Die 6 Dinge, die auf ungewarteten Websites wirklich kaputtgehen

Jeder Pitch für Website-Wartung nutzt dieselbe Analogie: Deine Website ist wie ein Auto, lässt du den Ölwechsel aus, frisst sich der Motor fest. Klingt vernünftig. Ist aber falsch.

Code nutzt sich nicht ab. Eine Site, die ich vor Jahren gebaut habe, liefert heute exakt dieselben Bytes aus wie am Tag des Uploads. Was wirklich passiert: Die Umgebung verschiebt sich unter deiner Website. PHP-Versionen sterben, Formular-Dienste ändern ihre Regeln, Zertifikate laufen ab, Third-Party-Scripts werden umgebaut. Deine Site steht völlig still, während sich der Boden bewegt.

Ich habe in über 8 Jahren genug vernachlässigte Websites aufgeräumt, um zu wissen, was kaputtgeht, in welcher Reihenfolge und auf ungefähr welcher Zeitachse. Hier ist also die ehrliche Liste. Keine vagen Hacker-Drohungen, kein Wartungsvertrag-Pitch, der sich im letzten Absatz versteckt.

Warum die Auto-Analogie sich so gut verkauft

Die Auto-Analogie ist Agentur-Marketing, und sie funktioniert, weil sie universellen, unvermeidbaren Verfall suggeriert: jede Site, jeden Monat, für immer. Genau das sollen Interessenten glauben, wenn man Website-Wartung für 99 Euro im Monat verkauft.

Die Wahrheit ist unbequemer. Wie schnell eine Site verfällt, hängt fast komplett vom Stack ab. Eine WordPress-Site mit 30 Plugins ist ein bewegliches System mit Dutzenden unabhängigen Release-Zyklen, von denen jeder mit jedem anderen kollidieren kann. Eine statische Site ist ein Ordner mit Dateien. Ich habe statische Sites, die seit Jahren nicht angefasst wurden, und das Einzige, was sie je gebraucht haben, war eine Domain-Verlängerung.

Dieser Unterschied zählt mehr als jeder Wartungsplan, und er ist einer der Gründe, warum ich für die meisten Projekte kein WordPress mehr nutze. Aber egal welcher Stack: Die Schwachstellen unten sind die echten.

Das hier finde ich tatsächlich vor, wenn mir jemand eine Site bringt, die ein oder zwei Jahre ignoriert wurde. Keine Hypothesen. Diese sechs, immer wieder.

1. Plugin- und CMS-Updates (und ihre Konflikte)

Der WordPress-Core aktualisiert sich bei Minor-Releases selbst. Plugins meistens nicht, außer jemand hat das aktiviert. Also stapeln sich die Updates, und ich öffne regelmäßig vernachlässigte Dashboards mit 25 oder 30 offenen Aktualisierungen. Jetzt sitzt du in der Falle, egal wie du dich entscheidest. Lässt du die Updates liegen, sammelst du bekannte Sicherheitslücken an, denn veröffentlichte Plugin-Schwachstellen sind der häufigste Weg, wie WordPress-Sites gehackt werden. Spielst du ein ganzes Jahr auf einmal ein, geht etwas kaputt, weil dein Page Builder sein Markup geändert hat oder zwei Plugins jetzt verschiedene Versionen derselben Library wollen. Genau diese Falle ist der Grund, warum dieser Stack regelmäßig einen Menschen braucht.

2. PHP-Versionen, die abgekündigt werden

Der stille Killer. Dein Hoster wird deinen Server irgendwann zwangsweise auf eine neuere PHP-Version migrieren, weil End-of-Life-Versionen für ihn ein Haftungsrisiko sind. PHP 7.4 erreichte im November 2022 das End of Life, und eine Welle älterer Themes und Plugins warf Fatal Errors, als die Hoster alle auf 8.x umzogen. Wenn es deine Site trifft, bekommst du keinen Warnhinweis. Du bekommst einen weißen Bildschirm, und du erfährst es von einem Kunden.

