Das Angebot für eine neue Website ist eine ehrliche Zahl. Sie beantwortet nur eine andere Frage als die, die du eigentlich stellst. Wer wissen will, was eine Website kostet, meint selten den Bau allein, sondern die nächsten fünf Jahre. Und darin ist der Bau die kleinere Zahl. Eine Website ist kein Gegenstand, den man einmal kauft, sondern ein kleiner Betrieb: Sie läuft auf fremder Software, die im Wochentakt Lücken bekommt, auf einem Unterbau mit Ablaufdatum, und sie erzählt Dinge, die in zwei Jahren nicht mehr stimmen. Dieser Beitrag rechnet die Posten vor, die in keinem Angebot stehen können, mit Preisen, die du selbst nachschlagen kannst.
Warum kann ein Angebot den Betrieb gar nicht enthalten?
Weil ein Angebot ein Ergebnis preist und kein Verhalten. Was darin steht, endet an einem Tag: Konzept, Struktur, Gestaltung, Umsetzung, erste Inhalte, Übergabe. Das ist ein Projekt, und Projekte haben ein Ende. Am selben Tag beginnt etwas anderes, das kein Ende hat, und dieses Etwas läuft nach drei verschiedenen Uhren.
Die erste Uhr ist die Technik. Sie läuft in Stunden und Tagen, weil jede Software unter deiner Seite von fremden Leuten gepflegt wird und deren Fehler zu deinem Problem werden. Die zweite Uhr sind die Inhalte. Sie läuft in Monaten: Preise ändern sich, Leute wechseln, Leistungen kommen dazu, und der Text auf der Startseite beschreibt irgendwann einen Betrieb, den es so nicht mehr gibt. Die dritte Uhr ist der Unterbau, also die Programmiersprache und das System darunter. Sie läuft in Jahren, dafür ohne Verhandlungsspielraum.
Ein Angebot, das alle drei Uhren enthielte, wäre kein Angebot mehr, sondern ein Vertrag über fünf Jahre. Genau das ist der Grund, warum die Betriebsseite meistens erst dann besprochen wird, wenn sie sich meldet: als Wartungsvertrag, als Rechnung nach einem Zwischenfall, oder als Angebot für eine neue Website, weil die alte "nicht mehr geht". Wer die drei Uhren vorher kennt, verhandelt anders.
Wie schnell veraltet die Technik unter deiner Seite?
Schneller, als jeder Wartungsrhythmus, den kleine Betriebe üblicherweise vereinbaren. Für das mit Abstand verbreitetste System gibt es dazu belastbare Zahlen: 40,7 Prozent aller Websites weltweit laufen auf WordPress, unter den Seiten mit erkennbarem Redaktionssystem sind es 58,9 Prozent (W3Techs, Abruf am 28.08.2026). Im WordPress-Umfeld wurden 2025 insgesamt 11.334 neue Sicherheitslücken gefunden, 42 Prozent mehr als im Jahr davor. 1.966 davon, also 17 Prozent, waren so eingestuft, dass sie sich für automatisierte Massenangriffe eignen (Patchstack, State of WordPress Security in 2026).
Die Verteilung ist die eigentliche Nachricht. 91 Prozent der Lücken steckten in Plugins, 9 Prozent in Themes, und im Kern von WordPress selbst wurden sechs gemeldet. Sechs. Das Programm, über das alle reden, ist nicht das Risiko. Das Risiko sind die zwölf Erweiterungen, die jemand vor drei Jahren installiert hat, damit das Kontaktformular hübscher aussieht.
Dazu kommt die dritte Uhr, die niemand hört, weil sie leise ist. PHP, die Sprache, in der WordPress und die meisten Redaktionssysteme laufen, hat feste Ablaufdaten: Version 8.2 bekommt nur noch Sicherheitskorrekturen bis 31. Dezember 2026, 8.3 bis Ende 2027, 8.4 bis Ende 2028 (php.net, Supported Versions). Wenn dein Hoster umstellt und ein altes Plugin die neue Version nicht verträgt, ist das kein Wartungsfall mehr, sondern ein kleines Projekt. Das ist der Moment, in dem technische Schuld fällig wird.
Was kostet der Betrieb im Jahr, bevor jemand eine Stunde arbeitet?
Erstaunlich wenig, solange man nur die Rechnungen zählt. Eine .at-Domain kostet direkt bei der Registrierungsstelle 68 Euro im ersten Jahr und 34 Euro in jedem Folgejahr, jeweils netto (nic.at, Preise). Ein Hosting-Paket, das für eine kleine Unternehmensseite reicht, liegt bei einem österreichischen Anbieter bei 7 Euro im Monat inklusive Umsatzsteuer, bei zwölf Monaten Vertragslaufzeit; die derzeit beworbenen Aktionspreise gelten ausdrücklich nur für die erste Periode (world4you, Webhosting-Pakete). Ein Einwilligungsbanner gibt es bei einem gängigen Anbieter kostenlos bis 50 Unterseiten und eine Domain, die kleinste bezahlte Stufe kostet 7 Euro im Monat (Cookiebot, Pricing). Das Verschlüsselungszertifikat ist bei jedem ernstzunehmenden Hoster inklusive.
Interessant wird es bei der vierten Zeile, die auf keiner Rechnung steht: die Stunden. Wer die Pflege selbst übernimmt, zahlt sie trotzdem. Eine geleistete Arbeitsstunde kostet einen österreichischen Betrieb im Bereich der freiberuflichen, wissenschaftlichen und technischen Dienstleistungen 54,90 Euro an Arbeitskosten (eigene Eurostat-Abfrage, Datensatz lc_lci_lev, Jahr 2025). Eine Stunde Pflege im Monat ist für eine kleine Seite kein üppiger Ansatz. Sie ist trotzdem der größte Posten der Rechnung.
