Der Servicevertrag sollte die betreuten Websites, die enthaltenen Leistungen, Ausschlüsse, Incident-Prioritäten, die Messung der Reaktionszeit, die Freigabe von Änderungen, Berichte, die Eigentümerschaft an Konten und das vollständige Übergabeverfahren bei Vertragsende genau festlegen.
Ein WordPress-Servicevertrag macht aus einem allgemeinen Betreuungsversprechen einen konkreten Leistungsumfang mit klaren Verantwortlichkeiten und Kommunikationsregeln. Der Websitebetreiber muss wissen, welche Updates, Sicherungen, Tests, Monitoring-Leistungen und Eingriffe enthalten sind, wer Änderungen freigibt und wie ein Vorfall außerhalb der Geschäftszeiten behandelt wird. Der Dienstleister wiederum braucht Grenzen, damit dringender Support nicht mit unbegrenzter Entwicklung neuer Funktionen verwechselt wird.
Ein SLA, also eine Service-Level-Vereinbarung, sollte messbare Begriffe verwenden und zwischen Bestätigung der Anfrage, Beginn der Arbeit, vorläufiger Wiederherstellung und vollständiger Lösung unterscheiden. Konkrete Zeiten und Sanktionen lassen sich nicht allgemeingültig festlegen; sie hängen von der Bedeutung der Website, der Verfügbarkeit des Teams und dem Preis der Leistung ab. Vertrags- und Rechtstexte sollten von einer qualifizierten Fachperson geprüft werden, während dieser Artikel dabei hilft, ein sachliches kommerzielles Briefing vorzubereiten.
Genauer Leistungsgegenstand und Liste der verwalteten Assets
Führen Sie im Anhang oder Inventar jede Domain, jede WordPress-Installation, Produktions- und Staging-Umgebung, das Hosting, das Theme, wichtige Plugins und externe Integrationen auf. Kennzeichnen Sie bei jedem Eintrag den Kontoinhaber und den Verantwortungsumfang des Dienstleisters. Die WordPress-Betreuung umfasst nicht automatisch DNS, Mailserver, Werbeskripte oder Eingriffe ins CRM, auch wenn sich deren Fehler auf der Website-Journey bemerkbar machen.
Gliedern Sie den Umfang in präventive Maßnahmen, Incident-Support, inhaltliche Arbeiten und Weiterentwicklung. Geben Sie das Update-Intervall, die Testmethode, die Prüfung von Backups und Wiederherstellung, das Monitoring und die Funktionstests an. Benennen Sie Ausschlüsse ebenso klar: Lizenzen Dritter, umfangreiche Bereinigung nach einem Angriff, Hosting-Migration oder neue Funktionen können eine gesonderte Freigabe erfordern. Eine unklare Formulierung wie „Komplettbetreuung“ erzeugt auf beiden Seiten unterschiedliche Erwartungen.
Incident-Prioritäten und sinnvolle SLAs
Definieren Sie Stufen nach Auswirkungen auf Nutzer und Geschäft. Ein kritischer Vorfall kann eine nicht erreichbare Website, der Verdacht auf einen aktiven Angriff oder ein nicht funktionierender Hauptverkaufsprozess sein; eine niedrigere Priorität kann ein kosmetischer Fehler sein, der keine Aufgabe blockiert. Ergänzen Sie für jede Stufe Beispiele, den Meldekanal und die Person, die zur Bestätigung der Priorität berechtigt ist. Das bloße Wort „dringend“ ohne Definition hilft bei Entscheidungen nicht.
Ein SLA muss die Betriebszeiten, den Beginn der Zeitmessung, die Reaktionszeit und den Eskalationsweg festlegen. Reaktion bedeutet Bestätigung und eine erste Einschätzung, nicht zwingend eine vollständige Behebung. Die Lösungszeit kann vom Hersteller eines Plugins, vom Hosting oder von fehlenden Zugängen abhängen; vereinbaren Sie daher auch eine Regel für regelmäßige Statusmeldungen und Übergangslösungen. Eine Verfügbarkeit außerhalb der Arbeitszeiten sollte ausdrücklich vereinbart, personell abgesichert und in den kommerziellen Bedingungen berücksichtigt werden.
- Priorität abgeleitet von der tatsächlichen Auswirkung
- separat definierte Reaktion und Lösung
- klare Servicezeiten und Eskalation
- regelmäßige Information während eines offenen Vorfalls
Freigabe von Änderungen, Budget und Lizenzen
Vereinbaren Sie, welche Updates mit geringem Risiko der Betreuer im Rahmen der Pauschale durchführen darf und welche Eingriffe eine schriftliche Freigabe erfordern. Eine Freigabeanfrage sollte Grund, Umfang, erwartete Auswirkungen, Preis oder Verbrauch des vereinbarten Kontingents sowie einen Rückfallplan enthalten. Bei einem Sicherheitsfix kann die Entscheidungszeit kürzer sein, der Vertrag sollte jedoch festlegen, wer handeln darf, wenn die Kontaktperson nicht erreichbar ist.
Eigentum an Lizenzen und die Art ihrer Verlängerung müssen transparent sein. Das Unternehmen sollte wissen, welche Lizenzen es direkt besitzt, welche der Dienstleister während der Vertragslaufzeit bereitstellt und was nach Vertragsende nicht mehr funktioniert. Automatische Verlängerung, Preisänderungen oder eingeschränkter Support sollten nicht überraschen. Erfassen Sie Weiterentwicklungswünsche getrennt von der laufenden Wartung, damit Bericht und Abrechnung klar zeigen, wofür die Kapazität eingesetzt wurde.
