Leistung · Website & Technik

Website-Wartung: laufende Pflege für neue und bestehende Seiten

Eine Website ist mit dem Start nicht fertig — und auch eine bestehende Seite will gepflegt werden. Ihre Software braucht Updates, ihre Daten brauchen Sicherungen, und die Pflichtangaben müssen stimmen. Wir betreuen neue wie bestehende Websites, letztere nach einem Einstiegs-Check. Hier steht, was Gesetz und BSI dazu sagen — und was Wartung leisten kann und was nicht.

Wartung anfragen So beginnt eine Betreuung

Was gehört zur Wartung einer Website?

Zur Wartung gehört alles, was eine fertige Website sicher und korrekt hält: Updates der Software, Datensicherungen, regelmäßige Prüfungen und aktuelle Pflichtangaben.

Das deckt sich mit dem, was Behörden empfehlen: Das BSI nennt zeitnahe und getestete , die bayerische Datenschutzaufsicht zählt auch Erweiterungen und Themes eines Redaktionssystems dazu. BSI Bayerisches Landesamt für Dazu kommen regelmäßige Sicherheitsprüfungen der Webanwendung und korrekte Pflichtangaben. BSI Bundesamt für Justiz Was davon trendgo übernimmt, steht weiter unten. Auch eine Browser-App oder eine einzelne Website will nach dem Start gepflegt werden.

Patch

Ein Patch ist eine Korrektur für eine Software, die gezielt Fehler und bekannte Schwachstellen behebt. Hersteller veröffentlichen Patches meist als Sicherheitskorrektur oder als Teil eines Updates.

Datensicherung (Backup)

Eine Datensicherung, englisch Backup, ist eine Kopie von Daten auf einem separaten Speichermedium, mit der sich der Betrieb nach einem Datenverlust wieder aufnehmen lässt. Laut BSI gehört dazu, das Zurückspielen regelmäßig zu testen. Eine gespiegelte Festplatte (RAID) zählt nicht als Datensicherung.

Warum braucht auch eine kleine Website regelmäßige Updates?

Weil Angreifer das Netz automatisiert nach bekannten Lücken absuchen — ganz gleich, wie groß ein Unternehmen ist.

Schwachstelle (Bug)

Eine Schwachstelle ist ein Fehler oder eine Schwäche in Software, über die Angreifer in ein System eindringen können — umgangssprachlich oft Bug genannt, auch wenn nicht jeder Bug eine Schwachstelle ist. Sie entsteht zum Beispiel durch Programmierfehler, unsichere Voreinstellungen oder falsch gesetzte Sicherheitseinstellungen.

119

neue in IT-Produkten wurden im Schnitt pro Tag bekannt (BSI, Juli 2024 bis Juni 2025) BSI

~56 %

der Grund-Anforderungen an IT-Sicherheit erfüllten Unternehmen im Schnitt beim CyberRisikoCheck des BSI BSI

Angreifer rufen Adressen massenhaft und ungezielt auf, um Schwachstellen zu finden; zu vielen Adressen lassen sich eingesetzte Software und mögliche Lücken sogar kostenlos abfragen. BSI BSI Das BSI stellt fest, dass gerade kleine Unternehmen Updates oft vernachlässigen und selten eigenes IT-Personal haben. BSI Ein kann eine Lücke ausnutzen, kurz nachdem sie bekannt wurde.

Exploit

Ein Exploit ist ein Schadcode, der eine Schwachstelle gezielt ausnutzt. Angreifer verschaffen sich damit zum Beispiel Zugang zu Servern oder Diensten.

Die 119 beziehen sich auf die US-Schwachstellendatenbank NVD und sagen nichts darüber, wie viele Lücken tatsächlich ausgenutzt werden. Die 56 % stammen aus 600 Checks nach DIN SPEC 27076, sind nicht repräsentativ und betreffen die IT-Sicherheit insgesamt, nicht nur Websites. BSI BSI

Ist Website-Wartung Pflicht?

Einen Wartungsvertrag schreibt kein Gesetz vor — aber mehrere Pflichten kannst du ohne regelmäßige Pflege kaum erfüllen.

Personenbezogene Daten

Personenbezogene Daten sind alle Informationen, die sich auf eine bestimmte oder bestimmbare Person beziehen, etwa ein Name, eine E-Mail-Adresse oder eine Online-Kennung. Die DSGVO regelt, wie sie geschützt werden müssen.

Zum Vergleich: In der Buchhaltung ist der Rahmen eindeutig — Bücher und Jahresabschlüsse müssen zehn Jahre aufbewahrt werden. Handelskammer Hamburg Für die Website gibt es keine solche einzelne Zahl, aber mehrere laufende Pflichten.

