Website-Pflege: was regelmäßig getan werden muss

Warum eine Website Pflege braucht, auch wenn sie neu ist

Nach dem Start einer neuen Website ist die Arbeit für viele Betriebe erledigt. Die Agentur ist bezahlt, die Seite sieht gut aus, und für die nächsten Jahre soll sie einfach laufen. Ein Jahr später kommen weniger Anfragen, ohne dass jemand weiß, warum. Ein Update ist liegen geblieben, das Formular schickt an ein Postfach, das niemand mehr liest, und die Seite mit der wichtigsten Leistung verweist auf ein Datenblatt, das es nicht mehr gibt.

Dieser Leitfaden beantwortet deshalb die Frage: Was muss an einer Website regelmäßig getan werden, wie oft, und wer ist dafür zuständig? Dafür klären wir zuerst ein Modell aus der Softwaretechnik, das Wartung in vier Arten einteilt. Danach sehen wir uns an, was Studien über Sicherheitslücken und verfallende Inhalte zeigen, wägen zwei Sichtweisen auf die Zuständigkeit ab und bauen einen Pflegekalender.

Eine Website, die niemand pflegt, steht nicht still. Sie verfällt.

Das Denkmodell: vier Arten der Wartung

Die Softwaretechnik beschäftigt sich seit den Untersuchungen von Bennet Lientz und Burton Swanson (1980) mit der Frage, wofür nach dem Start eines Programms Arbeit anfällt. Die Norm ISO/IEC 14764 unterscheidet heute vier Arten von Wartung, also aller Arbeit an einer Software nach ihrer Auslieferung. Korrigierende Wartung behebt Fehler, die aufgetreten sind. Anpassende Wartung hält die Software in einer sich ändernden Umgebung lauffähig, etwa bei neuen Browsern, Serverversionen oder Rechtsvorgaben. Verbessernde Wartung macht sie besser, als sie war, schneller, verständlicher, nützlicher. Vorbeugende Wartung beseitigt Schwachstellen, bevor sie zu Fehlern werden.

Für eine Website ist das Modell nützlich, weil es zeigt, wo die Lücke meist liegt. Korrigiert wird, sobald jemand einen Fehler bemerkt. Angepasst wird, wenn etwas nicht mehr funktioniert. Verbessert wird bei einem Relaunch. Die vorbeugende Wartung aber hat keinen Auslöser. Ihr Ausbleiben fällt lange nicht auf, bis ein Angriff, ein abgelaufenes Zertifikat oder ein Datenverlust es zeigt.

Was Studien über Sicherheit und verfallende Inhalte zeigen

Martinez-Caro und Kollegen (2018) haben die drei verbreiteten quelloffenen Redaktionssysteme WordPress, Joomla und Drupal verglichen. Sie bauten mit jedem System dieselbe Website mit Formular, Newsletter, Karten und Videos und prüften danach die Sicherheit. Unter Berufung auf frühere Untersuchungen halten sie fest, dass der weitaus größte Teil der Sicherheitslücken in Erweiterungen steckt, also in Zusatzmodulen, die nicht zum Kern des Systems gehören. Je mehr Erweiterungen installiert sind, desto größer die Angriffsfläche. Ihre Empfehlungen lesen sich wie ein Pflegeplan: regelmäßige Sicherungen von Dateien und Datenbank, aktuelle Versionen von System und Erweiterungen, voreingestellte Passwörter ändern, Installationsdateien entfernen, Zugriff auf die Verwaltung begrenzen. Die Untersuchung beruht auf Versionen von 2017 und ist eher Anleitung als Feldstudie. Die Grundsätze haben sich seither nicht geändert.

Die zweite Gefahr ist leiser. Inhalte verfallen. Das Pew Research Center hat 2024 ausgewertet, welche Seiten aus Stichproben der Jahre 2013 bis 2023 noch erreichbar waren. Von den Seiten aus 2013 waren 38 Prozent nicht mehr aufrufbar, über alle Jahre ein Viertel, meist weil einzelne Seiten auf ansonsten funktionierenden Websites gelöscht worden waren. 23 Prozent der untersuchten Nachrichtenseiten enthielten mindestens einen kaputten Link.

