Warum Ihre Webagentur Ihre Website nicht aktualisiert (und warum das ein Problem ist)

Das "Bauen-und-Vergessen"-Geschaeftsmodell

Hier ist etwas, das Ihnen die meisten Webagenturen nie sagen werden: In dem Moment, in dem sie Ihnen Ihre fertige Website uebergeben, hoeren sie auf, daran zu denken. Die Rechnung ist bezahlt, das Projekt ist abgeschlossen, das Team macht beim naechsten Kunden weiter. Ihre Website sitzt irgendwo auf einem Server, laeuft mit demselben Code wie am Launch-Tag und wird mit jeder verstreichenden Woche ein bisschen verwundbarer.

Das ist kein Nischenproblem. Es ist der Standardzustand der Webbranche, insbesondere im Tessin und in der gesamten Schweiz. Ich habe im Laufe der Jahre Hunderte von KMU-Websites geprueft, und das Muster ist erschreckend einheitlich: eine Website, die vor zwei oder drei Jahren gebaut wurde, mit einem veralteten CMS, mit Plugins, die seit dem Launch-Tag nicht mehr angefasst wurden. Die Agentur, die sie gebaut hat? Die ist weitergezogen. Vielleicht existiert sie nicht einmal mehr.

Die Konsequenzen sind real. Eine nicht aktualisierte Website ist eine offene Tuer fuer Angreifer. Wenn Sie die spezifischen Risiken verstehen moechten, haben wir sie detailliert in unserem Artikel ueber die Risiken einer nicht aktualisierten Website behandelt. Aber heute moechte ich mich darauf konzentrieren, warum das passiert und was Sie als Unternehmer dagegen tun koennen.

Warum Agenturen Ihre Website nicht aktualisieren

Es gibt keinen Wartungsvertrag

Der haeufigste Grund ist der einfachste: Niemand hat vereinbart, die Website zu warten. Die Agentur hat Ihnen Design, Entwicklung und Launch offeriert. Wartung war nicht Teil des Umfangs, wurde nie besprochen, nie eingepreist. Sobald die Website online ist, hat die Agentur keine vertragliche Verpflichtung, sie jemals wieder anzufassen.

Aus Sicht der Agentur ergibt das finanziell absolut Sinn. Wartung ist ein Geschaeft mit geringer Marge. Es erfordert, Dutzende oder Hunderte von Kundenwebsites zu verfolgen, jede mit unterschiedlichen CMS-Versionen, unterschiedlichen Plugins, unterschiedlichen Hosting-Umgebungen. Es bedeutet, sich mit fehlgeschlagenen Updates, kaputten Layouts und Kompatibilitaetsproblemen zu befassen, alles fuer eine monatliche Gebuehr, die kaum den Zeitaufwand deckt.

Also bieten die meisten Agenturen es einfach nicht an. Oder sie bieten es als nachtraeglichen Einfall an, einen Posten im Angebot, den der Kunde streicht, um das Budget zu halten.

Die "Fass-es-nicht-an-wenn-es-laeuft"-Kultur

Es gibt eine tief verwurzelte Haltung in vielen Agenturen, besonders in kleineren: Wenn die Website laeuft, lass sie in Ruhe. Das WordPress-Core zu aktualisieren, oder Joomla, oder welches CMS auch immer verwendet wurde, bedeutet, einen Bruch zu riskieren. Ein Plugin-Update koennte mit dem Theme kollidieren. Ein PHP-Versions-Upgrade koennte fatale Fehler verursachen. Und wenn etwas kaputtgeht, ruft der Kunde an, und die Agentur muss es kostenlos reparieren (oder fuer ein Honorar, das Reibung erzeugt).

Also wird die Kalkulation: Nichts tun und nichts geht kaputt. Aktualisieren und etwas koennte kaputtgehen. Fuer eine Agentur ohne Wartungseinnahmen ist die rationale Wahl klar. Nichts tun.

Das Problem ist natuerlich, dass "nichts geht kaputt" nur an der Oberflaeche wahr erscheint. Unter der Haube sammeln sich bekannte Schwachstellen an. Angreifer suchen genau nach diesen veralteten Installationen. Die Website mag jahrelang gut aussehen, bis sie eines Tages kompromittiert, verunstaltet oder zur Verbreitung von Malware genutzt wird. Bis dahin ist die Agentur laengst verschwunden.

