Website-Wartungsvertrag: Was muss er 2026 abdecken?

Ein Website-Wartungsvertrag muss sechs klar umrissene Bereiche abdecken: technische Updates, Backups, Sicherheit, Monitoring, Support mit garantierten Fristen (SLA) und die Exit-Regelung bei Vertragsende. Jeder Vertrag, der bei einem dieser sechs Punkte vage bleibt, setzt Ihr KMU bösen Überraschungen aus: Website offline ohne Handhabe, verlorene Daten oder ein Dienstleister, der Ihre Zugänge als Geisel nimmt.

Julien Daniel, Gründer von OptionWeb, prüft jedes Jahr Dutzende Wartungsverträge, die belgische Kunden ihm vorlegen. Der Befund ist immer derselbe: Die meisten Streitfälle entstehen nicht durch den Preis, sondern durch fehlende Klauseln. Dieser Leitfaden gibt Ihnen das vollständige Prüfraster an die Hand: was ein Vertrag enthalten muss, welche Fristen Sie verlangen sollten, welche Fallen es zu erkennen gilt – und eine Checkliste, die Sie vor der Unterschrift durchgehen.

1. Was muss ein Website-Wartungsvertrag 2026 abdecken?

Ein seriöser Website-Wartungsvertrag deckt drei Leistungsfamilien ab: die präventive Wartung (Updates, Backups, Überwachung), die korrektive Wartung (Behebung von Bugs und Störungen) und den Support (Antworten auf Ihre Anfragen, kleine Änderungen). Jede Familie muss mit konkreten Leistungen und einer Frequenz beschrieben sein: „monatliches Update“ ist eine Verpflichtung, „regelmäßige Betreuung“ ist keine.

• Präventive Wartung — Updates von CMS, Erweiterungen und Abhängigkeiten; automatisierte und getestete Backups; Verlängerung des SSL-Zertifikats; Überwachung von Verfügbarkeit und Performance.
• Korrektive Wartung — Fehlerbehebung, Wiederinbetriebnahme nach einem Ausfall, Bereinigung nach einem Hack, Wiederherstellung aus dem Backup. Genau hier entfalten SLA (garantierte Fristen) ihren vollen Wert.
• Support und kleine Weiterentwicklungen — Inhaltsänderungen, Hinzufügen einer Seite, Beantwortung Ihrer Fragen. Der Vertrag legt das inkludierte Volumen fest (in Stunden oder Tickets pro Monat) sowie den Tarif für alles darüber hinaus.
• Übergreifende Pflichten — Vertraulichkeit, DSGVO-Konformität des Auftragsverarbeiters (Artikel 28), regelmäßiges Reporting und eine Exit-Klausel für das Vertragsende.

Der Leistungsumfang schließt in der Regel grafische Redesigns, größere Entwicklungen und SEO aus. Das ist normal: Diese Leistungen gehören in separate Angebote. Nicht normal ist ein Vertrag, der die Wiederinbetriebnahme nach einem Vorfall oder das Einspielen von Backups ausschließt: Diese beiden Leistungen sind der Kern der Wartung.

2. Warum wird eine Website ohne Wartung zum Risiko?

Eine Website ohne Wartung wird innerhalb weniger Monate angreifbar, nicht erst nach Jahren. CMS und ihre Erweiterungen veröffentlichen laufend Sicherheitskorrekturen; wer sie nicht einspielt, lässt öffentlich dokumentierte Türen offen, die Bots automatisiert ausnutzen.

Die Zahlen sprechen eine deutliche Sprache. Patchstack hat für das Jahr 2024 über 7 000 neue Schwachstellen im WordPress-Ökosystem erfasst, die überwältigende Mehrheit davon in Drittanbieter-Plugins. Laut den Jahresberichten von Sucuri liefen rund 9 von 10 der analysierten gehackten Websites zum Zeitpunkt der Infektion auf einem veralteten CMS. Und auf Besucherseite hat Google gemessen, dass 53 % der mobilen Nutzer eine Seite verlassen, die länger als 3 Sekunden lädt: Eine Website, die verfällt, kostet Umsatz, noch bevor sie ausfällt.

Das Risiko ist auch ein rechtliches. Eine Website, die Daten erhebt (Kontaktformular, Newsletter, E-Commerce), muss dauerhaft DSGVO-konform bleiben: aktuelle Cookie-Bibliotheken, korrekte Pflichtangaben, dokumentierte Auftragsverarbeiter. Ein Datenleck durch eine ungepatchte Website begründet die Haftung des Unternehmens, nicht die des Besuchers. Wir vertiefen diesen Aspekt in unserem Leitfaden zur DSGVO-Konformität einer Website im Jahr 2026.

