Firmenwebsite warten: Was regelmäßig geprüft, aktualisiert und gesichert werden sollte

Eine Firmenwebsite braucht nach dem Livegang regelmäßige Pflege, auch wenn sich die Inhalte wenig ändern. Bei einem Content-Management-System (CMS) wie WordPress gehören Updates für das System, Themes und Plugins sowie eine unterstützte Laufzeitumgebung dazu. Bei statisch erzeugten Seiten stehen stattdessen Build-Abhängigkeiten und der Veröffentlichungsprozess im Mittelpunkt. Für beide Varianten zählen automatisch erneuerte TLS-Zertifikate, eine zur Architektur passende Datensicherung mit Wiederherstellungstest, funktionierende Formulare und eine überwachte Erreichbarkeit. Rechtstexte und Barrierefreiheit gehören als Prüfpunkte dazu.

Der Aufwand dafür ist bei einer typischen Unternehmenswebsite überschaubar, wenn er planbar verteilt wird. Schwierig wird es meist erst, wenn niemand eindeutig zuständig ist und die Website jahrelang unverändert läuft, bis ein Plugin ausfällt, das Zertifikat abläuft oder Anfragen aus dem Kontaktformular nicht mehr ankommen.

Updates für CMS, Themes und Plugins: regelmäßig, aber nicht blind

Die meisten Firmenwebsites laufen auf einem Content-Management-System wie WordPress, TYPO3 oder Joomla, ergänzt um ein Theme und mehrere Erweiterungen. Jede dieser Komponenten wird weiterentwickelt, und regelmäßig werden Sicherheitslücken bekannt und geschlossen. Angreifer suchen automatisiert nach Websites, auf denen eine bekannte Lücke noch offen ist. Dafür muss das Unternehmen kein besonderes Ziel sein, es genügt eine veraltete Erweiterung.

Ein typisches Beispiel: Ein Planungsbüro lässt 2021 eine Website mit einem Seitenbaukasten-Plugin, einem Slider und einem Formular-Plugin erstellen. Die Agentur übergibt die Seite, danach meldet sich niemand mehr im Backend an. Fünf Jahre später ist eines der Plugins vom Entwickler aufgegeben, ein anderes hat mehrere bekannte Schwachstellen, und ein Update auf eine aktuelle Version ist nur noch mit Anpassungen am Layout möglich.

Sicherheitsupdates sollten deshalb zeitnah eingespielt werden. Größere Versionssprünge brauchen dagegen etwas mehr Sorgfalt, weil sie Layout oder Funktionen verändern können. Nach jedem Update lohnt eine kurze Sichtprüfung der wichtigsten Seiten und ein Test des Kontaktformulars. Erweiterungen, die nicht mehr genutzt werden, sollten entfernt statt nur deaktiviert werden. Jedes Plugin weniger ist eine Komponente weniger, die gepflegt werden muss.

PHP-Versionen haben ein festes Supportende

Viele Content-Management-Systeme sind in PHP geschrieben. Jede PHP-Version wird laut den offiziellen Angaben von php.net zwei Jahre aktiv weiterentwickelt und erhält danach zwei weitere Jahre nur noch Sicherheitskorrekturen. Anschließend gibt es keine Updates mehr.

Stand Oktober 2026 erhält PHP 8.1 keine Sicherheitsupdates mehr. PHP 8.2 wird noch bis zum 31. Dezember 2026 mit Sicherheitskorrekturen versorgt, PHP 8.3 bis Ende 2027, PHP 8.4 bis Ende 2028 und PHP 8.5 bis Ende 2029. Wer heute noch PHP 8.2 einsetzt, sollte den Wechsel also für die kommenden Wochen einplanen. WordPress selbst empfiehlt PHP in Version 8.3 oder höher.

Ein PHP-Wechsel ist meist eine Einstellung beim Hoster, das Risiko liegt aber in der Kompatibilität. Ältere Themes oder Plugins funktionieren mit einer neuen PHP-Version manchmal nicht mehr. Deshalb sollte der Wechsel vorher in einer Testumgebung oder zumindest mit aktueller Sicherung und anschließender Prüfung erfolgen. Manche Hoster stellen veraltete Versionen nach dem Supportende automatisch um oder berechnen für den Weiterbetrieb einen Aufpreis. Beides ist kein Ersatz für eine bewusst geplante Umstellung.

TLS-Zertifikate: Die Laufzeiten werden deutlich kürzer

Das Zertifikat sorgt dafür, dass die Website verschlüsselt über HTTPS erreichbar ist. Läuft es ab, zeigen Browser eine deutliche Warnung, und viele Besucher brechen ab. Bisher war das vor allem bei manuell gekauften Zertifikaten ein Thema, die einmal im Jahr erneuert werden mussten.

