Kurz gesagt: Ein Website-Wartungsvertrag mit Sicherheitsschwerpunkt sorgt dafür, dass Updates, Backups und Überwachung nicht vom Zufall abhängen. Wir betreuen Ihre Websites und PHP-Server dauerhaft, halten den Stand aktuell, testen die Wiederherstellung und reagieren nach einem vereinbarten Ablauf, wenn eine neue Lücke bekannt wird. Sie erhalten regelmäßig einen verständlichen Bericht.
Warum Sicherheit in den Website-Wartungsvertrag gehört
Viele Wartungsverträge decken CMS-Updates ab und enden dort. PHP2Shell hat gezeigt, dass das nicht reicht: Die Lücken CVE-2026-109618 und CVE-2026-109619 stecken in PHP selbst, nicht im CMS. Ein WordPress- oder Shopware-Update schließt sie nicht. Wer nur das CMS pflegt, hat die eigentliche Gefahr nicht im Blick.
Dazu kommt der Faktor Zeit. Zwischen Vorankündigung durch php.net am 20.10.2026 und Veröffentlichung der Patches am 21.10. lag ein Tag, laut Medienberichten gab es bereits am 17.10. einen ersten beobachteten Angriffsversuch. In solchen Lagen hilft nur ein Ablauf, der vorher steht, und jemand, der Zugang hat und weiß, welche Systeme betroffen sind. Wer erst im Ernstfall Zugangsdaten sucht, Dienstleister anruft und Zuständigkeiten klärt, verliert genau die Zeit, die Angreifer nutzen.
Ein weiterer Punkt wird oft unterschätzt: Backups, die nie zurückgespielt wurden, sind ein Versprechen ohne Beleg. Erst ein Wiederherstellungstest zeigt, ob eine Sicherung vollständig ist und wie lange die Rückkehr zum Betrieb tatsächlich dauert.
Für wen sich ein Security-Wartungsvertrag lohnt
Ein Wartungsvertrag mit Sicherheitsschwerpunkt passt vor allem zu Unternehmen, deren Website oder Shop geschäftskritisch ist, die aber keine eigene Administration für Server und PHP haben. Typisch sind Onlinehändler, Praxen, Kanzleien und Mittelständler mit Kundenportalen, aber auch öffentliche Stellen mit mehreren Webauftritten.
Ebenso sinnvoll ist er, wenn die Verantwortung heute auf viele Schultern verteilt ist: Eine Agentur hat die Website gebaut, ein Hoster stellt den Server, ein ehemaliger Mitarbeiter kannte die Zugänge. In solchen Konstellationen zeigt sich bei Lagen wie PHP2Shell schnell, dass niemand eindeutig zuständig ist. Der Vertrag schafft eine feste Stelle, die Bescheid weiß und handeln darf.
Für eine einzelne, kleine Website ohne Formulare oder Kundendaten kann ein schlankerer Umfang reichen. Das klären wir in der Bestandsaufnahme.
Was der Security-Wartungsvertrag enthält
- Updates: Betriebssystem, Webserver, PHP, CMS, Erweiterungen und Abhängigkeiten, nach festem Rhythmus und zusätzlich bei kritischen Lücken
- Neustart und Nachweis: nach PHP-Updates Neustart aller Worker mit Kontrolle, dass keine alten Prozesse laufen
- Backups: nach der 3-2-1-Regel, mit regelmäßigem Wiederherstellungstest. Die Grundlagen stehen unter Backups nach der 3-2-1-Regel.
- Überwachung: Dateiintegrität, Anmeldungen, Prozesse und Logs, wie unter Security-Monitoring für Webserver beschrieben
- Lebenszyklus: frühzeitige Planung, bevor eine PHP-Version ihr Supportende erreicht, etwa PHP 8.2 am 31.12.2026
- Notfallablauf: abgestimmte Schritte für den Ernstfall, Zugänge und Ansprechpartner, die im Vorfall sofort bekannt sind
- Bericht: regelmäßige Zusammenfassung mit eingespielten Updates, Ereignissen und Empfehlungen
Wer ist wofür zuständig?
