WordPress Kundenwebsite sicher übergeben: Checkliste für Dienstleister und Kunden

Eine WordPress Kundenwebsite sicher zu übergeben bedeutet mehr, als Zugangsdaten per E-Mail weiterzuleiten. Entscheidend sind klare Zuständigkeiten, getestete Backups, passende Benutzerrollen, dokumentierte Einstellungen und ein nachvollziehbarer Ablauf. Dieser Leitfaden zeigt Dir, wie Du eine WordPress-Website technisch sauber, sicher und verständlich an den Kunden übergibst.

Passende WordPress Hilfe zum Thema

Was bedeutet eine sichere Übergabe?

Die Darstellung sollte zeigen, dass persönliche Benutzerkonten und begrenzte Rollen wichtiger sind als ein gemeinsam genutzter Administratorzugang. Sensible Zugangsdaten dürfen dabei nicht sichtbar sein.

Bei der Übergabe wechselt nicht nur die Person, die Inhalte pflegt. Häufig werden auch Verantwortlichkeiten für Hosting, Domain, E-Mail-Postfächer, Backups, Updates, Sicherheitsmaßnahmen, Lizenzen und rechtliche Inhalte neu verteilt. Eine Website kann im Browser vollständig funktionieren und trotzdem unvollständig übergeben sein, wenn beispielsweise nur ein WordPress-Administrator vorhanden ist, der Hostingzugang fehlt oder wichtige Lizenzschlüssel nicht dokumentiert sind.

Eine sichere Übergabe verfolgt deshalb mehrere Ziele:

• Der Kunde kann die Website mit einem eigenen Konto verwalten.
• Zugänge und Berechtigungen sind auf das notwendige Maß begrenzt.
• Die aktuelle Version der Website ist gesichert und wiederherstellbar.
• Technische Abhängigkeiten und laufende Aufgaben sind nachvollziehbar.
• Der Kunde weiß, welche Änderungen er selbst durchführen kann und wann technische Unterstützung sinnvoll ist.

Wichtig ist die Trennung zwischen Übergabe und Schulung. Die Übergabe stellt sicher, dass die Website technisch und organisatorisch kontrollierbar ist. Eine Schulung erklärt zusätzlich, wie Inhalte bearbeitet, Medien hochgeladen oder Bestellungen verarbeitet werden.

Die Verantwortlichkeiten vorab klären

Bevor Du Zugangsdaten übergibst, solltest Du schriftlich festhalten, wer ab diesem Zeitpunkt für welche Bereiche zuständig ist. Das verhindert Missverständnisse und macht sichtbar, welche Leistungen weiterhin benötigt werden.

Bereich	Mögliche Zuständigkeit	Vor der Übergabe prüfen
WordPress-Inhalte	Kunde oder Redaktion	Benutzerrollen, Redaktionsablauf und Verantwortliche
Hosting	Kunde, Dienstleister oder internes IT-Team	Vertragsinhaber, Zugang und technische Ansprechpartner
Domain	Kunde oder Domainverwalter	Registrarzugang, DNS-Verwaltung und Verlängerung
Backups	Nach Vereinbarung	Speicherort, Intervall, Aufbewahrung und Wiederherstellungsverfahren
Updates	Kunde, Wartungsdienst oder Mischmodell	Verantwortung für Tests, Durchführung und Fehlerbehebung
Lizenzen	Kunde oder Dienstleister	Lizenzinhaber, Laufzeit und Erneuerungsweg

Eine einfache Übergabedokumentation kann diese Punkte als Liste enthalten. Entscheidend ist nicht die Form des Dokuments, sondern dass der Inhalt für den Kunden verständlich und später auffindbar ist.

Vorbereitung: Inventar der Website erstellen

Erstelle vor der eigentlichen Übergabe ein Inventar. Darin sollten nicht nur die sichtbaren Seiten stehen, sondern auch technische Bestandteile und externe Dienste. Das Inventar ist eine Momentaufnahme des Systems und hilft später bei Wartung, Fehlersuche oder einem Hostingwechsel.

WordPress, Theme und Plugins

Dokumentiere die verwendete WordPress-Version, das aktive Theme, gegebenenfalls das Child Theme sowie alle aktiven Plugins. Ergänze, welche Plugins für zentrale Funktionen wie Formulare, Caching, SEO, Sicherheit, Mehrsprachigkeit oder Shopprozesse erforderlich sind.

