Website-Wartung: Was der laufende Betrieb wirklich kostet

Warum Wartung kein Nebenposten ist

Eine Website ist nach dem Livegang nicht fertig. Sie läuft auf einem Server, mit einem Betriebssystem, einer Programmiersprache, oft einem Content-Management-System und mehreren Erweiterungen. Jede dieser Schichten bekommt regelmäßig Sicherheitsupdates. Wer sie nicht einspielt, lässt bekannte Lücken offen.

Das Bundesamt für Sicherheit in der Informationstechnik nennt ein ausreichendes Schwachstellen- und Patchmanagement als eine der wichtigsten Schutzmaßnahmen für Webanwendungen. Die eingesetzten Komponenten sollen regelmäßig auf aktuelle Sicherheitslücken geprüft werden.

Dazu kommt die rechtliche Seite. Wer über die Website personenbezogene Daten verarbeitet, etwa über ein Kontaktformular, muss nach Art. 32 DSGVO angemessene technische Maßnahmen unter Berücksichtigung des Stands der Technik treffen. Eine seit Jahren nicht aktualisierte Installation erfüllt das kaum.

Wie das in der Praxis aussieht, kennen viele Betriebe: Die Website wurde vor einigen Jahren gebaut, die Agentur gibt es nicht mehr, die Zugangsdaten liegen irgendwo in einem Postfach. Solange alles läuft, fällt das niemandem auf. Dann meldet ein Kunde, dass der Browser vor der Seite warnt, oder das Kontaktformular verschickt seit Wochen keine Mails mehr. Erst jetzt beginnt die Suche nach jemandem, der sich auskennt, und das unter Zeitdruck.

Wartung ist also keine Kür. Die Frage ist nur, wer sie übernimmt und was sie kostet.

Kosten der Website-Wartung: die Posten im Überblick

Die laufenden Kosten lassen sich in wenige, klar abgrenzbare Bereiche teilen:

Beim Zertifikat hat sich 2026 etwas geändert. Die Branchenregeln der Zertifizierungsstellen begrenzen die Laufzeit öffentlicher Zertifikate seit dem 15. März 2026 auf höchstens 200 Tage. Ab März 2027 sind es 100 Tage, ab März 2029 nur noch 47 Tage. Wer Zertifikate noch von Hand einspielt, sollte auf automatische Erneuerung umstellen. Kostenlose Zertifikate, etwa von Let’s Encrypt, sind darauf ohnehin ausgelegt.

Auch die Pflege hat eine rechtliche Seite. Ein Beispiel: Im Mai 2024 wurden das Telemediengesetz durch das Digitale-Dienste-Gesetz ersetzt und das TTDSG in TDDDG umbenannt. Impressum und Datenschutzerklärung mussten deshalb überarbeitet werden. Solche Anpassungen fallen alle paar Jahre an.

Updates: System, Erweiterungen und Server

Updates betreffen mehr als das sichtbare System. Ein gutes Beispiel ist die Programmiersprache PHP, auf der viele Content-Management-Systeme laufen. Jede Version bekommt nur für eine begrenzte Zeit Sicherheitskorrekturen. Für PHP 8.2 endet diese Unterstützung am 31. Dezember 2026, für PHP 8.3 am 31. Dezember 2027.

Läuft Ihre Website noch auf einer älteren Version, steht ein Wechsel an. Dabei zeigt sich oft, dass einzelne Erweiterungen nicht mehr mitkommen. Dann wird aus einem kleinen Update ein kleines Projekt.

Daraus folgen drei Regeln:

• Regelmäßig statt selten: Viele kleine Updates sind günstiger als ein großer Sprung nach zwei Jahren.
• Erst sichern, dann aktualisieren: Vor jedem Update entsteht eine Sicherung, nach dem Update ein kurzer Test der wichtigsten Seiten und Formulare.
• Weniger Erweiterungen: Jede Erweiterung ist eine weitere Stelle, die gepflegt werden muss. Was nicht gebraucht wird, fliegt raus.

Ein Wort zu Sicherungen: Ein Backup ist nur so gut wie die Wiederherstellung. Lassen Sie sich mindestens einmal zeigen, dass eine gesicherte Version tatsächlich zurückgespielt werden kann.

Drei Wege, den Betrieb zu organisieren

Welches Modell passt, hängt weniger von der Größe der Website ab als davon, was ein Ausfall kostet. Ein Shop, der einen Tag steht, verliert Umsatz. Eine Informationsseite verliert vor allem Eindruck.

Wo Sparen vertretbar ist und wo nicht

Bei Lizenzen, kostenpflichtigen Erweiterungen und aufwendigen Überwachungswerkzeugen lohnt sich ein nüchterner Blick. Oft gibt es eine schlankere Lösung, oder die Funktion wird gar nicht genutzt.

Bei Updates und Sicherungen ist Sparen dagegen riskant. Eine gekaperte Website, ein Datenverlust oder ein gesperrter Server kosten in der Regel ein Vielfaches dessen, was regelmäßige Pflege im Jahr kostet. Dazu kommen der Aufwand für die Aufklärung und unter Umständen die Meldepflicht nach Art. 33 DSGVO gegenüber der Datenschutzaufsicht.

Ein weiterer Hebel liegt in der Bauweise. Seiten, die ohne Datenbank und mit wenigen oder keinen Erweiterungen auskommen, bieten weniger Angriffsfläche und brauchen weniger Updates. Das senkt den Wartungsaufwand dauerhaft.

So planen Sie die Betriebskosten

1. Jahresliste anlegen: Hosting, Domain, Zertifikat, Lizenzen und geplante Pflegestunden in einer Übersicht.
2. Enthaltenes klären: Welche Sicherungen, welche Überwachung, welcher Support sind im Hosting schon dabei?
3. Zuständigkeit festlegen: Wer spielt Updates ein, wer prüft danach, wer ist im Urlaub die Vertretung?
4. Puffer einplanen: für ungeplante Anpassungen, etwa nach einer Gesetzesänderung oder einem Versionswechsel.
5. Einmal im Jahr prüfen: Passt der Vertrag noch zu dem, was die Website heute leistet?

Diese Fragen helfen beim Vergleich von Wartungsangeboten:

• Wie oft werden Updates eingespielt, und wer testet danach?
• Wo liegen die Sicherungen, wie lange werden sie aufbewahrt, und wie schnell ist eine Wiederherstellung möglich?
• Wie schnell reagiert der Anbieter bei einem Ausfall, auch am Wochenende?
• Sind kleine Inhaltsänderungen enthalten, und wo ist die Grenze?
• Bekommen Sie alle Zugänge, falls Sie den Anbieter wechseln wollen?

Wie sich die laufenden Kosten in das Gesamtbudget einfügen, zeigt der Beitrag Website-Budget planen.

Fragen Sie schon beim Angebot für eine neue Website nach den laufenden Kosten und lassen Sie sich jede Position schriftlich nennen. Wie wir Hosting, Updates und Sicherungen übernehmen, steht auf unserer Seite Hosting und Betrieb. Den Festpreis nennen wir nach dem Erstgespräch.