Deine Website läuft. Sie sieht gut aus, das Formular funktioniert, die Texte stimmen. Also abgehakt. Genau an dieser Stelle hört bei den meisten kleinen Unternehmen die Beschäftigung mit der eigenen Seite auf. Sie wird behandelt wie eine Visitenkarte: einmal gedruckt, dann liegt sie in der Schublade.
Das Problem: Eine Website ist keine Visitenkarte. Sie ist Software. Und Software altert. Nicht sichtbar, nicht langsam, sondern in einem Tempo, das man erst merkt, wenn etwas kaputtgeht. Dann ist die Seite plötzlich offline, das Kontaktformular schickt seit acht Wochen keine Anfragen mehr, oder im Quelltext hängen fremde Links zu Glücksspielseiten.
Das liegt nicht an dir. Sondern daran, dass dir nie jemand gesagt hat, was nach dem Launch eigentlich passieren muss. In diesem Artikel zeige ich dir genau das: welche Bereiche wirklich gepflegt werden müssen, mit welchen Tools du das prüfst, in welchem Rhythmus, und was du davon selbst machen kannst.
Eine typische Unternehmensseite besteht nicht aus einem Stück Code, sondern aus Dutzenden. Content-Management-System, Theme, Plugins für Formulare, Cookie-Banner, Bildergalerie, Karten-Einbindung, SEO. Dazu kommen PHP-Version, Datenbank, Serverkonfiguration, SSL-Zertifikat.
Jedes dieser Teile wird von jemand anderem weiterentwickelt. Jedes bekommt Updates. Und jedes kann brechen, wenn ein anderes sich ändert. Als Informatiker sage ich es so: Du betreibst kein Dokument, du betreibst ein System. Systeme brauchen Betrieb.
Was du brauchst: Die Entscheidung, dass deine Website ein laufender Posten ist, kein einmaliges Projekt. Alles andere folgt daraus.
Wenn eine kleine Unternehmensseite gehackt wird, liegt das in den seltensten Fällen an einem gezielten Angriff. Niemand sitzt nachts da und denkt sich: Heute knacke ich die Seite einer Tischlerei aus Sachsen-Anhalt.
Was tatsächlich passiert: Eine Sicherheitslücke in einem verbreiteten Plugin wird öffentlich gemacht. Innerhalb von Stunden scannen automatisierte Bots das halbe Internet nach Installationen, die diese Lücke noch haben. Wer nicht aktualisiert hat, wird gefunden. Nicht weil er interessant ist, sondern weil er auffindbar ist.
Sicherheitsdienstleister wie Patchstack dokumentieren jedes Jahr mehrere Tausend neue Schwachstellen im WordPress-Umfeld. Der weit überwiegende Teil davon steckt nicht im Kern des Systems, sondern in Plugins und Themes. Auch das BSI nennt veraltete Software als eines der häufigsten Einfallstore bei Webanwendungen.
Besser: Ein fester Update-Rhythmus, mindestens monatlich. Und vorher ein Backup, damit ein fehlgeschlagenes Update kein Drama ist. Wichtig ist außerdem der Rückbau: Jedes Plugin, das du nicht aktiv brauchst, fliegt raus. Deaktiviert reicht nicht, deinstalliert muss es sein. Nicht vorhandener Code kann nicht angegriffen werden.
Beispiel: Stell dir einen Handwerksbetrieb vor, dessen Seite vor vier Jahren gebaut wurde. Damals wurden drei Slider-Plugins ausprobiert, zwei davon nie gelöscht. Beide liegen seitdem inaktiv im System, bekommen keine Updates und tauchen in keinem Menü mehr auf. Genau solche Karteileichen sind es, die bei einem automatisierten Scan gefunden werden.
Fast jeder sagt: „Backups macht mein Hoster.“ Fast niemand weiß, wie weit die zurückreichen, was genau gesichert wird und wie man sie zurückspielt.
Drei Fragen, die du beantworten können solltest:
Lösung: Eine zweite, unabhängige Sicherung an einen externen Ort. Bei WordPress geht das mit UpdraftPlus oder BackWPup in einen Cloud-Speicher. Und einmal im Jahr die Rückspielung tatsächlich testen, am besten auf einer Testumgebung. Ein Backup, das nie zurückgespielt wurde, ist eine Hoffnung, keine Sicherung.
Websites werden mit der Zeit langsamer. Es kommen Bilder dazu, die niemand komprimiert. Ein Tracking-Skript hier, ein Chat-Widget da, ein Bewertungs-Widget im Footer. Jedes davon lädt Code nach.