3. Welche Klauseln muss ein guter Vertrag enthalten?

Acht Klauseln machen den Unterschied zwischen einem schützenden und einem dekorativen Vertrag: detaillierter Leistungsumfang, bezifferte SLA, Backups mit festgelegter Aufbewahrungsdauer, Sicherheit, geistiges Eigentum, Exit-Klausel, Laufzeit und Kündigung sowie Haftung. Die folgende Tabelle fasst zusammen, warum jede davon entscheidend ist – und bei welchem Warnsignal Sie reagieren müssen.

Eine gut formulierte Klausel ist überprüfbar: Sie enthält eine Zahl, eine Frequenz oder ein konkretes Ergebnis. „Tägliches Backup, 30 Tage Aufbewahrung, vierteljährlicher Wiederherstellungstest“ ist eine Klausel. „Regelmäßige Backups“ ist ein Satz aus einer Broschüre.

Eigentum an Code und Zugängen: der meistvernachlässigte Punkt

In Belgien wie in Frankreich ist der Code einer Website urheberrechtlich geschützt: Ohne schriftliche Abtretung bleibt er Eigentum des Entwicklers. Der Wartungsvertrag muss deshalb mindestens garantieren, dass Sie Folgendes besitzen oder erhalten: die Administrator-Zugänge der Website, die Zugänge zum Hosting, die Verwaltung des Domainnamens auf Ihren Namen (Sie müssen der eingetragene Inhaber sein, nicht der Dienstleister) und eine nutzbare Kopie von Code und Datenbank. Ein Dienstleister, der Ihre Domain auf seinen eigenen Namen registriert, schafft eine Abhängigkeit, die Sie am Tag des Wechsels teuer bezahlen.

4. Was ist ein SLA und welche Fristen sollten Sie verlangen?

Ein SLA (Service Level Agreement, also eine Dienstgütevereinbarung) ist die schriftliche Zusage des Dienstleisters zu zwei getrennten Fristen: der Reaktionszeit (wann jemand Ihre Anfrage übernimmt) und der Wiederherstellungszeit (wann das Problem gelöst ist). Ein seriöses SLA stuft Vorfälle nach Priorität ein, denn eine Offline-Website und ein Tippfehler verlangen nicht dieselbe Dringlichkeit.

Die Standardklassifikation arbeitet mit drei Prioritätsstufen. P1 bezeichnet einen blockierenden Vorfall: Website nicht erreichbar, Hack, ausgefallene Bezahlfunktion in einem Onlineshop. P2 bezeichnet einen schweren, aber umgehbaren Vorfall: defektes Formular, wichtige Seite mit Fehler. P3 umfasst kleinere Anliegen: kosmetischer Bug, Frage, kleine Änderung.

Prüfen Sie drei Details, die alles verändern. Erstens: Laufen die Fristen in Geschäftsstunden oder Kalenderstunden? Ein P1-SLA „innerhalb von 8 Geschäftsstunden“ bedeutet, dass ein Ausfall am Freitag um 18 Uhr bis Montag warten kann. Zweitens: Was passiert, wenn das SLA nicht eingehalten wird? Ohne Sanktion (Gutschrift, Teilerstattung) ist ein SLA ein Versprechen ohne Konsequenz. Drittens: Der Kanal zählt: Ein SLA, das erst nach einem Ticket auf einer obskuren Plattform zu laufen beginnt, ist schwächer als eines, das per E-Mail oder Telefon ausgelöst wird.

5. Backups, Updates, Monitoring: Welche Mindestgarantien?

Die technischen Mindestgarantien eines Wartungsvertrags im Jahr 2026 sind: ein tägliches, extern gespeichertes Backup mit 30 Tagen Aufbewahrung, Sicherheitsupdates innerhalb von 7 Tagen (24–48 h bei kritischen Lücken) und ein Verfügbarkeits-Monitoring mit automatischer Alarmierung. Unterhalb dieses Sockels bezahlen Sie für einen Vertrag, der Sie nicht schützt.

Backups: die 3-2-1-Regel

Ein Backup hat nur dann einen Wert, wenn es wiederherstellbar ist. Die 3-2-1-Regel bleibt der Maßstab: drei Kopien der Daten, auf zwei verschiedenen Medien, davon eine Kopie außerhalb des Produktionsservers. Ein Backup, das auf demselben Server liegt wie die Website, verschwindet mit ihr – bei einem Festplattendefekt ebenso wie bei Ransomware.