Diese Praxis wird zunehmend unpraktikabel. Das CA/Browser Forum, in dem Zertifizierungsstellen und Browserhersteller die Regeln festlegen, hat mit dem Ballot SC-081v3 eine schrittweise Verkürzung beschlossen. Seit dem 15. März 2026 sind öffentliche TLS-Zertifikate höchstens 200 Tage gültig, ab dem 15. März 2027 noch 100 Tage und ab dem 15. März 2029 nur noch 47 Tage.

Let’s Encrypt, das bereits mit 90 Tagen arbeitet, verkürzt die Laufzeit seiner Standardzertifikate im Februar 2027 auf 64 Tage und im Februar 2028 auf 45 Tage. Für die Website-Wartung bedeutet das: Zertifikate sollten automatisch erneuert werden, und die Erneuerung selbst sollte überwacht werden. Neben der Hauptdomain gehören dabei auch Subdomains, etwa für ein Kundenportal, in die Prüfung.

Backups der Website: Dateien, Datenbank und ein Test der Wiederherstellung

Bei einer datenbankgestützten CMS-Website gehören Dateien und Datenbank in die Sicherung. Zu den Dateien zählen hochgeladene Bilder und Dokumente; die Datenbank enthält Seiteninhalte, Einstellungen und gegebenenfalls Formulareingaben. Bei statischen Websites sind stattdessen Quellinhalte, Konfiguration, eigene Assets und der wiederholbare Build wichtig. Externe Formulardienste oder Dateispeicher müssen gesondert berücksichtigt werden. Die Sicherung ist vollständig, wenn sich die tatsächlich eingesetzte Website mitsamt ihren erforderlichen Abhängigkeiten wiederherstellen lässt.

Wie oft gesichert wird, folgt daraus, wie viel Änderung seit dem letzten Sicherungspunkt verloren gehen darf. Eine täglich geänderte Website braucht einen anderen Rhythmus als eine selten aktualisierte Informationsseite. Auch die Aufbewahrung zählt: Wird eine Manipulation erst nach Wochen bemerkt, braucht es einen nachweislich intakten Stand aus der Zeit davor. Wiederherstellbare, versionierte Inhalte und ausreichend alte Sicherungspunkte müssen deshalb zusammen geplant werden.

Mindestens eine Kopie sollte außerhalb des Hostings liegen, damit sie bei einem Problem mit dem Server oder dem Kundenkonto noch verfügbar ist. Ob die Sicherung im Ernstfall funktioniert, zeigt erst ein Test, zum Beispiel eine Wiederherstellung in eine getrennte Testumgebung. Warum ein erfolgreicher Sicherungslauf allein wenig beweist, erklärt der Beitrag Backup vorhanden, aber funktioniert die Wiederherstellung auch?.

Formulare und Mailzustellung regelmäßig selbst testen

Ein defektes Kontaktformular fällt selten sofort auf. Die Website sieht normal aus, Besucher erhalten vielleicht sogar eine Bestätigung, aber im info@-Postfach kommt nichts an. Ursachen können ein Plugin-Update sein, ein geändertes Kennwort für das Mailkonto, über das die Website versendet, oder strengere Prüfungen beim empfangenden Mailsystem.

Gerade der letzte Punkt wird häufiger. Versendet die Website Mails im Namen der Firmendomain, ohne dass der Server in den DNS-Einträgen der Domain als berechtigter Absender hinterlegt ist, landen Nachrichten im Spam oder werden abgewiesen. Welche Rolle SPF, DKIM und DMARC dabei spielen, beschreibt der Beitrag SPF, DKIM und DMARC verständlich erklärt.

Die einfachste Kontrolle ist ein echter Test: Das Formular einmal im Monat selbst ausfüllen und prüfen, ob die Nachricht vollständig und zeitnah im richtigen Postfach ankommt. Bei Formularen mit Dateiupload oder Weiterleitung an mehrere Empfänger sollte jede Variante einmal getestet werden.

Rechtstexte und Cookie-Banner gehören auf die Prüfliste

Impressum, Datenschutzerklärung und Einwilligungsbanner sind rechtliche Themen und keine Aufgabe der technischen Wartung. Sie gehören trotzdem auf die Prüfliste, weil technische Änderungen sie schnell veralten lassen. Ein neues Plugin für Karten oder Videos, ein eingebundenes Buchungstool oder ein Wechsel des Hosters kann bedeuten, dass die Datenschutzerklärung nicht mehr zur tatsächlichen Website passt.

Bei der Wartung lässt sich zumindest prüfen, ob Impressumsangaben wie Adresse und Vertretungsberechtigte noch stimmen, ob neue Dienste in der Datenschutzerklärung auftauchen und ob das Cookie-Banner externe Inhalte tatsächlich erst nach einer Einwilligung lädt. Die inhaltliche Bewertung gehört zu Datenschutzbeauftragten oder rechtlicher Beratung.

