Welche Website-Wartung braucht ein kleines Unternehmen?

Die Website eines kleinen Unternehmens braucht regelmäßig vier Dinge: Software- und Sicherheitsupdates, Backups, die Sie tatsächlich getestet haben, eine Überwachung, die Sie benachrichtigt, wenn die Website oder ihre Formulare nicht mehr funktionieren, und eine jährliche Prüfung von Domain, Rechtstexten und Inhalten. Wöchentliche Checks dauern Minuten, monatliche weniger als eine Stunde – Sie können sie selbst erledigen oder über ein Betreuungspaket jemanden dafür bezahlen.

Warum gehen Websites kleiner Unternehmen kaputt oder werden gehackt?

Websites fallen selten wegen eines spektakulären Angriffs auf Sie aus. Sie fallen aus, weil etwas, auf das niemand geachtet hat, still veraltet ist.

• Veraltete Plugins, Themes und Abhängigkeiten. Automatisierte Bots durchsuchen das Web nach bekannten Schwachstellen in verbreiteter Software. Ein ungepatchtes WordPress-Plugin oder eine alte Framework-Version ist eine offene Tür. Auch moderne Technik ist betroffen: 2025 veröffentlichte Next.js eine Sicherheitskorrektur für eine Umgehung der Middleware (CVE-2025-29927), und Websites waren erst geschützt, nachdem jemand sie aktualisiert hatte.
• Eine abgelaufene Domain. Scheitert die Verlängerung, weil eine Karte abgelaufen ist, funktionieren die Website und oft auch Ihre E-Mail nicht mehr. Im schlimmsten Fall registriert jemand anderes den Namen.
• Ein abgelaufenes SSL-Zertifikat. Das Zertifikat sorgt für das Schloss und https. Scheitert die automatische Verlängerung, zeigen Browser Besuchern eine bildschirmfüllende Sicherheitswarnung.
• Formulare, die nicht mehr zustellen. Ein geändertes E-Mail-Passwort, ein volles Postfach oder ein Spamfilter können dazu führen, dass Anfragen verschwinden, ohne dass die Website einen Fehler zeigt.
• Änderungen beim Hosting. Alte PHP-Versionen erreichen ihr Supportende, Hoster migrieren Server, und etwas funktioniert nicht mehr.

Die Wartungs-Checkliste: wöchentlich, monatlich, vierteljährlich, jährlich

Wöchentlich (5–10 Minuten)

• Senden Sie über jedes Formular eine Testanfrage und prüfen Sie, ob sie im richtigen Posteingang ankommt.
• Prüfen Sie, ob die Uptime-Überwachung Ausfälle gemeldet hat. Ein Uptime-Monitor prüft Ihre Website alle paar Minuten und benachrichtigt Sie, wenn sie nicht antwortet.
• Sehen Sie in Ihre Fehlerüberwachung, falls vorhanden. Fehlerüberwachung (Tools wie Sentry) erfasst Fehler, auf die Besucher stoßen, damit Sie von einer kaputten Seite erfahren, bevor ein Kunde es Ihnen sagt.
• Installieren Sie Sicherheitsupdates, die als dringend gekennzeichnet sind.

Monatlich (30–60 Minuten)

• Spielen Sie reguläre Updates ein: CMS-Kern, Plugins, Themes oder Framework-Abhängigkeiten. Prüfen Sie die Website danach.
• Prüfen Sie, ob die Backups gelaufen sind und eine aktuelle Kopie außerhalb Ihres Hosting-Kontos liegt.
• Machen Sie einen Geschwindigkeitstest mit PageSpeed Insights für die Startseite und eine wichtige Unterseite. Was die Zahlen bedeuten, erklärt unser Leitfaden zur Website-Geschwindigkeit.
• Öffnen Sie die Google Search Console. Sehen Sie sich den Bericht „Seiten“ (Indexierung), eventuelle manuelle Maßnahmen und den Bericht „Sicherheitsprobleme“ an. Die Search Console ist Googles kostenloses Tool, das zeigt, wie Google Ihre Website sieht, und warnt, wenn gehackte Inhalte erkannt werden.
• Suchen Sie nach defekten Links, besonders zu Buchungstools, PDFs und Social-Media-Profilen.

Vierteljährlich (1–2 Stunden)

• Testen Sie eine Wiederherstellung. Stellen Sie Ihr letztes Backup auf einer Staging-Kopie oder Testumgebung wieder her und prüfen Sie, ob es funktioniert. Ein Backup, das Sie nie wiederhergestellt haben, ist eine Hoffnung, kein Backup.
• Prüfen Sie, wer Admin-Zugang hat. Entfernen Sie ehemalige Mitarbeiter, Agenturen und Freelancer. Aktivieren Sie die Zwei-Faktor-Anmeldung, wo möglich.
• Aktualisieren Sie Inhalte, die veralten: Öffnungszeiten, Preise, Teammitglieder, Leistungsbeschreibungen, die Jahreszahl im Footer.
• Prüfen Sie, ob Ihr Google-Unternehmensprofil mit der Website übereinstimmt (Adresse, Telefon, Öffnungszeiten). Mehr dazu in unserem Leitfaden zur lokalen SEO.