• Frequenz passend zur Aktivität — Täglich für eine Unternehmenswebsite, mehrmals täglich für einen Onlineshop, bei dem jede verlorene Bestellung ein Streitfall mit dem Kunden ist.
• Aufbewahrungsdauer im Vertrag festgelegt — Mindestens 30 Tage. Ein unauffälliger Hack kann erst Wochen nach der Infektion entdeckt werden: Sie müssen bis vor diesen Zeitpunkt zurückgehen können.
• Wiederherstellungstests — Der Vertrag muss regelmäßige Tests vorsehen (mindestens vierteljährlich). Ein nie getestetes Backup ist eine Hypothese, keine Garantie.
• Vom Kunden abrufbare Kopie — Sie müssen auf einfache Anfrage eine nutzbare Kopie Ihrer Website und Ihrer Daten erhalten können – ohne überzogene Gebühren.

Updates und Sicherheit: Die Frequenz macht den Schutz

Der Vertrag muss Sicherheitsupdates (schnell einzuspielen, innerhalb von 24–48 h bei einer aktiv ausgenutzten kritischen Lücke) von funktionalen Updates (planbar) unterscheiden. Er muss außerdem festhalten, dass auf jedes Update ein Test folgt: Ein Update, das die Website unbemerkt lahmlegt, ist schlimmer als gar kein Update. Ergänzen Sie die Grundlagen: automatisch verlängertes SSL-Zertifikat, Web Application Firewall bei CMS-Websites und regelmäßige Schwachstellenscans.

Monitoring: Wer entdeckt den Ausfall – Sie oder der Dienstleister?

Das Verfügbarkeits-Monitoring prüft die Website in kurzen Intervallen (1 bis 5 Minuten) und alarmiert den Dienstleister automatisch. Es ist ein leicht überprüfbares Seriositätsmerkmal: Fragen Sie, wer den Alarm erhält und wie schnell. Lautet die Antwort „melden Sie sich, wenn Ihnen etwas auffällt“, existiert kein Monitoring: Dann sind Sie das Monitoring. Ein guter Vertrag umfasst auch einen regelmäßigen Bericht: gemessene Verfügbarkeit, eingespielte Updates, erstellte Backups, bearbeitete Vorfälle.

6. Was sind die Red Flags eines unseriösen Wartungsvertrags?

Knebelverträge folgen einem gemeinsamen Mechanismus: Sie schaffen eine Abhängigkeit, die den Ausstieg teuer oder technisch unmöglich macht. Die Warnsignale lassen sich in zehn Minuten Lektüre erkennen – vorausgesetzt, man weiß, wohin man schauen muss.

• Domain auf den Namen des Dienstleisters registriert — Ihnen gehört Ihre eigene Webadresse nicht mehr. Im Konfliktfall kann der Dienstleister Ihre Online-Präsenz buchstäblich abschalten.
• Keine Administrator-Zugänge ausgehändigt — „Zu Ihrer Sicherheit behalten wir die Zugänge“: die klassische Formel der technischen Geiselnahme. Ihre Zugänge gehören Ihnen.
• Lange Bindung mit stillschweigender Verlängerung — 24 oder 36 Monate mit automatischer Verlängerung und 3 bis 6 Monaten Kündigungsfrist: Der Vertrag ist so gebaut, dass Sie das Ausstiegsfenster verpassen.
• Fehlende SLA oder SLA ohne Sanktion — „Best Effort“ statt bezifferter Fristen. Bei einem längeren Ausfall haben Sie keinerlei vertraglichen Hebel.
• Ausschlüsse, die den Vertrag aushöhlen — Hacks ausgeschlossen, Wiederherstellung extra berechnet, Vorfälle „externer Ursache“ nicht abgedeckt: Es bleibt nichts von dem übrig, wofür Sie zahlen.
• Unklare Abrechnung außerhalb des Pakets — Kein schriftlicher Stundensatz für Leistungen über das Paket hinaus: Jede Anfrage wird zur Verhandlung – und jede Rechnung zur Überraschung.
• Geschlossene proprietäre Technologie — Eine Website auf einem nicht exportierbaren Haussystem: Beim Wechsel fangen Sie bei null an. Fragen Sie immer, was Sie mitnehmen können – und in welchem Format.

Ein einzelner Red Flag lässt sich verhandeln: Verlangen Sie die Änderung der Klausel vor der Unterschrift. Drei oder mehr Red Flags ergeben eine Geschäftsstrategie: Wechseln Sie den Dienstleister. Der belgische Markt bietet genug seriöse Alternativen, um keinen Knebelvertrag unterschreiben zu müssen.