Keine Staging-Umgebung

Eine Staging-Umgebung ist eine Kopie Ihrer Website, in der Updates getestet werden koennen, bevor sie auf die Live-Website angewendet werden. Es ist Standardpraxis in der professionellen Webentwicklung. Es ist auch etwas, das die meisten KMU-Website-Projekte nie beinhalten.

Ohne Staging-Umgebung wird jedes Update direkt auf die Produktionsumgebung angewendet. Wenn etwas schiefgeht, faellt Ihre Live-Website aus. Das ist der Grund, warum viele Agenturen und ihre Kunden Updates gaenzlich vermeiden. Das Risiko eines sichtbaren Ausfalls fuehlt sich schlimmer an als das unsichtbare Risiko einer Sicherheitsluecke.

Eine Staging-Umgebung einzurichten ist weder teuer noch kompliziert. Die meisten qualitativ hochwertigen Hosting-Anbieter bieten Ein-Klick-Staging an. Aber es muss von Anfang an Teil des Workflows sein, und jemand muss fuer die Nutzung verantwortlich sein.

Angst, Dinge kaputtzumachen

Das haengt eng mit dem Staging-Problem zusammen, geht aber tiefer. Viele Agenturen, insbesondere die kleineren, die den KMU-Markt im Tessin bedienen, haben keine tiefgehende technische Expertise im CMS, das sie einsetzen. Sie wissen, wie man WordPress installiert, ein Theme auswaehlt, einige Plugins konfiguriert und eine Website abliefert, die gut aussieht. Aber sie haben nicht die Erfahrung, um zuverlaessig Updates anzuwenden, Kompatibilitaetsprobleme zu debuggen oder sich von fehlgeschlagenen Upgrades zu erholen.

Wenn man nicht sicher ist, dass man reparieren kann, was ein Update kaputt machen koennte, vermeidet man Updates. Das ist menschliche Natur. Aber das Ergebnis ist, dass Tausende von Unternehmenswebsites jahrelang ungepatcht bleiben und bekannte Schwachstellen ansammeln, die jeder Script-Kiddie ausnutzen kann.

Die Verantwortungsluecke zwischen Kunde und Agentur

Fragen Sie einen Unternehmer: Wer ist fuer die Sicherheit Ihrer Website verantwortlich? Die meisten werden sagen "meine Webagentur". Fragen Sie die Webagentur: Wer ist fuer die Sicherheit der Kundenwebsite verantwortlich? Die meisten werden sagen "der Kunde, es sei denn, wir haben einen Wartungsvertrag".

Diese Luecke ist der Ort, an dem die Sicherheit stirbt. Keine der beiden Parteien glaubt, dass es ihre Aufgabe ist, also macht es niemand. Der Unternehmer geht davon aus, dass die Agentur sich darum kuemmert. Die Agentur geht davon aus, dass der Kunde weiss, dass er laufende Wartung anfordern (und bezahlen) muss. Beide Annahmen sind falsch, und die Website bleibt exponiert.

In der Schweiz fuegt die Rechtslage eine weitere Ebene hinzu. Gemaess dem revidierten Bundesgesetz ueber den Datenschutz (revDSG) ist der Verantwortliche (also das Unternehmen, das personenbezogene Daten ueber die Website erhebt) fuer angemessene technische Massnahmen verantwortlich. "Meine Agentur hat die Website nicht aktualisiert" ist keine Verteidigung, wenn Kundendaten durch eine bekannte Schwachstelle kompromittiert werden.