Ladezeit ist kein Technik-Thema, sondern ein Umsatz-Thema. Google misst die Nutzererfahrung über die Core Web Vitals und nutzt sie als Rankingsignal. Wichtiger als das Ranking ist aber der Mensch: Wer auf dem Handy in der Mittagspause nach einem Steuerberater sucht und drei Sekunden auf eine weiße Seite starrt, ist beim nächsten Suchergebnis.
Tipp: Jage nicht dem perfekten Wert hinterher. Prüfe einmal im Quartal mit PageSpeed Insights und schau dir nur die Mobilwerte an. Die drei häufigsten Gewinne sind fast immer dieselben: Bilder im modernen Format wie WebP statt riesiger JPGs, unnötige Skripte entfernen, und ein Caching- oder CDN-Layer wie Cloudflare davor.
Der unspektakulärste Wartungsfehler ist gleichzeitig der teuerste: Das Kontaktformular funktioniert nicht mehr, und niemand merkt es.
Das passiert häufiger, als man denkt. Ein Update ändert die Mail-Konfiguration, der Provider verschärft seine Spam-Regeln, oder die Bestätigungsmails landen im Junk-Ordner. Für dich sieht es aus, als wäre gerade wenig los. Tatsächlich sind Anfragen da, sie kommen nur nicht an.
Was du brauchst: Ein monatlicher Selbsttest, der zwei Minuten dauert. Formular ausfüllen und abschicken, prüfen ob die Mail ankommt. Dazu eine Erreichbarkeitsüberwachung wie UptimeRobot, die dir schreibt, wenn die Seite nicht antwortet. Und ein Blick in die Google Search Console unter „Seiten“, wo dir 404-Fehler und Indexierungsprobleme angezeigt werden.
Genauso wichtig sind die Inhalte, die veralten: Öffnungszeiten, Preise, Ansprechpartner, Leistungen, die du gar nicht mehr anbietest. Nichts wirkt unprofessioneller als ein Team-Bereich mit Kollegen, die seit zwei Jahren woanders arbeiten. Wie stark Aktualität für lokale Sichtbarkeit zählt, habe ich in meinem Beitrag zu Local SEO für KMU ausführlicher beschrieben.
Impressum, Datenschutzerklärung und Cookie-Banner sind keine Dokumente, die man einmal einbaut. Sie hängen an dem, was deine Website technisch tatsächlich tut.
Sobald du ein neues Tool einbindest, ein Buchungssystem, ein Bewertungs-Widget, ein Newsletter-Formular, ändert sich die Datenverarbeitung. Und damit muss sich die Datenschutzerklärung ändern. Wird gerne vergessen, weil das Tool ja „nur schnell eingebaut“ wurde.
Besser: Einmal im Jahr eine feste Runde: Welche externen Dienste laufen aktuell auf der Seite? Stimmt die Datenschutzerklärung dazu? Ist das Cookie-Banner so gebaut, dass Ablehnen genauso einfach ist wie Zustimmen? Dazu kommt seit 2025 die Barrierefreiheit für viele Unternehmen. Was da konkret gefordert ist, habe ich im Beitrag zum Barrierefreiheitsstärkungsgesetz aufgeschlüsselt.
Hier lohnt eine ehrliche Unterscheidung, die dir kaum jemand macht.
Bei einem selbst gehosteten System wie WordPress bist du für alles verantwortlich: Kern, Plugins, Themes, PHP-Version, Server, Backups, Sicherheit. Dafür bekommst du maximale Freiheit und eine riesige Auswahl an Erweiterungen.
Bei gehosteten Baukästen und Plattformen wie Webflow oder Shopify übernimmt der Anbieter Server, Sicherheitsupdates und Verfügbarkeit. Der Wartungsaufwand ist deutlich kleiner, dafür bist du im Funktionsumfang stärker gebunden.
Lösung: Entscheide das nicht nach Geschmack, sondern nach ehrlicher Kapazität. Wenn niemand in deinem Betrieb monatlich eine halbe Stunde für Updates aufbringt und du auch keine Wartung einkaufst, dann ist ein selbst gehostetes System die falsche Wahl. Nicht weil es schlecht wäre, sondern weil es ungepflegt zum Risiko wird.
Diese Frage bleibt in kleinen Betrieben meistens ungeklärt, und genau deshalb macht sie am Ende niemand.
Dein Hoster kümmert sich in der Regel um Server, Erreichbarkeit und oft um eine Grundsicherung. Er kümmert sich normalerweise nicht um deine Plugins, deine Inhalte oder dein Kontaktformular. Das steht im Kleingedruckten, wird aber gern anders verstanden.