Für kleine Betriebe gibt es eine passende Untersuchung aus Polen. Król (2019) prüfte die Links von 919 Websites ländlicher Ferienunterkünfte. Auf 464 davon fand er kaputte Links, bei rund 65 Prozent dieser Seiten waren es nur wenige. Besonders schädlich waren kaputte Links in der Beschreibung des Angebots und zu den eigenen Profilen in sozialen Netzwerken. Ein einfacher Zusammenhang mit der Suchmaschinenoptimierung zeigte sich nicht. Der Autor vermutet, dass die geringe Zahl eher Zufall als Ergebnis bewusster Pflege war.

Was sich gerade ändert: kürzere Zertifikate und strengere Erwartungen

Zur anpassenden Wartung gehört, auf Änderungen der Umgebung zu reagieren. Eine betrifft jede Website mit verschlüsselter Verbindung. Ein TLS-Zertifikat bestätigt dem Browser, dass die Seite wirklich zur angegebenen Adresse gehört, erkennbar am Schloss in der Adresszeile. Die Höchstlaufzeit solcher Zertifikate sinkt nach einem Beschluss des CA/Browser Forums, des Gremiums von Zertifizierungsstellen und Browserherstellern, in Stufen: seit dem 15. März 2026 auf 200 Tage, ab dem 15. März 2027 auf 100 Tage und ab dem 15. März 2029 auf 47 Tage. Wer Zertifikate heute noch von Hand erneuert, sollte mit seinem Hoster klären, dass die Erneuerung automatisch läuft.

Andere Änderungen kommen aus dem Recht und aus der Technik. Für Angebote, über die Verbraucher Verträge schließen, gilt seit Juni 2025 das Barrierefreiheitsstärkungsgesetz, wie der Beitrag Barrierefreie Website beschreibt. Die Regeln für Einwilligungen in Cookies und Messung werden auf EU-Ebene beraten, wie der Beitrag Cookie-Banner und Messung darstellt. Beides gehört einmal im Jahr auf die Prüfliste.

Wer pflegt die Website? Zwei Sichtweisen

Die erste Sichtweise legt die Pflege in die Hände eines Dienstleisters. Updates, Sicherungen und Sicherheitsprüfungen sind Fachaufgaben. Ein Wartungsvertrag mit Agentur oder Hoster sorgt dafür, dass sie regelmäßig erledigt werden, auch wenn im Betrieb niemand daran denkt. Für die anpassende und vorbeugende Wartung spricht viel dafür, besonders bei Systemen mit vielen Erweiterungen.

Die zweite Sichtweise hält die Pflege für eine Aufgabe des Betriebs. Ob die Telefonnummer stimmt, ob die Leistung noch angeboten wird, ob das Formular beim richtigen Empfänger ankommt und ob die Kundenstimme noch aktuell ist, kann kein Dienstleister beurteilen. Korrigierende und verbessernde Wartung hängen am Wissen über den Betrieb.

Ich halte eine Teilung für richtig, die den vier Arten folgt: Technik beim Dienstleister, Inhalt im Haus, Verantwortung beim Inhaber. Der Dienstleister übernimmt Updates, Sicherungen und Zertifikate und berichtet einmal im Monat, was er getan hat. Im Betrieb gibt es eine Person, die Inhalte, Formulare und Links prüft. Und der Inhaber stellt sicher, dass Domain, Hosting und Zugänge auf den Betrieb laufen, wie es auch bei der Auswahl einer Agentur gilt.

Der Pflegekalender: was wann zu tun ist

Aus den vier Arten ergibt sich ein Kalender. Ich nenne ihn den Pflegekalender. Er verteilt die Aufgaben so, dass keine Woche viel Arbeit macht und keine Aufgabe vergessen wird.