3. Formular-Endpoints, die still sterben

Der teuerste Ausfall auf dieser Liste, weil ihn niemand sieht. Kontaktformulare verschicken Mails über SMTP-Zugangsdaten, einen API-Key oder einen Drittanbieter, und alle drei verrotten. Passwörter werden rotiert, Keys laufen ab, Anbieter machen dicht oder verschärfen ihre Authentifizierungsregeln. Das Formular sieht weiter gut aus. Es zeigt Besuchern sogar eine Erfolgsmeldung. Die Nachricht geht nur nirgendwo hin. Ich habe Formulare gesehen, die monatelang still versagten, und das einzige Symptom war der Satz des Inhabers, die Anfragen seien in letzter Zeit dünn. Schick dein eigenes Kontaktformular ab. Heute noch.

4. SSL-Zertifikate, die nicht verlängert werden

Let's-Encrypt-Zertifikate verlängern sich alle 90 Tage automatisch, genau so lange, bis der Renewal-Job kaputtgeht, sich das DNS ändert oder die Site den Server wechselt und niemand es neu einrichtet. Dann sehen Besucher eine bildschirmfüllende Browser-Warnung, dass deine Site nicht sicher ist, was für ein Unternehmen praktisch ein Geschlossen-Schild an der Tür ist. Und die Regeln werden strenger: Das CA/Browser Forum hat beschlossen, die maximale Zertifikatslaufzeit schrittweise zu verkürzen, bis 2029 auf 47 Tage. Die Automatisierung regelt das. Wenn die Automatisierung funktioniert.

5. Domains, die ablaufen

Langweilig, katastrophal und häufiger, als du denkst. Die hinterlegte Kreditkarte läuft ab, die Erinnerungsmails gehen an ein Postfach, das niemand mehr liest, und die Domain verfällt. Erwischst du es in der Grace Period, zahlst du eine normale Verlängerung. In der Redemption Period werden typischerweise 80 bis 150 Dollar extra fällig. Verpasst du auch das, registrieren Drop-Catching-Dienste deine Domain Minuten nach der Freigabe. Und dann verhandelst du mit einem Squatter über deinen eigenen Namen.

6. Third-Party-Scripts, die sich unter dir ändern

Deine eingebettete Karte, dein Analytics, dein Chat-Widget, dein Instagram-Feed: alles Code, den du nicht kontrollierst. Google änderte 2018 die Preise der Maps API, und Tausende eingebettete Karten wurden über Nacht zu grauen Fehlerboxen. Universal Analytics wurde im Juli 2023 abgeschaltet, und Sites, die nie migriert sind, fliegen seitdem blind. Das Muster wiederholt sich jedes Jahr mit kleineren Diensten. Auf deinem Server hat sich nichts geändert. Das Ding, mit dem er spricht, schon.

Die Verfallskurve: 6, 12, 24 Monate

Nimm eine typische WordPress-Site eines kleinen Unternehmens und fass sie nicht mehr an.

Nach 6 Monaten sieht nichts falsch aus. Das Dashboard zeigt 15 oder 20 offene Updates, der Hoster hat eine Mail zu PHP geschickt, die niemand gelesen hat, und die Site ist eine Spur langsamer. Oberflächlich alles gut. Genau das macht Vernachlässigung so einfach.

Nach 12 Monaten holt dich die Statistik ein. Meist wurde mindestens ein Plugin von seinem Entwickler aufgegeben, das Kontaktformular hatte seinen ersten stillen Ausfall, und die Site läuft auf Plugin-Versionen mit veröffentlichten Schwachstellen. Bots scannen ständig danach. Nicht weil dein Unternehmen sie interessiert, sondern weil Scannen nichts kostet.

Nach 24 Monaten ist die erzwungene PHP-Migration meistens passiert, und mit ihr kam entweder ein kaputtes Layout oder ein weißer Bildschirm. Wenn die Site noch läuft, besteht eine reale Chance, dass sie still gehackt ist: Spam-Seiten für Fake-Merchandise oder Pharma-Keywords, die unter deiner Domain im Google-Index liegen. Ich wurde mehr als einmal für genau dieses Aufräumen gerufen, und die Verteidigungsseite habe ich in meiner Website-Security-Hardening-Checkliste aufgeschrieben.