Ein Posten lässt sich ganz vermeiden, und zwar durch eine Entscheidung beim Bauen statt durch ein Abonnement: Wer keine Dienste fremder Anbieter einbindet, braucht auch kein Einwilligungswerkzeug für sie. Wie teuer der umgekehrte Weg werden kann, zeigt der bekannteste Fall dazu: Das Landgericht München I sprach am 20. Januar 2022 einem Websitebesucher 100 Euro Schadenersatz zu, weil eine Seite Schriftarten direkt von einem Google-Server nachlud und dabei seine IP-Adresse übermittelte (Az. 3 O 17493/20). Ob die daraus entstandene Abmahnwelle Bestand hat, ist offen: Der Bundesgerichtshof hat die Frage dem Europäischen Gerichtshof vorgelegt (Az. VI ZR 258/24). Die Rechtslage ist also strittig, der Aufwand nicht - Schriften lokal auszuliefern kostet einmal eine halbe Stunde.
Wer ist zuständig, wenn es schnell gehen muss?
Das ist die Frage, an der die meisten Wartungsvereinbarungen scheitern, und sie hat wenig mit Geld zu tun. Der Patchstack-Bericht nennt für die tatsächlich angegriffenen Lücken einen gewichteten Median von fünf Stunden bis zum ersten Angriffsversuch. Fünf Stunden. Ein Wartungsvertrag mit monatlichem Einspieltermin ist gegen dieses Tempo keine Maßnahme, sondern eine Beruhigung.
Noch unangenehmer ist die zweite Zahl: Bei 46 Prozent der Lücken lag zum Zeitpunkt der Veröffentlichung noch kein Patch des Herstellers vor. Fast die Hälfte der Fälle lässt sich also gar nicht durch Aktualisieren lösen. Was in diesen Fällen hilft, ist eine Entscheidung: Erweiterung vorübergehend abschalten, ersetzen oder das Risiko bewusst tragen. Diese Entscheidung braucht jemanden, der sie treffen darf.
Praktisch heißt das drei Dinge: Es gibt eine Person mit Zugang und Mandat, es gibt eine wiederhergestellte Sicherung statt nur einer erstellten, und es gibt eine Liste, was auf der Seite überhaupt installiert ist. Die dritte klingt banal und fehlt am häufigsten. Wer nicht weiß, welche Erweiterungen laufen, kann eine Meldung über eine Lücke gar nicht auf sich beziehen.
Wann ist Ersetzen billiger als Pflegen?
Wenn die Pflege nicht mehr am Inhalt scheitert, sondern am Unterbau. Vier Signale sprechen dafür, und sie sind alle prüfbar. Erstens: Der Hoster kündigt eine neue PHP-Version an und niemand kann sagen, ob die Seite danach noch startet. Zweitens: Eine Erweiterung, an der wesentliche Funktionen hängen, wird vom Hersteller nicht mehr gepflegt, und es gibt keinen Nachfolger. Drittens: Jede inhaltliche Änderung braucht eine Agentur, weil im System niemand aus dem Betrieb etwas ändern kann, ohne das Layout zu zerlegen. Viertens: Die Seite erfüllt eine neue Anforderung nicht mehr, etwa bei der Barrierefreiheit, und der Umbau kostet mehr als der Neubau.
Umgekehrt gilt: Ein veraltetes Aussehen ist kein Grund. Langsame Ladezeiten sind meistens keiner, weil sie sich fast immer an drei Stellen beheben lassen. Und "wir haben sie schon seit vier Jahren" ist gar keiner. Die ehrliche Frage ist nicht, wie alt die Seite ist, sondern wie viele Stunden im Jahr sie kostet und ob diese Stunden in die Pflege gehen oder in Reparaturen. Wer beides über zwölf Monate mitschreibt, hat für die Entscheidung eine Zahl statt eines Gefühls. Wie sich so eine Rechnung über die gesamte Lebensdauer aufstellen lässt, steht im Glossareintrag zu den Gesamtbetriebskosten.
Drei Hebel für die nächsten zwei Wochen
1. Schreib die Bestandsliste, bevor du das nächste Angebot einholst. Wo läuft die Seite, wer besitzt die Domain, welches System, welche Version, welche Erweiterungen, wann läuft der Vertrag aus, wer hat Zugang. Eine Seite Papier. Diese Liste entscheidet später, ob eine Sicherheitsmeldung dich betrifft oder nicht.
2. Setz eine Zahl hinter jede der drei Uhren. Technik: Wie oft wird aktualisiert und von wem. Inhalte: Was muss dieses Jahr neu geschrieben werden. Unterbau: Welche PHP-Version läuft und bis wann bekommt sie Sicherheitskorrekturen. Drei Zeilen, und die Betriebskosten sind kein Gefühl mehr.
3. Teste eine Wiederherstellung, nicht eine Sicherung. Fast jeder Hoster sichert. Fast niemand hat je geprüft, ob sich daraus die Seite in einer Stunde zurückholen lässt. Der Test kostet einen Vormittag und ist die einzige Position auf dieser Liste, die im Ernstfall den Unterschied zwischen Ärger und Stillstand macht.
Wenn ihr gerade ein Angebot für eine neue Website vor euch habt, rechnen wir die fünf Jahre dahinter gern einmal gemeinsam durch. Oft ist die Frage danach nicht mehr "neu oder nicht", sondern "wer kümmert sich". 🧾