Für die monatliche Prüfung der Suchdaten reicht der Bericht zu Seiten und Sicherheitsproblemen, wie ihn der Beitrag Google Search Console verstehen beschreibt. Für die halbjährliche Messung der Ladezeit gelten die Werte aus dem Beitrag Ladezeit der Website: Der größte sichtbare Inhalt steht in höchstens 2,5 Sekunden, gemessen bei drei Vierteln der Besuche.

Was kostet die Pflege?

Die Kosten bestehen aus zwei Teilen: der Zeit im Betrieb und dem Honorar des Dienstleisters. Das folgende Rechenbeispiel zeigt die Zeit im Betrieb für eine Website mit rund 40 Seiten.

Drei Stunden im Monat sind wenig im Vergleich zu dem, was eine vernachlässigte Website kostet. Ein Formular, das vier Wochen lang nicht ankommt, kostet bei 24 Anfragen im Monat, wie im Beispiel aus dem Beitrag Website, die Anfragen bringt, genau diese 24 Anfragen. Beim Wartungsvertrag lohnt ein Blick auf die Leistungen: Er sollte Updates, Sicherungen mit Wiederherstellungstest, Zertifikate und einen kurzen Monatsbericht umfassen, mit einer Frist für die Reaktion bei Sicherheitslücken.

Der größere Zusammenhang

Die Pflege der Website ist ein Beispiel für eine Aufgabe, die in vielen Betrieben zwischen den Zuständigkeiten liegt. Die Technik gehört scheinbar dem Dienstleister, der Inhalt scheinbar dem Marketing, und am Ende fühlt sich niemand verantwortlich. Das Modell der vier Wartungsarten macht sichtbar, dass jede Art einen eigenen Zuständigen braucht. Am wichtigsten ist die vorbeugende Wartung, weil ihr Ausbleiben sich erst zeigt, wenn der Schaden da ist. Wie die Grundregeln der IT-Sicherheit im ganzen Betrieb aussehen, beschreibt der Beitrag IT-Grundschutz für kleine Betriebe. Ist die Website so alt, dass Pflege nicht mehr reicht, hilft der Beitrag Website-Relaunch planen.

Die Grenzen liegen bei den Belegen. Die Sicherheitsuntersuchung ist älter und eher Anleitung als Feldstudie, die Auswertungen zu verfallenden Links betreffen Nachrichtenseiten, Behörden und Ferienbetriebe. Die Stunden im Rechenbeispiel sind Richtwerte. Belastbar ist die Richtung: Ungepflegte Websites verlieren Inhalte, und ungepflegte Erweiterungen öffnen Türen.

Was bleibt und wie du anfängst

Die Leitfrage lautete, was an einer Website regelmäßig getan werden muss, wie oft und von wem. Zu tun sind vier Arten von Arbeit: Fehler korrigieren, die Seite an Updates, Zertifikate und Recht anpassen, Inhalte verbessern und Schäden vorbeugen, vor allem durch geprüfte Sicherungen und wenige, aktuelle Erweiterungen. Wöchentlich und monatlich geht es um Updates, Formulare und Fehlermeldungen, im Quartal um Links, Angaben und den Test einer Wiederherstellung, im Jahr um Erweiterungen, Recht und Zugänge. Die Technik übernimmt ein Dienstleister, den Inhalt eine Person im Betrieb, die Verantwortung der Inhaber. Gepflegt wird nach Kalender, nicht nach Anlass.

• Das Kontaktformular heute selbst ausfüllen und prüfen, wer die Nachricht wann bekommt.
• Beim Dienstleister erfragen, wann die letzte Sicherung wiederhergestellt wurde.
• Klären, ob Zertifikate automatisch erneuert werden.
• Alle installierten Erweiterungen auflisten und jede ohne Nutzen entfernen lassen.
• Den Pflegekalender mit Zuständigen in den Kalender des Betriebs übertragen.