Warnsignale: Ihre Agentur vernachlaessigt die Sicherheit

Woher wissen Sie, ob Ihre Webagentur Ihre Website exponiert laesst? Hier sind konkrete Indikatoren:

• Sie haben nie einen Wartungsbericht erhalten. Wenn Ihnen niemand je gesagt hat, was wann aktualisiert wurde, wurde nichts aktualisiert.
• Sie wissen nicht, welche CMS-Version Ihre Website ausfuehrt. Wenn Ihre Agentur nie eine Versionsnummer erwaehnt hat, verfolgen sie es nicht.
• Sie haben keine Staging-Umgebung. Wenn Sie Aenderungen nicht testen koennen, bevor sie live gehen, sind Updates entweder riskant oder nicht existent.
• Ihre Agentur antwortet auf Sicherheitsfragen mit vagen Zusicherungen. "Keine Sorge, das Hosting kuemmert sich darum" ist keine Antwort. Hosting-Anbieter verwalten die Sicherheit auf Serverebene. Anwendungssicherheit (Ihr CMS, Plugins, Themes) liegt in Ihrer Verantwortung.
• Sie wurden nie gebeten, Updates zu genehmigen oder zu planen. Ein verantwortungsvoller Wartungspartner kommuniziert ueber geplante Updates, besonders bei grossen Versions-Upgrades.
• Die Agentur hat keinen dokumentierten Sicherheitsprozess. Fragen Sie: Was passiert, wenn eine kritische Schwachstelle in einem von uns verwendeten Plugin offengelegt wird? Wenn sie ihren Prozess nicht beschreiben koennen, haben sie keinen.
• Ihre Plugins enthalten aufgegebene oder entfernte Elemente. Pruefen Sie Ihr CMS-Admin-Panel. Wenn Plugins "Dieses Plugin wurde geschlossen" anzeigen oder seit ueber einem Jahr nicht aktualisiert wurden, haben Sie ein Problem. Unser Artikel ueber Plugin-Schwachstellen in CMS-Plattformen erklaert, warum das wichtig ist.

Fragen, die jeder Unternehmer seiner Agentur stellen sollte

Wenn derzeit eine Webagentur Ihre Website verwaltet, vereinbaren Sie ein Gespraech und stellen Sie diese Fragen. Die Antworten sagen Ihnen alles, was Sie wissen muessen:

1. Welche CMS-Version laeuft auf meiner Website, und ist es die neueste? Sie sollten sofort antworten koennen. Wenn sie "pruefen und sich melden" muessen, ist das ein Warnsignal.
2. Wie viele Plugins/Erweiterungen sind installiert, und sind alle aktuell? Sie sollten es wissen. Sie sollten auch sagen koennen, welche Plugins von ihren Entwicklern aufgegeben wurden.
3. Welche PHP-Version laeuft auf meiner Website? Wenn sie unter 8.2 liegt (Stand 2025), brauchen Sie einen Upgrade-Plan.
4. Haben Sie eine Staging-Umgebung fuer meine Website? Wenn die Antwort Nein lautet, fragen Sie warum nicht und was noetig waere, eine einzurichten.
5. Was ist Ihr Prozess, wenn eine kritische Schwachstelle offengelegt wird? Die korrekte Antwort beinhaltet die Ueberwachung von Schwachstellendatenbanken, die Bewertung der Auswirkungen, das Testen des Patches auf Staging und das zeitnahe Deployment. Alles weniger Spezifische ist eine Nicht-Antwort.
6. Wer ist fuer Sicherheitsupdates verantwortlich? Steht das in unserem Vertrag? Holen Sie sich Klarheit schriftlich. Muendliche Vereinbarungen sind das Papier wert, auf dem sie gedruckt sind.
7. Was passiert, wenn meine Website gehackt wird? Haben Sie einen Incident-Response-Plan? Ein professioneller Partner hat einen dokumentierten Prozess: isolieren, untersuchen, aus Backup wiederherstellen, Schwachstelle patchen, auf Re-Kompromittierung ueberwachen.
8. Koennen Sie mir ein Protokoll aller in den letzten 12 Monaten angewendeten Updates zeigen? Wenn kein Protokoll existiert, wurden keine Updates angewendet.

Wie ein richtiger Wartungsvertrag aussieht

Wenn Ihre Agentur keine Wartung anbietet, oder wenn ihr Angebot vage ist ("wir behalten das im Auge"), hier ist, was ein echter Wartungsvertrag beinhalten sollte:

Umfang und Verantwortlichkeiten

• Klare Definition dessen, was abgedeckt ist: CMS-Core-Updates, Plugin-Updates, Theme-Updates, PHP-Versions-Management, Sicherheitsueberwachung.
• Klare Definition der Reaktionszeiten: Wie schnell werden kritische Sicherheitspatches angewendet? (Akzeptabel: innerhalb von 48 Stunden nach Offenlegung fuer kritische CVEs. Nicht akzeptabel: "beim naechsten geplanten Wartungsfenster, das vierteljaehrlich ist.")
• Klare Definition dessen, was nicht abgedeckt ist: Entwicklung neuer Funktionen, Inhaltsaenderungen, Design-Aenderungen. Diese sollten separat definiert und abgerechnet werden.

