaler Produkte schrittweise zu mehr Sorgfalt bei Sicherheitslücken verpflichtet. Für Website-Betreiber wächst damit die Erwartung, dass ihre Systeme aktiv gepflegt werden – ein weiteres Argument, das dir im Verkaufsgespräch in die Hände spielt.

Wer Wartung anbietet, professionalisiert damit zugleich die eigene Kundenbeziehung: Aus einmaligen Projekten werden dauerhafte Partnerschaften, und aus „der Website-Bauer von damals" wird der feste Dienstleister, den man anruft, bevor etwas kaputtgeht. Dieselbe Logik trägt übrigens auch andere wiederkehrende Angebote – vom Hosting bis zu DSGVO-konformen Chatbots als Standbein: Der Wert liegt nicht im einmaligen Verkauf, sondern in der laufenden Betreuung.

Die Zahlen lassen wenig Interpretationsspielraum: Solange 42 Prozent des Webs auf WordPress laufen und neun von zehn Lücken in Plugins stecken, wird professionelle Wartung nicht weniger, sondern wichtiger. Für kleine Agenturen ist das keine Bedrohung, sondern eine der verlässlichsten Umsatzquellen, die das Handwerk zu bieten hat – man muss sie nur konsequent anbieten, statt auf den nächsten Sonntagsanruf zu warten.