Du selbst kannst die monatliche Runde ohne Vorkenntnisse übernehmen. Updates einspielen, Formular testen, Search Console anschauen: Das ist Fleißarbeit, keine Raketenwissenschaft. Wichtig ist nur, dass es jemand verbindlich tut und nicht „wenn mal Zeit ist“.
Extern vergeben lohnt sich, sobald deine Seite geschäftskritisch ist, also Anfragen, Buchungen oder Verkäufe darüber laufen. Dann geht es nicht mehr nur um Updates, sondern um Reaktionszeit im Ernstfall.
Besser: Schreib es auf. Ein Satz reicht: „Wartung macht [Name], monatlich am ersten Dienstag.“ Zuständigkeit auf Zuruf ist keine Zuständigkeit. Aus meiner Erfahrung ist das der Punkt, an dem die meisten Wartungsvorsätze scheitern, nicht an fehlendem Wissen.
Und noch ein Hinweis, weil ich das oft höre: Wenn dein Dienstleister die Seite gebaut hat und danach nie wieder etwas von sich hören ließ, dann hast du keinen Wartungsvertrag, sondern ein abgeschlossenes Projekt. Das ist völlig legitim, du solltest es nur wissen. Frag im Zweifel einmal konkret nach, was in deinem Vertrag enthalten ist und was nicht.
Damit das nicht abstrakt bleibt, hier ein Rhythmus, der für die meisten kleinen Unternehmen funktioniert.
Monatlich, etwa 30 Minuten:
Quartalsweise, etwa eine Stunde:
Jährlich, ein halber Tag:
Beispiel: Angenommen, ein Immobilienmakler hat eine Seite mit Objektübersicht, Bewertungsrechner und Kontaktformular. Für ihn wäre die monatliche Runde vor allem eins: prüfen, ob Bewertungsrechner und Formular wirklich Anfragen zustellen. Denn genau dort entstehen seine Leads. Alles andere ist wichtig, aber nicht existenziell.
Der Grund, warum Wartung so oft wegfällt, ist psychologisch. Sie ist unsichtbar. Wenn sie funktioniert, passiert nichts. Und für „nichts“ zahlt niemand gern.
Rechne es andersherum. Was kostet dich eine Woche ohne funktionierendes Kontaktformular? Was kostet die Wiederherstellung nach einem Hack, inklusive der Zeit, in der bei Google eine Sicherheitswarnung vor deiner Seite steht? Was kostet es, wenn Kunden dich in der Region nicht mehr finden, weil deine Seite auf dem Handy quälend langsam lädt?
Tipp: Setz dir einen wiederkehrenden Kalendertermin. Ein fester Tag im Monat, 30 Minuten, immer gleich. Das ist der kleinste Schritt mit dem größten Effekt und er kostet dich nichts außer der Entscheidung.
Eine Website ist der einzige Vertriebskanal, der dir wirklich gehört. Kein Portal, kein Algorithmus, keine Plattform, die morgen die Regeln ändert. Genau deshalb verdient sie dieselbe Aufmerksamkeit wie dein Firmenwagen oder deine Maschinen: regelmäßig, planbar, ohne Drama.
Der Trend geht dabei klar in eine Richtung. Angriffe auf kleine Websites laufen längst vollautomatisiert, und dieselben Werkzeuge, die Angreifern helfen, werden auch schneller. Gleichzeitig steigen die Anforderungen an Ladezeit, Barrierefreiheit und Datenschutz weiter. Wer seine Seite gepflegt hält, muss sich um beides kaum Gedanken machen. Wer sie treiben lässt, holt irgendwann alles auf einmal nach, und dann wird es teuer.
Die gute Nachricht: Der Aufwand ist überschaubar. Eine halbe Stunde im Monat, ein Quartalscheck, eine Jahresrunde. Mehr braucht es für die allermeisten kleinen Unternehmen nicht. Falls du wissen willst, welche Fehler es sonst noch gibt, wenn eine Seite ohne System betrieben wird, findest du sie in meinem Beitrag zu den häufigsten Webdesign-Fehlern kleiner Unternehmen.
Du willst wissen, in welchem Zustand deine Website gerade wirklich ist und was bei dir konkret ansteht? Dann buch dir dein kostenloses Strategiegespräch. Ich schau mir deine Seite an und sage dir ehrlich, was dringend ist und was warten kann. Wenn es schneller gehen soll, schreib mir einfach direkt per WhatsApp.