Update-Prozess

• Alle Updates auf einer Staging-Umgebung getestet, bevor sie in Produktion deployed werden.
• Automatische Backups vor jedem Update-Zyklus erstellt.
• Rollback-Verfahren dokumentiert und getestet.
• Kunde ueber grosse Updates (z.B. CMS-Major-Version-Upgrades) informiert, bevor sie angewendet werden.

Berichterstattung

• Monatlicher Wartungsbericht, der zeigt: was aktualisiert wurde, welche Schwachstellen behoben wurden, aufgetretene Probleme, aktueller Status aller Komponenten.
• Jaehrliche Sicherheitsueberpruefung, die die Wartung des Jahres zusammenfasst, etwaige Vorfaelle und Empfehlungen.

Preisgestaltung

Was sollten Sie erwarten zu bezahlen? Fuer eine Standard-WordPress- oder Joomla-Website mit 10-20 Plugins liegt ein angemessener Wartungsvertrag in der Schweiz zwischen CHF 150 und CHF 400 pro Monat, abhaengig von der Komplexitaet der Website und den Reaktionszeit-Garantien. Dies deckt regelmaessige Update-Zyklen, Sicherheitsueberwachung, Backups und grundlegende Incident-Response ab.

Wenn das teuer klingt, vergleichen Sie es mit den Kosten einer kompromittierten Website: Geschaeftsausfall, Pflichten zur Meldung von Datenschutzverletzungen nach Schweizer Recht, Reputationsschaeden und die Kosten der Notfall-Remediation (die typischerweise zwischen CHF 2.000 und CHF 10.000 fuer eine ernste Kompromittierung liegen).

Monatliche vs. vierteljaehrliche Update-Zyklen

Wie oft sollten Updates angewendet werden? Die Antwort haengt vom Risikoprofil ab, aber hier ist ein allgemeiner Rahmen:

Update-Typ	Empfohlene Haeufigkeit	Hinweise
Kritische Sicherheitspatches	Innerhalb von 48 Stunden	Bei CVEs mit CVSS 7.0+ ist Warten nicht akzeptabel
Regelmaessige Sicherheitsupdates	Woechentlich bis zweiwoechentlich	Kleinere Sicherheitsfixes, Plugin-Patches
Feature-Updates	Monatlich	Neue Funktionalitaet in Plugins/Themes, gruendlich testen
Major-Version-Upgrades	Innerhalb von 30 Tagen nach stabilem Release	CMS-Core-Major-Versionen, PHP-Upgrades, erfordern Staging-Tests
Vollstaendiges Sicherheitsaudit	Jaehrlich	Alle Komponenten ueberpruefen, ungenutzte Plugins entfernen, Zugriffsaudit

Vierteljaehrliche Update-Zyklen sind fuer alles Sicherheitsrelevante zu langsam. In den drei Monaten zwischen Updates koennen Dutzende neuer Schwachstellen in Ihrem CMS und Plugins offengelegt werden. Automatisierte Exploit-Tools werden innerhalb von Tagen oder Stunden nach einer CVE-Veroeffentlichung aktualisiert. Ein vierteljaehrlicher Zyklus bedeutet, dass Sie moeglicherweise monatelang exponiert sind.

Monatlich ist die minimale akzeptable Haeufigkeit fuer nicht-kritische Updates. Woechentlich ist besser. Kritische Patches sollten immer angewendet werden, sobald sie verfuegbar und getestet sind.

Interne Kontrolle vs. Agenturabhaengigkeit

Einige Unternehmer, frustriert von der Vernachlaessigung durch die Agentur, erwaegen, die Website-Verwaltung intern zu uebernehmen. Das ist es wert, gruendlich durchdacht zu werden.

