Website-Wartung: Was sie kostet, was dazugehört und was in den Vertrag muss

Was Website-Wartung kostet

Eine neutrale Preiserhebung haben wir nicht gefunden. Die einzige Studie mit offengelegter Methode stammt von der Agentur happyheroes: Sie hat 2026 bei 248 Agenturen in Deutschland, Österreich und der Schweiz verdeckt Angebote für eine WordPress-Website mit vier bis sechs Seiten eingeholt. Die Wartung reichte dort von 16 bis 558 € im Monat, der Median lag bei 49 € (happyheroes). Wie viele Angebote eine Wartung enthielten und ob die Beträge netto sind, steht nicht dabei. Die übrigen Angaben stammen von Anbietern (Stand 23.10.2026):

Grob ergibt sich daraus (unsere Zusammenfassung): Reine Technikwartung einer kleinen Website kostet meist 30 bis 150 € im Monat, mit Kontingent für kleine Änderungen, Bericht und kurzen Reaktionszeiten eher 100 bis 300 €. Für Shops nennen die Anbieter meist 100 bis 300 €, einzelne Agenturen ab 400 €. Welche laufenden Kosten ein Shop außer der Wartung hat, etwa für Plattform und Zahlungsgebühren, steht in Onlineshop erstellen lassen. Arbeiten außerhalb der Pauschale rechnen Anbieter nach Stunden ab. Freiberufler in Deutschland, Österreich und der Schweiz nannten 2026 über alle Fachrichtungen im Schnitt 103 € pro Stunde (freelancermap, Umfrage).

Häufig extra: eine Einrichtungsgebühr (bei imagewunder 290 € netto), Lizenzen für kostenpflichtige Erweiterungen, Notfälle außerhalb der Geschäftszeiten (laut inventivo oft 50 bis 100 % Aufschlag) und die Bereinigung nach einem Hack. Frag bei jedem Angebot, ob Hosting, Domain und Lizenzen enthalten sind; sonst vergleichst du Pakete mit unterschiedlichem Inhalt.

Was in eine Wartungspauschale gehört

Meist nicht enthalten: neue Funktionen oder Seiten, größere Versionswechsel des Systems, die Reparatur nach einem Hack, Hosting und Domain, Suchmaschinenoptimierung und Redaktion. Ob ein Wechsel auf eine neue Hauptversion dazugehört, regelt kaum ein Paket klar; frag ausdrücklich nach. Bekommt dein System gar keine Sicherheitsupdates mehr, hilft der Abschnitt Relaunch oder Optimierung? bei der Entscheidung.

Unterschiede nach System

• WordPress: Das Risiko steckt vor allem in Erweiterungen. Ein Bericht des Sicherheitsanbieters Patchstack zählte für 2025 rund 11.300 neue Schwachstellen im WordPress-Umfeld, 91 % davon in Plugins (Patchstack). Was Updates bei WordPress konkret bedeuten, steht im Beitrag WordPress-Website.
• Baukasten und Shopify: Die Plattform hält die Technik selbst aktuell. Es bleiben Inhalte, Apps, Benutzerkonten und Rechtstexte. Bei Shopify spielt die Plattform Fehler- und Sicherheitskorrekturen für Themes aus dem Theme Store selbst ein. Neue Theme-Versionen landen aber nicht automatisch im Shop; die Händlerin oder der Händler muss sie selbst hinzufügen und veröffentlichen. Hochgeladene Themes bekommen keine automatischen Updates (Shopify-Hilfe).

Wer für die Sicherheit verantwortlich bleibt

Einige Anbieter erwecken den Eindruck, mit dem Wartungsvertrag gehe die Verantwortung auf sie über. Rechtlich ist das nicht so (keine Rechtsberatung):

• Wer über seine Website personenbezogene Daten verarbeitet, etwa über ein Kontaktformular, muss angemessene technische und organisatorische Schutzmaßnahmen treffen. Das Gesetz nennt dafür unter anderem die Fähigkeit, Daten nach einem Zwischenfall rasch wiederherzustellen, und ein Verfahren, die Maßnahmen regelmäßig zu überprüfen (Art. 32 DSGVO).
• Unabhängig davon müssen Anbieter geschäftsmäßig angebotener digitaler Dienste in ihrem Verantwortungsbereich ihre Technik gegen unerlaubten Zugriff und gegen Störungen, auch durch Angriffe, sichern, soweit das technisch möglich und wirtschaftlich zumutbar ist; der Stand der Technik ist dabei zu berücksichtigen (§ 19 Abs. 4 TDDDG).
• Die bayerische Datenschutzaufsicht nennt Patch-Management aus Sicht des Datenschutzes ausdrücklich eine gesetzliche Anforderung; bei Websites sei es wichtig, Sicherheitsupdates zeitnah einzuspielen, auch für Erweiterungen und Themes (BayLDA, 2018).