Dieselben 24 Monate auf einer statischen Site? Fast nichts ist passiert. Die Domain hat sich automatisch verlängert, das SSL-Zertifikat auch, und das Formular hätte zweimal im Jahr einen Test verdient. Das ist der Teil, den Wartungs-Pitches weglassen: Der Bedarf an Website-Wartung skaliert mit der Komplexität des Stacks, und manche Stacks brauchen fast keine.

Ist dein Wartungsvertrag echte Arbeit oder ein Abo für Stille?

Manche Wartungsverträge sind ehrliche Arbeit. Viele 99-Euro-Pläne sind drei Auto-Update-Häkchen, die der Anbieter einmal gesetzt hat, vor zwei Jahren. An der Rechnung erkennst du den Unterschied nicht.

Hier ist der Test: Frag nach dem Arbeitsprotokoll des letzten Monats. Konkret, schriftlich. Was wurde aktualisiert, was wurde gesichert, wo liegen die Backups, und wann hat zuletzt jemand tatsächlich eines wiederhergestellt, um zu beweisen, dass es funktioniert. Ein ehrlicher Anbieter antwortet in fünf Minuten, weil das Protokoll längst existiert. Wenn du stattdessen einen Screenshot von einem Uptime-Dashboard bekommst, zahlst du nicht für Wartung. Du zahlst für Stille.

Um fair zu den Guten zu sein: Echte Wartung ist Arbeit plus Versicherung. Updates testen, bevor sie live gehen, Backups extern verifizieren, Security Advisories beobachten, die kleinen Dinge reparieren, bevor du sie bemerkst. Das ist auf einer komplexen Site echtes Geld wert. Es ist nur nicht das, was die Billig-Pläne liefern.

Das minimale Wartungs-Setup

Wenn du WordPress nutzt und lieber keinen Wartungsvertrag zahlst, hier die monatliche 30-Minuten-Routine, die den Großteil der Liste oben abdeckt:

• Zuerst Backup, außerhalb des Servers speichern und prüfen, ob die Datei wirklich existiert
• Core, Themes und Plugins aktualisieren, dann deine fünf wichtigsten Seiten durchklicken
• Dein eigenes Kontaktformular abschicken und prüfen, ob die Mail ankommt
• Prüfen, ob die automatische Domain-Verlängerung aktiv ist und die hinterlegte Karte nicht abgelaufen ist
• Einen kostenlosen Uptime-Monitor laufen lassen, damit du vor deinen Kunden von Ausfällen erfährst

Wenn dir auch Rankings wichtig sind, nimm meine monatliche SEO-Wartungs-Checkliste gleich mit dazu. Auf einer statischen Site ist die ehrliche Version dieser Routine quartalsweise, und das meiste davon ist zu prüfen, ob zwei Verlängerungen noch auf Autopilot laufen.

Braucht deine Website also monatliche Wartung?

Ehrliche Antwort: Es hängt davon ab, worauf sie gebaut ist, und wer antwortet, ohne das zuerst zu fragen, will dir etwas verkaufen.

WordPress oder ein anderes Plugin-lastiges CMS: Ja, jemand muss monatlich draufschauen. Ob das du mit der Checkliste oben bist oder ein Anbieter mit echtem Arbeitsprotokoll, ist eine Kostenfrage, keine technische. Eine statische Site: Nein, nicht monatlich, und ein Anbieter, der dir dafür monatlich etwas berechnet, sollte genau erklären können, was er in diesen 30 Tagen tut.

Ich verkaufe keine Wartungsverträge, ich habe in diesem Streit also keinen Hund im Rennen. Was ich mache: Websites bauen, die von vornherein weniger Wartung brauchen, und gelegentlich welche ausgraben, die zwei Jahre keine bekommen haben. Wenn deine Site irgendwo auf dieser Verfallskurve liegt und du nicht sicher bist, wie tief, lass uns reden. Jetzt prüfen ist billiger als später ausgraben.