Argumente fuer interne Verwaltung

• Direkte Kontrolle: Sie entscheiden, wann Updates passieren, nicht eine Agentur, die Ihre Website moeglicherweise herabstuft.
• Schnellere Reaktion: Wenn eine kritische Schwachstelle auftaucht, koennen Sie sofort handeln, anstatt darauf zu warten, dass Ihre Agentur sich darum kuemmert.
• Bessere Kenntnis: Sie verstehen Ihre eigene Angriffsflaeche, weil Sie sie direkt verwalten.
• Kosteneffizienz im groesseren Massstab: Wenn Sie mehrere Websites oder eine komplexe Webpraesenz haben, kann eine interne Person kostenguenstiger sein als mehrere Agenturvertraege.

Argumente fuer Agenturverwaltung

• Expertise: Eine gute Agentur hat Hunderte von CMS-Installationen gesehen und kennt die gaengigen Fehlermuster.
• Werkzeuge: Agenturen, die Wartung ernst nehmen, nutzen Monitoring-Tools, automatisierte Update-Systeme und Schwachstellenscanner, die fuer ein einzelnes Unternehmen teuer waeren.
• Verfuegbarkeit: Wenn Ihre einzige interne Person im Urlaub ist, wenn ein kritischer CVE auftaucht, wer patcht die Website?

Der Mittelweg

Fuer die meisten KMU ist der beste Ansatz ein Hybridmodell:

1. Besitzen Sie Ihr Hosting-Konto. Lassen Sie nie die Agentur Ihr Hosting besitzen. Sie sollten direkten Zugang zum Server, zum CMS-Admin-Panel und zum Domain-Registrar haben. Wenn die Agentur verschwindet, koennen Sie immer noch auf alles zugreifen.
2. Besitzen Sie Ihr Code-Repository. Wenn individuelle Entwicklung gemacht wurde, sollte der Quellcode in einem Repository sein, das Sie kontrollieren (GitHub, GitLab, Bitbucket). Die Agentur kann Contributor-Zugang haben, aber Sie besitzen das Repository.
3. Beauftragen Sie die Wartung separat. Ihr Wartungsanbieter muss nicht dieselbe Agentur sein, die die Website gebaut hat. Eine andere Partei, die die Website auditiert und wartet, kann Probleme aufdecken, die der urspruengliche Entwickler uebersehen hat.
4. Holen Sie sich Admin-Zugang und Schulung. Sie sollten sich in Ihr CMS einloggen und das Dashboard sehen koennen. Sie sollten wissen, wie man Plugin-Versionen prueft. Sie sollten wissen, wie eine Sicherheitswarnung aussieht.
5. Haben Sie ein Backup, das Sie kontrollieren. Automatische Backups sollten an einen Speicherort gehen, den Sie besitzen, nicht nur den Server der Agentur. Wenn die Agentur Konkurs geht, sollten Ihre Backups weiterhin zugaenglich sein.

Was passiert, wenn die Wartung vernachlaessigt wird

Lassen Sie mich ein Szenario beschreiben, das wir regelmaessig sehen. Ein Tessiner KMU liess seine Website vor vier Jahren von einer lokalen Agentur bauen. Sie laeuft mit WordPress 5.9 mit 22 Plugins. PHP 7.4. Die Agentur, die sie gebaut hat, bietet keine Wartung mehr an. Der Geschaeftsinhaber loggt sich gelegentlich ein, um Inhalte zu aktualisieren, ignoriert aber die "Updates verfuegbar"-Badges im Dashboard, weil "beim letzten Mal, als ich es versucht habe, etwas kaputt gegangen ist."

An einem Montagmorgen beginnen Kunden zu melden, dass die Website auf eine pharmazeutische Spam-Seite umleitet. Google hat die Domain bereits mit einer Warnung "Diese Website wurde moeglicherweise gehackt" gekennzeichnet. Die Suchmaschinen-Rankings sind verschwunden. Das Kontaktformular hat Spam an die gesamte Kundendatenbank gesendet.

Die Bereinigung dauerte drei Wochen und kostete CHF 8.500. Der Reputationsschaden brauchte viel laenger zur Erholung. Alles, weil eine bekannte Schwachstelle in einem Plugin, die vom Entwickler acht Monate zuvor gepatcht wurde, nie angewendet wurde.