Jährlich

• Prüfen Sie, ob die Domain automatisch verlängert wird, die Zahlungskarte gültig ist und das Konto beim Registrar eine E-Mail-Adresse nutzt, die Sie noch lesen.
• Gleichen Sie Datenschutzerklärung und Cookie-Hinweis mit dem ab, was die Website heute tatsächlich tut. Wenn Sie Webanalyse, ein Chat-Widget oder eingebettete Videos hinzugefügt haben, muss der Hinweis das abbilden. In der EU brauchen nicht notwendige Cookies eine Einwilligung, bevor sie gesetzt werden (ePrivacy-Richtlinie, Artikel 5 Absatz 3; in Deutschland § 25 TDDDG). Prüfen Sie auch Ihr Impressum.
• Prüfen Sie, ob Hosting-Tarif, PHP- oder Node.js-Version und kostenpflichtige Lizenzen noch unterstützt werden.
• Machen Sie eine Gesamtprüfung: Beschreibt die Website noch, was Sie verkaufen und an wen?

Wie unterscheidet sich die Wartung bei WordPress, Next.js und gehosteten Baukästen?

WordPress kann kleinere Kern-Versionen automatisch aktualisieren, und seit Version 5.5 lassen sich automatische Updates pro Plugin und Theme aktivieren. Das hilft, aber ein Update kann trotzdem eine Seite beschädigen – prüfen Sie die Website also nach den Updates. Websites auf modernen Frameworks haben eine viel kleinere Angriffsfläche, weil es auf der öffentlichen Website keinen Admin-Login und oft keine Datenbank gibt, aber jemand muss die Abhängigkeiten trotzdem aktualisieren und neu veröffentlichen. Gehostete Baukästen nehmen Ihnen die Software-Arbeit ab, doch Domain, Formulare, Inhalte, Search Console und Rechtstexte bleiben Ihre Aufgabe.

Selbst machen oder ein Betreuungspaket bezahlen?

Selbst machen funktioniert, wenn Ihre Website einfach ist, Sie einen gehosteten Baukasten oder ein modernes Framework mit wenigen beweglichen Teilen nutzen und sich wirklich eine Stunde im Monat freihalten. Tragen Sie die Checkliste oben in Ihren Kalender ein.

Ein Betreuungspaket ist sinnvoll, wenn die Website Anfragen oder Umsatz bringt, auf WordPress mit mehreren Plugins läuft oder Sie wissen, dass Sie es nicht tun werden. Ein Betreuungspaket ist eine monatliche Gebühr dafür, dass jemand die Website aktuell, gesichert und überwacht hält.

Ein gutes Betreuungspaket umfasst:

• Hosting mit SSL, Domainverlängerung und tägliche Backups außerhalb des Servers
• Sicherheits- und Software-Updates mit einer Prüfung nach jedem Update
• Uptime-Überwachung und eine festgelegte Reaktionszeit
• Einige Inhaltsänderungen pro Monat
• Eine klare Antwort darauf, was passiert – und was es kostet –, wenn die Website gehackt wird

Fragen vor der Unterschrift:

1. Wem gehören Domain, Hosting-Konto und Backups? (Die Antwort sollte lauten: Ihnen.)
2. Wann haben Sie zuletzt eine Wiederherstellung getestet, und wie lange dauert sie?
3. Wie schnell reagieren Sie, und an welchen Tagen?
4. Ist die Bereinigung nach einem Hack enthalten oder wird sie separat berechnet?
5. Kann ich jederzeit gehen und alles mitnehmen?

Ein konkretes Beispiel: Die Betreuungspakete von Ariston umfassen Hosting mit SSL, Domainverlängerung, tägliche Backups, Uptime-Überwachung sowie Sicherheits- und Software-Updates; höhere Pakete ergänzen monatliche Inhaltsänderungen, Geschwindigkeits- und Uptime-Checks sowie Berichte zu SEO und Analytics. Sie decken auch bestehende WordPress- und Laravel-Websites ab. Wen auch immer Sie wählen: Vergleichen Sie Pakete anhand der Liste oben, nicht nur nach dem Preis.

Was tun, wenn Ihre Website ausgefallen ist oder gehackt wurde?

1. Prüfen Sie, ob sie wirklich ausgefallen ist. Versuchen Sie es mit einem anderen Gerät und Netz. Sehen Sie in Ihren Uptime-Monitor oder auf die Statusseite Ihres Hosters.
2. Prüfen Sie zuerst die langweiligen Ursachen: abgelaufene Domain, abgelaufenes SSL, unbezahlte Hosting-Rechnung.
3. Wenn sie gehackt wurde, ändern Sie alle Passwörter (Hosting, CMS-Admins, FTP, Registrar) und aktivieren Sie die Zwei-Faktor-Anmeldung.
4. Stellen Sie ein sauberes Backup wieder her, das vor dem Hack erstellt wurde, und aktualisieren Sie dann alles Veraltete. Wiederherstellen ohne Aktualisieren bedeutet meist, erneut gehackt zu werden.
5. Prüfen Sie die Google Search Console auf eine Warnung unter „Sicherheitsprobleme“. Sobald die gesamte Website sauber ist, beantragen Sie dort eine Überprüfung, damit Google die Warnung „Diese Website wurde möglicherweise gehackt“ aus den Suchergebnissen entfernt.
6. Halten Sie fest, was passiert ist, und schließen Sie die Lücke: fehlende Updates, ein schwaches Passwort, ein altes Admin-Konto.

Wenn Sie nicht erkennen können, ob Ihre Website gehackt wurde, empfiehlt Google, nach site:ihredomain.de zu suchen und das URL-Prüftool in der Search Console zu nutzen, denn gehackte Seiten werden manchmal vor Menschen verborgen, Google aber angezeigt.

Wo Sie anfangen

Wenn Sie nicht sicher sind, in welchem Zustand Ihre Website ist, machen Sie ein kostenloses Website-Audit für einen Bericht zu Geschwindigkeit, SEO und technischen Problemen, oder kontaktieren Sie uns, wenn Ihnen jemand die Wartung abnehmen soll.