Bei jedem Plugin sind folgende Angaben sinnvoll:

• Name und Zweck des Plugins
• Aktiv oder bewusst deaktiviert
• Abhängigkeiten zu anderen Plugins oder Diensten
• Lizenzmodell und zuständiger Lizenzinhaber
• Besondere Konfigurationen, die bei Updates beachtet werden müssen

Deaktiviere nicht einfach alle Plugins, die Dir unbekannt erscheinen. Manche Erweiterungen übernehmen unsichtbare Aufgaben, etwa Weiterleitungen, Cronjobs, Schnittstellen oder individuelle Funktionen. Prüfe ihre Rolle, bevor Du sie entfernst.

Externe Dienste und Schnittstellen

Viele WordPress-Websites hängen von Diensten außerhalb des Hostings ab. Dazu gehören beispielsweise Zahlungsanbieter, Newsletter-Systeme, Karten- oder Analysewerkzeuge, externe Schriftbibliotheken, Bild-CDNs und SMTP-Dienste. Notiere, welcher Dienst verwendet wird, wofür er benötigt wird und wer den Zugang verwaltet.

Besonders wichtig sind API-Schlüssel und Webhooks. Sie sollten nicht offen in einer allgemeinen Dokumentation stehen. Dokumentiere stattdessen den Speicherort, den Zweck und die Zuständigkeit. Nicht mehr benötigte Schlüssel sollten deaktiviert oder gelöscht werden. Aktive Schlüssel dürfen niemals unnötig in öffentlichen Bereichen, Screenshots oder unverschlüsselten Notizen auftauchen.

Zugänge sicher und nachvollziehbar übergeben

Die Zugangsdaten sind ein zentraler Sicherheitsbereich. Eine Übergabe per unverschlüsselter E-Mail ist für wichtige Konten keine gute Standardlösung. Besser ist ein geeigneter Passwortmanager oder ein sicherer, separat geschützter Übermittlungsweg.

Individuelle Benutzer statt gemeinsamer Konten

Lege für den Kunden ein eigenes WordPress-Konto mit einer persönlichen E-Mail-Adresse an. Verwende keine gemeinsamen Benutzernamen wie „admin“ oder „Kunde“, wenn dadurch nicht nachvollziehbar bleibt, wer eine Änderung vorgenommen hat. Für die Übergabe sollte der Kunde sein Passwort selbst setzen oder unmittelbar nach Erhalt ändern.

Prüfe die Benutzerkonten systematisch:

• Entferne nicht mehr benötigte Konten.
• Übertrage Inhalte vor dem Löschen eines Benutzers auf eine geeignete Person.
• Kontrolliere Administratorrechte und reduziere sie, wenn sie nicht erforderlich sind.
• Aktiviere, sofern technisch und organisatorisch passend, eine Zwei-Faktor-Authentifizierung.
• Prüfe Wiederherstellungs-E-Mail-Adressen und Sicherheitsfragen.

Nach der Übergabe solltest Du Deinen eigenen Zugang nicht automatisch behalten. Falls weiterhin Support oder Wartung vereinbart ist, sollte dafür ein separates, nachvollziehbares Konto mit klarer Berechtigung genutzt werden. Ein dauerhaft versteckter Zugang ist weder transparent noch gut verwaltbar.

Hosting-, Domain- und E-Mail-Zugänge

WordPress-Administrator und Hostingkonto sind unterschiedliche Ebenen. Der WordPress-Zugang erlaubt die Verwaltung der Website innerhalb des CMS. Der Hostingzugang kann zusätzlich Dateien, Datenbanken, PHP-Einstellungen, Cronjobs und E-Mail-Postfächer betreffen. Der Domainzugang steuert wiederum DNS-Einträge und damit unter Umständen Website, E-Mail und Verifizierungen.

Übergebe nur die Konten, die im vereinbarten Umfang benötigt werden. Wenn der Kunde Vertragsinhaber werden soll, sollte das Verfahren zur Änderung von Name, Rechnungsadresse und Kontakt-E-Mail beim jeweiligen Anbieter geklärt werden. Prüfe anschließend, ob der Kunde tatsächlich Zugriff hat und ob die Wiederherstellungsdaten auf seine Organisation zeigen.

Backup und Wiederherstellung vor der Übergabe prüfen

Ein Backup ist nur dann hilfreich, wenn es vorhanden, zugänglich und für den konkreten Zweck brauchbar ist. Eine erfolgreiche Meldung eines Backup-Plugins beweist nicht automatisch, dass jede Datei und die Datenbank vollständig gesichert wurden oder dass sich die Website damit wiederherstellen lässt.

