Nach dem Start: was die Wartung der Website leistet

Eine Website ist kein Schild am Hoftor. Sie ist Software, die rund um die Uhr an einer öffentlichen Adresse läuft und aus mehreren beweglichen Teilen besteht: dem Redaktionssystem, den Erweiterungen darin, der Programmiersprache auf dem Server, der Datenbank, dem Webserver davor und dem Zertifikat, das die Verbindung verschlüsselt. Jedes dieser Teile wird von seinem Hersteller weiterentwickelt, und jede Weiterentwicklung enthält Korrekturen an Stellen, die vorher angreifbar waren. Wer nichts tut, betreibt die Seite nicht im Zustand vom Starttag. Er betreibt sie in einem Zustand, der mit jedem Monat weiter hinter dem zurückfällt, was die Hersteller längst repariert haben.

Das Ausmaß lässt sich beziffern. Das Bundesamt für Sicherheit in der Informationstechnik beschreibt die Web-Angriffsfläche Deutschlands für das zweite Quartal 2025 mit rund 13,2 Millionen (BSI) aus dem Internet erreichbaren .de-Domains. Eine Galabau-Seite mit vierzig Unterseiten gehört dazu, und die Auswahl der Ziele läuft nicht nach Bekanntheit, sondern maschinell: Ein Scanner fragt Adresse für Adresse ab, welche Version wo läuft, und merkt sich, wo eine bekannte Lücke offensteht. Laut demselben Bericht richteten sich rund 80 Prozent (BSI) der angezeigten Angriffe gegen kleine und mittlere Unternehmen — also gegen genau die Betriebe, die weder eine eigene IT-Abteilung haben noch jemanden, der abends die Herstellermeldungen liest.

Die Zahl der offenen Türen wächst dabei schneller als die Zahl der Betriebe. Das Amt benennt auch, woran es in der Praxis scheitert: „So werden beispielsweise viel zu oft bekannte Schwachstellen in Perimetersystemen zu spät oder gar nicht gepatcht.“ Dieser Satz beschreibt keinen ausgefeilten Angriff, sondern eine liegengebliebene Aufgabe. Genau dort setzt Wartung an, und genau dort ist sie auch messbar.

Fast jeder Anbieter sichert. Die Frage, die zählt, lautet anders: Wann wurde eine dieser Sicherungen zuletzt zurückgespielt? Eine Sicherung ist erst dann ein Sicherungsstand, wenn jemand sie einmal ausgepackt und angesehen hat. Bis dahin ist sie eine Datei mit einer plausiblen Größe. Die häufigsten Überraschungen dabei sind banal: Die Datenbank ist dabei, aber die hochgeladenen Bilder fehlen. Oder die Bilder sind dabei, aber die Datenbank wurde mitten im Schreibvorgang kopiert und lässt sich nicht einlesen. Oder alles ist dabei, aber niemand kennt mehr den Zugang zum Speicherort.

Deshalb gehört zu einer Sicherung immer eine Probe. Sie läuft auf einer getrennten, nicht öffentlich erreichbaren Adresse, dauert bei einer Galabau-Seite selten länger als eine Stunde und endet mit einem Satz, den man aufschreiben kann: Stand vom soundsovielten, zurückgespielt am soundsovielten, Startseite, Leistungsseite, Referenzgalerie und Anfrageformular geprüft. Diese eine Zeile ist der Unterschied zwischen einem Wartungsvertrag und einer Wartungsrechnung. Art. 32 Abs. 1 DSGVO verlangt für personenbezogene Daten ausdrücklich ein Verfahren dafür — dazu weiter unten mehr.

Ein Punkt, den viele erst im Ernstfall klären: Wo liegen die Sicherungen, und wem gehören sie? Wenn der Speicherort beim Dienstleister liegt und nur er den Zugang kennt, ist die Sicherung genau so lange etwas wert, wie die Geschäftsbeziehung hält. Beide Fragen sind vorab beantwortet: wo die Website läuft und wem sie gehört und was bei einem Wechsel des Dienstleisters passiert.

Wartung ist nicht nur kaufmännisch vernünftig, sie hat auch eine rechtliche Seite — und die ist konkreter, als viele Betriebe annehmen. § 19 Abs. 4 TDDDG verpflichtet Anbieter digitaler Dienste zu technischen und organisatorischen Vorkehrungen, und der Gesetzgeber hat dabei nicht den Zustand vom Starttag im Sinn: „Vorkehrungen nach Satz 1 müssen den Stand der Technik berücksichtigen.“ Der Stand der Technik ändert sich; eine Vorkehrung, die ihn berücksichtigt, muss deshalb nachgeführt werden.

Deutlicher wird Art. 32 Abs. 1 DSGVO, sobald über die Seite personenbezogene Daten verarbeitet werden — und das tut jedes Anfrageformular. Die Verordnung nennt drei Punkte, die unmittelbar beschreiben, was Wartung leistet:

Damit ist der Wartungsbericht nicht nur ein Nachweis gegenüber dem Inhaber, sondern auch der Nachweis, den die Verordnung meint. Welche Pflichten beim Umgang mit Formulardaten sonst noch gelten — Verzeichnis, Aufbewahrung, Auftragsverarbeitung —, steht im Beitrag zum Datenschutz auf der Handwerker-Website.

Sie müssen keine Serverprotokolle lesen können, um Pflege zu prüfen. Es genügt, nach Ergebnissen zu fragen statt nach Tätigkeiten. Diese acht Fragen lassen sich in zehn Minuten stellen, und die Antworten sagen mehr als jede Leistungsbeschreibung:

Ein Dienstleister, der pflegt, beantwortet diese Fragen aus dem Bericht. Ein Dienstleister, der nur berechnet, beantwortet sie mit ‚lief alles‘. Der Unterschied liegt nicht im Tonfall, sondern darin, ob Datum und Ergebnis festgehalten wurden. Ein brauchbarer Monatsbericht hat keine zehn Seiten, er hat diese Struktur:

Die Werte darin stammen aus einer Vorlage und sind keine Messwerte Ihrer Seite; entscheidend ist die Struktur. Jede Zeile nennt einen Handgriff, ein Datum und ein Ergebnis. Was darin nicht steht, ist nicht passiert — und genau diese Umkehrung macht den Bericht zum Prüfmittel statt zur Beruhigung.