Kommunikationskanal und Servicebericht
Legen Sie einen dokumentierten Kanal für reguläre Anfragen und einen gesonderten Weg zur Meldung kritischer Vorfälle fest. Eine Meldung sollte URL, Zeitpunkt, beobachtetes Verhalten, Gerät und verfügbare Bildschirmaufnahmen ohne sensible Daten enthalten. Ein Telefonat kann eine Reaktion auslösen, das Ergebnis muss jedoch im gemeinsamen System festgehalten werden. Bestimmen Sie auf Kunden- wie auf Dienstleisterseite einen Haupt- und einen Ersatzkontakt sowie Regeln, wem ein Sicherheitsereignis gemeldet werden darf.
Ein regelmäßiger Bericht sollte Updates, Tests, Verfügbarkeit, den Status der Backups, Vorfälle, offene Risiken, die verbrauchte Entwicklungskapazität und empfohlene Entscheidungen enthalten. Eine Zahl ohne Kontext genügt nicht: Ein fehlgeschlagenes Backup braucht eine Angabe zur Auswirkung und einen Korrekturschritt, nicht nur ein rotes Symbol. Vereinbaren Sie Häufigkeit und Format des Berichts und beginnen Sie jeden neuen Zeitraum mit der Überprüfung nicht abgeschlossener Aufgaben. Kopieren Sie keine sensiblen Logs oder personenbezogenen Daten in den regulären Bericht.
Kontoinhaberschaft, Zugriffe und Sicherheitsverantwortung
Domain, Haupt-Hosting-Konto, Analytics und Unternehmensprofile sollten vom Unternehmen kontrolliert werden, oder es muss eine vertraglich wie technisch durchführbare Übertragung möglich sein. Der Dienstleister nutzt eine eigene Identität mit den geringsten notwendigen Berechtigungen und Mehrfaktor-Authentifizierung. Passwörter werden weder per gewöhnlicher E-Mail verschickt noch in einen Servicebericht eingefügt. Der Vertrag sollte festlegen, wer neue Konten genehmigt, wie Zugänge dokumentiert werden und wann alte Identitäten gelöscht werden.
Verteilen Sie die Verantwortung für Anwendung, Server, DNS, Zertifikat, Backups, Sicherheitswarnungen und Drittanbieter. Entsteht ein Vorfall außerhalb der direkten Verwaltung des Dienstleisters, muss klar sein, ob er die Kommunikation koordiniert oder lediglich technische Unterlagen bereitstellt. Bei personenbezogenen Daten geben Sie Rollen und Auftragsverarbeitungsverhältnisse auf Grundlage einer fachkundigen rechtlichen Prüfung an. Ein Servicevertrag ersetzt keine Sicherheitsrichtlinie, sollte aber mit ihr im Einklang stehen.
Vertragsbeendigung und kontrollierte Übergabe der Website
Die Vereinbarung sollte die Kündigungsfrist, den Umfang der Mitwirkung, das Exportformat und die Regeln zur Abrechnung offener Arbeiten enthalten. Das Übergabepaket umfasst in der Regel ein Inventar, den aktuellen Code, die Datenbank und Medien, die Deployment-Dokumentation, den Lizenzstatus, Weiterleitungen, Backups, offene Vorfälle und das Datum der letzten Tests. Ein vages „Wir übergeben alles“ führt zu Streit; eine konkrete Liste ermöglicht beiden Seiten, die Erfüllung zu bestätigen.
Der neue Betreuer soll die Konten sicher übernehmen und einen Test von Deployment, Formularen, Monitoring und Wiederherstellung durchführen. Anschließend werden die Identitäten, API-Schlüssel und Fernzugänge des bisherigen Dienstleisters entfernt, ohne Automatisierungen zu beeinträchtigen. Versenden Sie Passwörter nicht in einer Liste; nutzen Sie einen sicheren Kanal und eine anschließende Rotation. Geben Sie an, wie lange der bisherige Dienstleister Arbeitskopien aufbewahrt und wann diese gemäß den vertraglichen und fachlich geprüften Pflichten gelöscht werden.
- konkretes Übergabepaket und Termin
- Übernahmetest durch einen neuen Administrator
- Rotation von Secrets und Löschung von Identitäten
- vereinbarte Löschung der Arbeitskopien
Häufige Fragen
Was ist der Unterschied zwischen Reaktionszeit und Lösungszeit?
Die Reaktionszeit legt fest, bis wann der Dienstleister eine Anfrage bestätigt und mit der Prüfung beginnt. Die vollständige Lösung kann von der Ursache oder einem Drittanbieter abhängen und benötigt daher eine eigene Definition, Statusupdates und gegebenenfalls eine Übergangslösung.
Sollte ein Wartungsvertrag unbegrenzte Website-Änderungen umfassen?
Nicht unbedingt. Präventive Wartung, Incidents, inhaltliche Eingriffe und Neuentwicklung sollten getrennt werden. Der Vertrag sollte die enthaltene Kapazität, die Freigabe von Mehrarbeit und die kommerziellen Auswirkungen ohne versteckte Erwartungen festlegen.
Wem sollten Domain und Hosting-Konto gehören?
Die Hauptkontrolle sollte beim Unternehmen liegen, oder es muss eine klare und durchführbare Übertragung geben. Der Dienstleister sollte einen eigenen, angemessenen Zugang nutzen, der bei Beendigung ohne Verlust von Unternehmensdaten aufgehoben wird.
Quellen und weiterführende Lektüre
Adam Antoni vyvíja weby, aplikácie a softvér na mieru. Prepája firemné systémy, automatizuje procesy a vytvára AI agentov. Pôsobí v Spišskej Novej Vsi a spolupracuje s firmami na celom Slovensku.
