WordPress-Wartung: Was eure Website 2026 wirklich kostet — und ab wann ein Umzug günstiger ist

WordPress selbst ist kostenlos. Eine Firmenseite, die seit fünf, sechs Jahren wächst, ist es nicht. Ihre laufenden Kosten verteilen sich auf vier Blöcke, und die meisten Rechnungen im Netz zeigen nur einen davon:

1. Wartung: Updates, Backups, Überwachung, meist als Monatspauschale bei einer Agentur oder einem Freelancer. 2. Lizenzen: Jahresabos für Bezahl-Plugins und Themes, also Page Builder, Mehrsprachigkeit, SEO, Formulare, Caching, Sicherheit. 3. Hosting: vom Shared Hosting für ein paar Euro bis zum Managed-WordPress-Tarif. 4. Zeit und Zwischenfälle: eure eigenen Stunden für Freigaben, das Prüfen nach Updates und im schlimmsten Fall die Aufräumarbeit nach einem Angriff.

Wer nur den Wartungsvertrag vergleicht, vergleicht also Äpfel mit einem Teil des Obstkorbs. Die Agenturen, die bei „WordPress Wartung Kosten“ oben stehen, verkaufen selbst Wartung — die Lizenzen stehen dort als „läuft weiter“, ohne Betrag. Das ist kein Vorwurf, nur der Grund, warum ihr die Summe selbst ziehen müsst.

Das folgende Setup ist ein Beispiel, kein echter Kunde: eine Firmenseite auf Deutsch und Englisch, gebaut mit Elementor, mit Kontaktformular, SEO-Plugin, Caching und einem Sicherheits-Plugin. Genau diese Kombination begegnet uns bei gewachsenen Mittelstandsseiten oft. Alle Preise sind offizielle Listenpreise für eine Website, Stand 08.10.2026, netto.

Rund 1.400 € im Jahr klingen nicht dramatisch. Auf fünf Jahre sind es aber rund 7.000 €, ohne dass die Seite dadurch besser wird: Das Geld hält den Stand, es baut nichts aus. Und in dieser Rechnung fehlt der Block, der am meisten Nerven kostet.

WordPress betreibt laut W3Techs 40,1 % aller Websites — das macht es zum lohnendsten Ziel im Netz. Patchstack hat für 2025 11.334 neue Sicherheitslücken im WordPress-Ökosystem gezählt, 42 % mehr als im Vorjahr. 91 % davon steckten in Plugins, 9 % in Themes, im WordPress-Kern selbst nur sechs.

Zwei Zahlen aus demselben Bericht erklären, warum eine Wartung „einmal im Monat“ nicht reicht: 46 % der Lücken hatten bis zur Veröffentlichung keinen Fix vom Hersteller, und der gewichtete Median bis zum ersten Angriff lag bei fünf Stunden. Jedes zusätzliche Plugin ist eine weitere Tür, deren Schloss ein fremdes Team pflegt — oder eben nicht.

Dass auch der Kern nicht immun ist, hat der Juli 2026 gezeigt: Mit WordPress 7.0.2, 6.9.5 und 6.8.6 hat WordPress.org am 17. Juli eine kritische und eine hohe Lücke geschlossen, die zusammen als „wp2shell“ bekannt wurden, und die Updates wegen der Schwere zwangsweise ausgerollt. IONOS hat betroffenen Kund:innen geraten, Daten auf den Stand vor dem 18. Juli zurückzusetzen. Wer in der Woche keine Wartung hatte, die sofort reagiert, hatte ein Problem — egal, was der Vertrag kostet.

Zwei Rechtsthemen laufen dazu nebenher, ohne dass sie jede Seite betreffen: Das Barrierefreiheitsstärkungsgesetz gilt seit dem 28. Juni 2025 für Dienstleistungen im elektronischen Geschäftsverkehr mit Verbraucher:innen, also etwa Shops und Buchungsstrecken; Kleinstunternehmen mit weniger als zehn Beschäftigten und höchstens 2 Mio. € Umsatz sind bei Dienstleistungen ausgenommen. Und der Cyber Resilience Act verpflichtet seit dem 11. September 2026 Hersteller von Software, also auch kommerzielle Plugin-Anbieter, aktiv ausgenutzte Lücken zu melden; voll gilt er ab dem 11. Dezember 2027. Für euch als Betreiber ist das vor allem eine Frage: Bleiben eure Plugin-Hersteller dabei, oder verschwinden einzelne vom Markt? Ein Artikel ist keine Rechtsberatung; für euren Fall gehört ein Blick von Fachleuten dazu.

Die Formel ist einfach, und trotzdem rechnen sie viele Anbieter falsch:

Monate bis Break-even = Umzugspreis ÷ (Kosten heute pro Jahr − Kosten danach pro Jahr) × 12

Kosten danach heißt: was ihr nach dem Umzug weiter bezahlt, also Hosting, Pflege des Codes und Dienste, die ein Plugin ersetzen. Die Zahl wird nie null. Eine schlichte Next.js-Seite läuft zum Beispiel auf einem kleinen Cloud-Server von Hetzner für 5,49 € netto im Monat; Pflege und Dienste kommen dazu.

Beispiel A ist der ehrliche Normalfall: Finanziell lohnt sich der Umzug nicht. Er kann sich trotzdem lohnen, wegen Sicherheit, weniger Abstimmung nach Updates oder weil das Design nicht mehr an einer Builder-Lizenz hängt — aber dann solltet ihr das als Grund benennen, nicht eine Ersparnis. Unsere Faustregel: Spielt die Ersparnis den Umzugspreis nicht in etwa drei Jahren ein, ist Geld kein Argument.

Das Schema oben funktioniert mit Stift und Buchhaltung. Schneller geht es mit WP Exit, unserem kostenlosen WordPress-Plugin. Es liest eure Installation nur lesend aus: Plugins und Themes mit Version, Inhaltstypen, Felder, Formulare, Weiterleitungen, Page Builder und Hosting-Umgebung. Daraus rechnet es, was eure Lizenzen und verbundenen Dienste heute kosten, was nach einem Umzug nach Next.js übrig bleibt, den Festpreis für die Migration und ab wann sie sich rechnet.

Zwei Dinge, die uns wichtig sind: Das Plugin vergleicht nur Zahlungen, die sich belegen lassen, und lässt das Hosting bewusst aus dem Vergleich, weil ihr es vorher wie nachher braucht. Und wenn der Umzug mehr kostet, als er spart, steht das im Report als Mehrkosten, nicht als Einsparung. Bevor etwas euren Server verlässt, gebt ihr die Analyse frei; übertragen wird nur die technische Struktur, keine Texte, keine Formular-Einträge, keine Zugangsdaten.

Wer kein Plugin installieren möchte, kann seine Adresse auch in den kostenlosen decivo Scan geben: Er erkennt WordPress von außen und zeigt, wo die Seite steht. Und wer lieber erst spricht: 15 Minuten reichen, um den Umzug einzuordnen — wir sagen euch auch, wenn er sich nicht lohnt.