Sicherheit nach dem Stand der Technik

Sobald deine Website verarbeitet, etwa über ein Kontaktformular, verlangt Art. 32 DSGVO dem Risiko angemessene Maßnahmen, die rasche Wiederherstellbarkeit und ein Verfahren zur regelmäßigen Überprüfung. Die bayerische Aufsicht zählt das Einspielen von Sicherheitsupdates ausdrücklich dazu (Stand 2018). Gesetzestext Bayerisches Landesamt für

Pflichtangaben richtig halten

Nach § 5 DDG müssen Name, Anschrift, Kontakt, Register und weitere Angaben leicht erkennbar, unmittelbar erreichbar und ständig verfügbar sein. Wer sie nicht richtig verfügbar hält, handelt ordnungswidrig. Bundesamt für Justiz

Datenpannen melden

Eine Verletzung des Datenschutzes ist in der Regel unverzüglich und möglichst binnen 72 Stunden der Aufsichtsbehörde zu melden; ein Dienstleister mit Datenzugriff muss dich unverzüglich informieren. Gesetzestext

Das heißt nicht, dass ein Gesetz „Wartung“ verlangt — aber diese Pflichten laufen ins Leere, wenn niemand die Website pflegt. Verstöße können Bußgelder nach sich ziehen. Diese Seite informiert allgemein und ersetzt keine Prüfung des Einzelfalls.

Das ist unsere Praxis-Erfahrung, keine Rechtsberatung. Verbindliche Auskünfte gibt eine Anwältin oder ein Anwalt.

Was empfiehlt das BSI für Updates und Datensicherungen?

Updates zeitnah bewerten und einspielen, vorher eine Rückfall-Lösung bereithalten und Datensicherungen getrennt aufbewahren und regelmäßig zurückspielen — so die Empfehlung des BSI.

01
1 · Bewerten

Neue Updates zeitnah nach Veröffentlichung bewerten und nach Dringlichkeit ordnen. BSI
02
2 · Absichern

Vor dem Einspielen eine Rückfall-Lösung bereithalten. BSI
03
3 · Einspielen und prüfen

Einspielen und kontrollieren, ob das Update überall erfolgreich war. BSI
04
4 · Dokumentieren

Wird ein Update nicht eingespielt, Entscheidung und Gründe festhalten. BSI
05
5 · Datensicherung

Sicherungen auf getrennten Medien, räumlich getrennt, vor Überschreiben geschützt — und das Zurückspielen regelmäßig testen. BSI

Für Websites mit Redaktionssystem kommt die bayerische Aufsicht hinzu: auch Erweiterungen und Themes aktualisieren, den Admin-Bereich absichern, Benutzerrechte einschränken, verschlüsselt und möglichst mit zweitem Faktor anmelden. Bayerisches Landesamt für Das BSI sagt selbst, dass sein Grundschutz eher für Unternehmen mit eigener IT-Abteilung gedacht ist — die Schritte sind Orientierung, kein Pflichtenheft. BSI

Warum musst du HTTPS-Zertifikate immer öfter erneuern?

Weil Zertifizierungsstellen und Browserhersteller die Laufzeit schrittweise verkürzen: seit dem 15. März 2026 auf höchstens 200 Tage, ab März 2029 auf 47 Tage.

bis 14.03.2026: 398 Tage CA/Browser Forum
ab 15.03.2026: 200 Tage CA/Browser Forum
ab 15.03.2027: 100 Tage CA/Browser Forum
ab 15.03.2029: 47 Tage CA/Browser Forum

Die Folge: müssen deutlich öfter erneuert werden, was für automatische Erneuerung spricht. Wer das bei deiner Website übernimmt, hängt vom Hoster ab — dazu gleich mehr. Dazu kommt die Verschlüsselung selbst: Das BSI empfiehlt 1.3, rät zu TLS 1.2 nur noch bis Ende 2031 und von älteren Versionen ganz ab; ist HTTPS aktiv, sollen alle Inhalte darüber laufen. BSI BSI

Zertifikat

Ein Zertifikat ist eine Datei, die einen öffentlichen kryptografischen Schlüssel fest mit einer Organisation verbindet. Bei HTTPS weist sich damit üblicherweise der Server aus. Seit dem 15.03.2026 darf ein solches Zertifikat höchstens 200 Tage gelten.

TLS

TLS (Transport Layer Security, früher SSL) ist ein Verfahren, das Daten auf dem Weg zwischen Browser und Server verschlüsselt und vor Veränderung schützt. HTTPS ist die mit TLS abgesicherte Form von HTTP.

Wer kümmert sich um den Server, wer um die Website?

Den Server betreibt dein Hoster. Das BSI empfiehlt, Sicherheitsaspekte schriftlich im Service Level Agreement zu regeln und einen Hoster zu wählen, der seine Systeme regelmäßig kontrolliert und bei Problemen zeitnah reagiert; die Verschlüsselung (TLS) wird am Webserver eingerichtet. BSI

Die Wartung kümmert sich um die Software der Website und ihre Einstellungen. Was trendgo dabei übernimmt, steht im nächsten Abschnitt.