7. Wie analysieren Sie einen Vertrag vor der Unterschrift?

Analysieren Sie jeden Wartungsvertrag anhand einer Checkliste mit zehn Punkten – der Reihe nach. Jeder Punkt verlangt eine schriftliche Antwort im Vertrag selbst: Eine mündliche Zusage, so beruhigend sie klingen mag, ist am Tag des Vorfalls wertlos. Rechnen Sie mit 30 Minuten aufmerksamer Lektüre; es ist die beste Investition Ihres Webprojekts.

1. Listen Sie auf, was inkludiert ist: Hat jede Leistung eine Frequenz und ein überprüfbares Ergebnis (monatliches Update, Quartalsbericht, tägliches Backup)?
2. Listen Sie auf, was ausgeschlossen ist: Sind die Wiederinbetriebnahme nach einem Vorfall und das Einspielen von Backups wirklich enthalten? Wenn Hacks ausgeschlossen sind – was deckt der Vertrag dann überhaupt ab?
3. Prüfen Sie die SLA: bezifferte Reaktions- und Wiederherstellungszeiten je Priorität (P1/P2/P3), Geschäfts- oder Kalenderstunden, Sanktionen bei Überschreitung.
4. Prüfen Sie die Backups: Frequenz, Aufbewahrung (mindestens 30 Tage), externe Speicherung, Wiederherstellungstests und Ihr Recht auf eine Kopie.
5. Prüfen Sie das Eigentum: Domain auf Ihren Namen, Administrator-Zugänge in Ihrer Hand, Abtretung oder Kopie des Codes, abrufbare Datenbank.
6. Suchen Sie die Exit-Klausel: vollständige Herausgabe, Ausführungsfrist, Kosten (kostenlos oder angemessene Pauschale), nutzbares Format.
7. Prüfen Sie Laufzeit und Ausstieg: Erstbindung (maximal 12 Monate bei einer ersten Zusammenarbeit), Kündigungsfrist (1 bis 3 Monate), Modalitäten der stillschweigenden Verlängerung.
8. Kontrollieren Sie den DSGVO-Teil: Der Dienstleister greift auf Ihre Daten zu und ist Auftragsverarbeiter im Sinne von Artikel 28; ein Auftragsverarbeitungsvertrag muss den Vertrag begleiten.
9. Klären Sie die Leistungen außerhalb des Pakets: schriftlicher Stundensatz, verpflichtendes Angebot ab einem Schwellenwert und der Umgang mit nicht verbrauchten inkludierten Stunden (übertragbar oder verfallen).
10. Bitten Sie um eine Kundenreferenz: Fünf Minuten Telefonat mit einem Bestandskunden sagen mehr als zehn Seiten Vertrag.

Zum Budget genügt an dieser Stelle: Eine seriöse Wartung für eine KMU-Website liegt je nach Umfang und Technologie meist zwischen 40 und 150 €/Monat, ein Onlineshop darüber. Die detaillierten Preisspannen nach Website-Typ und was sie enthalten müssen, finden Sie in unserem Leitfaden zu den Kosten der Website-Wartung im Jahr 2026: Der vorliegende Artikel konzentriert sich auf den Inhalt des Vertrags, nicht auf seinen Preis.

Ein letzter Rat aus der Praxis: Datieren und archivieren Sie die unterschriebene Vertragsversion, ihre Anhänge und den Leistungsumfang. Laut dem Barometer der digitalen Reife des FÖD Wirtschaft verfügen mehr als 8 von 10 belgischen KMU über eine Website; wer einen Vorfall ohne schriftlichen Vertrag durchlebt, merkt zu spät, dass sich Verkaufsversprechen nicht einklagen lassen.

Ein Wartungsvertrag ist keine Verwaltungsformalität: Er ist das Dokument, das an dem Tag, an dem Ihre Website ausfällt, darüber entscheidet, ob Sie in 4 Stunden oder in 4 Tagen wieder online sind. Lesen Sie Ihren Vertrag mit diesem Leitfaden vor Augen noch einmal durch. Und wenn Sie eine zweite Meinung wünschen: OptionWeb analysiert Ihren aktuellen Vertrag oder erstellt Ihnen innerhalb von 24 h ein Wartungsangebot – contact@optionweb.dev oder +32 491 14 01 01, mit persönlichem Treffen in Charleroi, Namur, Lüttich, Mons oder Brüssel möglich.