Der Vertrag verlagert deine gesetzlichen Pflichten nicht. Er regelt, wer die Arbeit erledigt und wer dir gegenüber für Fehler einsteht. Ist der Dienstleister Auftragsverarbeiter, hat er zusätzlich eigene Sicherheitspflichten (Art. 32 DSGVO) und kann selbst haften (Art. 82 Abs. 2 DSGVO).

Verlangt eine betroffene Person Schadensersatz, musst du als Verantwortlicher beweisen, dass deine Schutzmaßnahmen geeignet waren. Ein erfolgreicher Angriff allein zeigt laut Europäischem Gerichtshof aber noch nicht, dass sie ungeeignet waren (EuGH, Urteil vom 14.12.2023, C-340/21; Zusammenfassung der Kanzlei Heuking). Berichte und Update-Protokolle aus der Wartung sind deshalb auch dein Nachweis.

Datenpanne: wer was meldet

Ist der Dienstleister Auftragsverarbeiter, muss er dir eine Datenschutzverletzung unverzüglich melden (Art. 33 Abs. 2 DSGVO); ist er es nicht, sollte der Vertrag das ausdrücklich regeln. Die Meldung an die Datenschutzbehörde bleibt bei dir: unverzüglich und möglichst binnen 72 Stunden, nachdem du davon erfahren hast, außer die Verletzung führt voraussichtlich zu keinem Risiko für die Betroffenen (Art. 33 Abs. 1 DSGVO). Bei voraussichtlich hohem Risiko musst du auch die Betroffenen benachrichtigen (Art. 34 DSGVO). Eine Frist für die Information an dich, etwa in Stunden, gehört deshalb in den Vertrag.

Brauchst du einen Vertrag zur Auftragsverarbeitung?

Das sehen Aufsichtsbehörden und Branchenverband unterschiedlich. Die Datenschutzkonferenz hält einen Vertrag nach Art. 28 DSGVO auch bei Wartung für nötig, sobald ein Zugriff auf personenbezogene Daten nicht ausgeschlossen werden kann (Kurzpapier Nr. 13). Bitkom sieht in Wartung in der Regel keine Auftragsverarbeitung, solange Daten nicht planmäßig verarbeitet werden (Bitkom). Mit Admin-Zugang zu einem System, in dem Formulareingänge oder Kundenkonten liegen, ist ein Zugriff kaum auszuschließen. Wir würden den Vertrag deshalb abschließen (unsere Einschätzung).

Diese Punkte gehören in den Wartungsvertrag

Eine Website-spezifische Vorlage einer Kammer oder eines Verbands haben wir nicht gefunden. Gut übertragbar ist das Muster für einen Software-Pflegevertrag der IHK Frankfurt. Daraus und aus den Quellen oben ergibt sich diese Liste:

Selbst machen, Managed Hosting oder Wartungsvertrag?

Selbst machen geht bei kleinen Websites mit wenigen Erweiterungen, wenn du ein festes Verfahren hast: Sicherheitsupdates zeitnah einspielen, kritische Updates vorher testen, regelmäßig sichern und die Wiederherstellung ausprobieren (BayLDA, LSI Bayern).

Managed Hosting übernimmt die Plattform: Beim Anbieter Raidboxes etwa laufen Updates des WordPress-Kerns automatisch, Plugins und Themes nur, wenn du sie dafür auswählst, dazu tägliche Backups. Für deine konkrete Installation, also Erweiterungen, Tests, Fehlerbehebung und Inhalte, bleibst du oder ein Dienstleister zuständig. Beides kann sich ergänzen; achte darauf, nichts doppelt zu bezahlen.

Warnzeichen bei einem bestehenden Vertrag

Wartung vergleichen und vergeben

Vergleichbar werden Angebote erst, wenn alle Anbieter dieselben Angaben bekommen: System und Version, Zahl der Erweiterungen, ob es einen Shop oder Formulare gibt, gewünschte Reaktionszeit und ob Hosting dazugehören soll. Wie du Dienstleister prüfst, steht im Beitrag Webdesigner finden.

Bei Kontaktpfad, unserem eigenen Angebot, kannst du die Wartung kostenlos als Projekt der Art „Laufende Betreuung“ beschreiben. Dienstleister mit passendem Fachgebiet können dann Kontakt mit dir aufnehmen. Selbst suchen kannst du im Verzeichnis; das Formular erreichst du über Projekt beschreiben.