Du bleibst verantwortlich für Inhalte, Pflichtangaben und Entscheidungen. Das BSI rät, für technischen Betrieb und Inhalte feste Zuständige zu benennen. BSI

Kann eine Wartung auf personenbezogene Daten zugreifen — etwa Formulareingaben oder Nutzerkonten —, ist das nach Auffassung der Datenschutzbehörden ; dann braucht es einen Vertrag nach Art. 28 DSGVO. Datenschutzkonferenz Gesetzestext

Auftragsverarbeitung (AV)

Auftragsverarbeitung, kurz AV, liegt vor, wenn ein Dienstleister personenbezogene Daten im Auftrag eines Unternehmens verarbeitet. Nach Auffassung der Datenschutzbehörden gilt das auch für Wartung, bei der ein Zugriff auf solche Daten möglich ist. Dann braucht es einen Vertrag nach Art. 28 DSGVO, den AV-Vertrag.

Wartung ist kein Hosting. trendgo bietet kein Hosting an.

Macht Wartung deine Website unangreifbar?

Wartung senkt das Risiko. Ausschließen kann sie es nicht.

Gesetzestext BSI

Schon das Gesetz verlangt kein absolutes, sondern ein dem Risiko angemessenes Schutzniveau. Gesetzestext Es gibt Lücken, die noch niemand kennt, wenn sie zum ersten Mal ausgenutzt werden — ein —, und gegen die hilft in diesem Moment kein Update. BSI Selbst gründliche Tests schließen nicht aus, dass ein Update im Betrieb Fehler verursacht. BSI Deshalb gehört beides dazu: eine getestete Datensicherung, mit der du die Website nach einem Angriff zurückspielen kannst, und ein Plan für den Ernstfall — denn Datenpannen sind meist binnen 72 Stunden zu melden. BSI Gesetzestext

Zero-Day

Eine Zero-Day-Schwachstelle ist eine Lücke, die zum Zeitpunkt ihrer ersten Ausnutzung durch Angreifer noch unbekannt war. Für sie kann es in diesem Moment noch kein Update geben.

Wie läuft die Wartung bei trendgo ab?

Wir betreuen deine Website nach dem Start — oder übernehmen eine bestehende nach einem Einstiegs-Check: Updates, Datensicherungen und laufende Prüfung, mit einem festen Ansprechpartner.

Gewartet werden WordPress, andere Redaktionssysteme sowie eigene Lösungen und statische Seiten. Wir überwachen Erreichbarkeit, den Ablauf von SSL-Zertifikaten, Sicherheitsmeldungen und Updates. Datensicherungen gehören dazu; wie oft, legen wir je Vertrag fest. Greift die Wartung auf personenbezogene Daten zu, schließen wir einen Vertrag zur Auftragsverarbeitung.

Wenn es doch passiert — ein Angriff. Eine gehackte Website wird für fremde Zwecke missbraucht. Das BSI nennt zwei verbreitete Fälle: Defacement, bei dem Angreifer deine Seite mit eigenen Inhalten verunstalten, und die Verteilung von Schadsoftware an deine Besucher. BSI Dazu zählt auch eingeschleuste Software, die heimlich die Rechenleistung deines Servers zum Schürfen von Kryptowährung abzweigt — das Kryptomining. Dann zählt vor allem eins: wie schnell du wieder sauber online bist. Wird eine betreute Website kompromittiert, prüfen und melden wir und spielen sie, soweit möglich, aus der letzten Datensicherung zurück. Die Wiederherstellung stimmen wir mit dir ab, eine automatische Zusage geben wir nicht. Feste Reaktionszeiten sagen wir bewusst nicht zu. Genau deshalb ist eine getestete Datensicherung so wichtig: Sie ist der Weg zurück.

Zu WordPress ein offenes Wort. WordPress ist das meistverbreitete Redaktionssystem und lebt von seinen Plugins — und jedes Plugin ist zusätzliche Software mit eigenen Schwachstellen, die aktuell gehalten werden muss. Bayerisches Landesamt für Jedes weitere Plugin vergrößert die Angriffsfläche. Deshalb empfehlen wir, wo es geht, ganz auf ein solches System zu verzichten, und wo es WordPress sein soll, mit möglichst wenigen Plugins zu arbeiten.

Was wir nicht tun: Hosting, Server-Administration, Online-Shops und Rechtsberatung. Wie eine Betreuung beginnt, steht auf der Seite zu unseren Leistungen.

Deine Website soll nicht sich selbst überlassen bleiben?

Sag uns, was du betreiben lässt und worum wir uns kümmern sollen — auch wenn die Seite nicht von uns stammt. Im kostenlosen Erstgespräch klären wir, welche Betreuung zu deiner Website passt.