Das ist keine erfundene Horrorgeschichte. Es ist ein Zusammenschnitt realer Faelle, die wir bearbeitet haben. Die Details aendern sich (manchmal ist es eine verunstaltete Homepage, manchmal ist es ein Kryptowaehrungs-Miner, der auf dem Server laeuft, manchmal sind es gestohlene Kundendaten), aber die Grundursache ist immer dieselbe: Niemand hat die Website gewartet.

Die Alternative: Statische Websites

Es gibt einen anderen Ansatz, der viele dieser Wartungsprobleme eliminiert: statische Site-Generatoren und moderne JAMstack-Architektur. Websites, die mit Tools wie Astro, Next.js oder Hugo gebaut wurden, haben kein traditionelles CMS, das auf dem Server laeuft. Kein PHP, keine Datenbank, kein Plugin-Oekosystem zum Patchen. Die Angriffsflaeche ist dramatisch kleiner.

Das bedeutet nicht, dass statische Websites wartungsfrei sind. Abhaengigkeiten muessen weiterhin aktualisiert werden, Hosting-Konfigurationen spielen weiterhin eine Rolle, und jede dynamische Funktionalitaet (Kontaktformulare, Suche, E-Commerce) bringt ihre eigene Angriffsflaeche mit. Aber die grundlegende Sicherheitslage ist weit besser als bei einer traditionellen CMS-Installation.

Wenn Sie ueber einen Website-Neubau oder eine neue Website nachdenken, lohnt es sich zu erkunden, ob eine moderne Architektur Ihren laufenden Wartungsaufwand reduzieren koennte. Mehr dazu haben wir in unserem Vergleich WordPress vs. JAMstack geschrieben.

Handeln Sie jetzt

Wenn Sie bis hierhin gelesen haben, erkennen Sie wahrscheinlich einige dieser Muster in Ihrer eigenen Situation. Hier ist, was Sie als Naechstes tun sollten:

1. Finden Sie heraus, was Ihre Website ausfuehrt. Loggen Sie sich in Ihr CMS-Admin-Panel ein und notieren Sie die CMS-Version, die PHP-Version und die Anzahl der Plugins/Erweiterungen. Wenn Sie keinen Admin-Zugang haben, ist das Problem Nummer eins.
2. Pruefen Sie, wann zuletzt aktualisiert wurde. Die meisten CMS-Plattformen zeigen das Datum des letzten Updates fuer jedes Plugin an. Wenn alles zuletzt am urspruenglichen Launch-Datum aktualisiert wurde, haben Sie Ihre Antwort.
3. Sprechen Sie mit Ihrer Agentur. Verwenden Sie die oben aufgelisteten Fragen. Holen Sie sich klare Antworten schriftlich. Wenn sie nicht koennen oder wollen antworten, beginnen Sie, nach einem neuen Wartungspartner zu suchen.
4. Lassen Sie eine Sicherheitsbewertung durchfuehren. Ein unabhaengiges Sicherheitsaudit Ihrer Website zeigt Ihnen genau, wo Sie stehen. Es geht nicht darum, Ihre Agentur zu beschuldigen; es geht darum, Ihr Risiko zu verstehen.
5. Richten Sie einen Wartungsplan ein. Ob intern, ueber Ihre Agentur oder ueber einen spezialisierten Partner, setzen Sie eine laufende Wartung mit klaren Verantwortlichkeiten und Zeitplaenen um.

Ihre Website ist kein einmaliges Projekt. Sie ist ein lebendes Stueck Infrastruktur, das laufende Aufmerksamkeit erfordert, genau wie Ihr Buero-Netzwerk, Ihre Buchhaltungssoftware oder Ihre physischen Raeumlichkeiten. Die Agenturen, die bauen und vergessen, sind nicht boeswillig; sie optimieren einfach fuer ihr eigenes Geschaeftsmodell. Es ist Ihre Aufgabe, sicherzustellen, dass jemand fuer Ihre Sicherheit optimiert.

Wenn Sie Hilfe bei der Bewertung Ihrer aktuellen Situation oder bei der Einrichtung eines angemessenen Wartungsplans benoetigen, kontaktieren Sie uns. Wir arbeiten mit KMU im gesamten Tessin und der Schweiz zusammen, um die Wartungsluecke zu schliessen und Websites sicher zu halten.