Barrierefreiheit: Bestimmte Verbraucherangebote fallen unter das BFSG

Seit dem 28. Juni 2025 gilt das Barrierefreiheitsstärkungsgesetz. Es betrifft bestimmte Produkte und Dienstleistungen, darunter Dienstleistungen im elektronischen Geschäftsverkehr für Verbraucher. Nach Angaben der Bundesfachstelle Barrierefreiheit gehören dazu etwa Onlineshops. Kleinstunternehmen mit weniger als zehn Beschäftigten und einem Jahresumsatz oder einer Jahresbilanzsumme von höchstens 2 Millionen Euro, die Dienstleistungen anbieten, sind ausgenommen.

Eine reine Informationsseite eines Unternehmens, das ausschließlich Geschäftskunden bedient, ist keine Dienstleistung im elektronischen Geschäftsverkehr für Verbraucher. Entscheidend ist aber die tatsächlich angebotene Leistung, nicht nur die Bezeichnung „Firmenwebsite“. Sobald Verbraucher online Verträge anbahnen oder abschließen können oder eine andere erfasste Dienstleistung angeboten wird, muss der Anwendungsbereich anhand des konkreten Angebots geprüft werden.

Unabhängig von der Pflicht lohnt sich ein Blick auf grundlegende Punkte: ausreichende Kontraste, Alternativtexte für Bilder, eine Bedienbarkeit per Tastatur und Formulare mit verständlichen Beschriftungen. Diese Punkte sollten vor allem nach Designänderungen oder einem Relaunch erneut geprüft werden.

Monitoring verkürzt die Zeit bis zur Entdeckung eines Ausfalls

Viele Ausfälle einer Website werden zufällig entdeckt, oft durch einen Kunden, der anruft. Ein einfaches Monitoring prüft regelmäßig von außen, ob die Startseite antwortet, und warnt, wenn ein Zertifikat oder die Domain bald abläuft. Je nach Website kann auch sinnvoll sein, zu prüfen, ob eine bestimmte Unterseite oder ein Formular erreichbar ist.

Wichtig ist, dass Warnungen bei jemandem ankommen, der darauf reagieren kann. Ein Alarm, der an ein Postfach eines ehemaligen Mitarbeiters geht, hilft niemandem. Welche Systeme sich darüber hinaus zu überwachen lohnen, beschreibt der Beitrag Monitoring für kleine Unternehmen.

Wer ist für welchen Teil der Website zuständig?

An einer Firmenwebsite sind häufig mehrere Parteien beteiligt. Der Hoster betreibt den Server und stellt PHP-Versionen bereit. Eine Agentur hat die Seite gebaut und kennt Theme und Plugins. Das Unternehmen pflegt die Inhalte. Für Domain, DNS und E-Mail ist vielleicht ein IT-Dienstleister zuständig. Jeder geht leicht davon aus, dass ein anderer sich um Updates, Sicherungen oder Formulartests kümmert.

Sinnvoll ist deshalb eine kurze schriftliche Zuordnung: Wer spielt Updates ein, wer prüft Sicherungen, wer erhält Monitoring-Meldungen und wer wird bei einem Ausfall angerufen? Ebenso wichtig ist, dass Zugänge zum CMS, zum Hosting und zum Domainverwaltungskonto beim Unternehmen liegen und nicht nur bei einer einzelnen Person oder einem früheren Dienstleister.

Ein realistischer Wartungsrhythmus für eine Firmenwebsite

Die folgende Übersicht zeigt einen Rhythmus, der für viele Unternehmenswebsites mit CMS passt. Automatisierte Aufgaben laufen dabei im Hintergrund, die übrigen Punkte brauchen eine verantwortliche Person.

Wie eng die Intervalle sein müssen, hängt von der Website ab. Eine schlanke Seite mit wenigen Erweiterungen kommt mit weniger Aufwand aus als ein Onlineshop mit Zahlungsanbindung, Kundenkonten und täglichem Umsatz. Bei einer Website, über die regelmäßig Anfragen oder Bestellungen eingehen, sollten Updates und Formulartests eher häufiger stattfinden. Entscheidend ist weniger das exakte Intervall als die Tatsache, dass die Aufgaben überhaupt verbindlich jemandem zugeordnet sind.

Was Wernecke IT bei der Website-Wartung übernehmen kann

Im Rahmen unserer Leistung für Webseiten übernehmen wir auf Wunsch laufende Pflege, Updates und technische Wartung im vereinbarten Umfang. Im Hosting gehören automatisch erneuerte Zertifikate, Sicherungen nach vereinbartem Paket und Monitoring dazu. Individuelle Formulare, Schnittstellen oder Erweiterungen, die über eine klassische Website hinausgehen, setzen wir über die Webprogrammierung um.

Wenn Sie für Ihr Unternehmen in Berlin oder Brandenburg den Zustand einer bestehenden Website einschätzen lassen oder die Wartung verbindlich regeln möchten, sehen wir uns die Seite gern gemeinsam an. Kontakt aufnehmen.