Viele Sicherheitslücken entstehen nicht technisch, sondern organisatorisch: Jeder denkt, ein anderer kümmert sich. Darum halten wir die Zuständigkeiten schriftlich fest. Ein typisches Beispiel:
| Aufgabe | Hoster | Agentur | PHP SOS | Sie |
|---|---|---|---|---|
| Hardware, Netz, Rechenzentrum | ja | |||
| Betriebssystem und PHP-Updates | je nach Vertrag | ja | ||
| CMS und Erweiterungen | ja | nach Absprache | ||
| Inhalte und Benutzerkonten | ja | |||
| Überwachung und Notfallablauf | ja | Freigaben |
Die tatsächliche Verteilung hängt von Ihren Verträgen ab. Besonders bei Managed Servern lohnt ein genauer Blick, was der Anbieter wirklich übernimmt, siehe Managed Server: Verantwortung klären. Agenturen mit vielen Kundenseiten finden ein passendes Modell unter Sicherheitspartner für Agenturen.
Wie hilft PHP SOS konkret?
- Bestandsaufnahme: Wir erfassen alle Websites, Server, Versionen, Zugänge, Backups und bestehenden Verträge.
- Erstabsicherung: Offene Updates und bekannte Schwachstellen werden zuerst geschlossen, bevor die laufende Betreuung beginnt.
- Vereinbarung: Wir halten Umfang, Rhythmus, Zuständigkeiten und den Notfallablauf schriftlich fest, auch die Frage, wann Sie vor Änderungen gefragt werden.
- Laufende Betreuung: Updates, Backups, Überwachung und Berichte nach Plan, bei kritischen Lücken zusätzlich nach dem vereinbarten Notfallablauf.
- Jährliche Überprüfung: Wir prüfen gemeinsam, ob der Vertrag noch zu Ihrer Systemlandschaft passt.
Was wir brauchen und was wir nicht versprechen
Wir brauchen dauerhafte administrative Zugänge, eine Ansprechperson mit Entscheidungsbefugnis, Kontakt zu Hoster und Agentur sowie Auskunft über geplante Änderungen an Ihren Anwendungen. Zugänge verwalten wir getrennt je Kunde und dokumentieren, wer Zugriff hat. Wenn Sie Änderungen an Ihren Systemen planen, etwa einen neuen Shop, eine weitere Website oder einen Hosterwechsel, sagen Sie uns früh Bescheid, damit Updates, Backups und Überwachung mitwachsen.
Wir versprechen nicht, dass Ihre Systeme nie angegriffen werden. Ein Wartungsvertrag senkt das Risiko und sorgt dafür, dass im Ernstfall schnell und geordnet gehandelt wird. Preise und Reaktionszeiten nennen wir nicht pauschal, sondern legen sie nach der Bestandsaufnahme im Angebot fest. Wie Sie den Ernstfall zusätzlich organisatorisch vorbereiten, beschreibt IT-Notfallplan für Webserver erstellen.
Häufige Fragen
Was gehört in einen Website-Wartungsvertrag mit Sicherheitsschwerpunkt?
Mindestens Updates für Server, PHP, CMS und Erweiterungen, regelmäßige Backups mit Wiederherstellungstest, eine Sicherheitsüberwachung und eine klare Regelung für Notfälle. Wichtig ist auch, schriftlich festzuhalten, wer wofür zuständig ist.
Ersetzt der Wartungsvertrag meine Agentur oder meinen Hoster?
Nicht unbedingt. Oft arbeiten wir mit Agentur und Hoster zusammen und übernehmen den Sicherheitsteil. Entscheidend ist, dass die Zuständigkeiten lückenlos verteilt sind und nichts zwischen den Beteiligten liegen bleibt.
Was passiert, wenn eine kritische Lücke wie PHP2Shell bekannt wird?
Dann prüfen wir, welche Ihrer Systeme betroffen sind, spielen Updates nach dem vereinbarten Ablauf ein oder setzen Übergangsmaßnahmen und informieren Sie über den Stand. Wie schnell das geschieht, legen wir im Vertrag gemeinsam fest.
Gibt es einen Festpreis?
Der Umfang hängt von Anzahl und Art Ihrer Systeme ab. Wir erstellen nach einer Bestandsaufnahme ein Angebot, das genau beschreibt, was enthalten ist.