Vor der Übergabe solltest Du mindestens diese Punkte klären:

1. Wird die WordPress-Datenbank gesichert?
2. Sind Uploads, Themes, Plugins und individuelle Dateien enthalten?
3. Wo liegt die Sicherung und wer kann darauf zugreifen?
4. Wie alt ist die letzte erfolgreiche Sicherung?
5. Wie wird eine Wiederherstellung im Fehlerfall durchgeführt?
6. Gibt es einen zweiten Speicherort oder eine alternative Sicherungsmöglichkeit?

Bei produktiven Shops und Websites mit häufigen Änderungen ist außerdem relevant, wie viel Datenverlust im Notfall akzeptabel wäre. Bestellungen, Formulareingänge oder neue Inhalte können zwischen zwei Sicherungen entstehen. Das Intervall sollte zur Nutzung der Website passen und nicht nur nach Bequemlichkeit gewählt werden.

Wenn möglich, wird die Wiederherstellung in einer Staging-Umgebung oder auf einer getrennten Testinstallation geprüft. Dabei darf keine Testumgebung versehentlich E-Mails versenden, Bestellungen verarbeiten oder Suchmaschinen als eigenständige Website ansprechen. Nach dem Test müssen temporäre Zugangsdaten und Testdaten entfernt werden.

Funktionstest nach der technischen Fertigstellung

Vor der Übergabe solltest Du die Website aus Sicht des Kunden und der Besucher prüfen. Ein Funktionstest muss nicht jede denkbare Kombination abdecken, sollte aber die wichtigsten Nutzungsszenarien einbeziehen.

Öffentliche Website prüfen

• Startseite, wichtige Unterseiten und Navigation öffnen
• Kontaktformulare mit einem geeigneten Testfall prüfen
• Darstellung auf einem kleinen und einem großen Bildschirm kontrollieren
• Fehlerseiten und Weiterleitungen aufrufen
• Bilder, Downloads und eingebettete Inhalte testen
• SSL-Aufruf und gemischte Inhalte beachten
• Metadaten, robots.txt und XML-Sitemap auf Plausibilität prüfen

Wenn Formulare oder E-Mails beteiligt sind, muss klar sein, wohin Nachrichten gesendet werden und wer sie künftig bearbeitet. Bei einem Test sollten keine realen Empfänger unnötig mit Testnachrichten belastet werden.

Administrationsbereich prüfen

• Login mit dem neuen Kundenkonto durchführen
• Seiten, Beiträge und Medien bearbeiten
• Menüs oder Blöcke nur im vereinbarten Umfang verändern
• Benutzerrechte mit der tatsächlichen Rolle vergleichen
• Aktualisierungen und Hinweise im Dashboard kontrollieren
• Fehlerprotokolle und offensichtliche Warnungen prüfen

Ein gutes Übergabeprotokoll hält fest, was geprüft wurde, wann die Prüfung stattgefunden hat und welche offenen Punkte bestehen. Offene Punkte sind kein Problem, solange sie benannt, priorisiert und einer verantwortlichen Person zugeordnet werden.

Dokumentation, die der Kunde wirklich nutzen kann

Eine technische Dokumentation muss nicht aus vielen Seiten Fachsprache bestehen. Sie sollte die wichtigsten Fragen beantworten, die nach der Übergabe entstehen. Schreibe für eine Person, die die Website verwalten muss, aber nicht zwingend WordPress entwickelt.

Empfohlene Inhalte der Übergabedokumentation

• Website-Adresse und Admin-Adresse
• Hosting- und Domainanbieter sowie Zuständigkeiten
• Aktives Theme und wichtige Plugins mit ihrem Zweck
• Beschreibung zentraler Einstellungen
• Hinweise zu Formularen, E-Mail-Versand und externen Diensten
• Backup-Verfahren und Vorgehen bei einem Wiederherstellungsbedarf
• Regelmäßige Aufgaben wie Updates, Inhaltsprüfung und Benutzerverwaltung
• Bekannte Einschränkungen oder offene technische Punkte
• Kontaktweg für vereinbarte Unterstützung

Speichere keine Klartext-Passwörter in einem allgemein zugänglichen Dokument. Verweise stattdessen auf den Passwortmanager oder beschreibe, wie der Kunde seinen Zugang selbst einrichtet. Auch sensible API-Schlüssel gehören nicht in eine ungeschützte Word-Datei oder in ein öffentliches Ticketsystem.

Übergabe bei individuellen Anpassungen

Individuelle Funktionen können in einem Plugin, einem Child Theme, einem kleinen Code-Snippet oder einer externen Schnittstelle liegen. Für den Kunden ist wichtig zu wissen, wo die Anpassung technisch verankert ist und welche Änderungen riskant sein können.

WordPress-Core-Dateien sollten nicht als normale Anpassungsfläche übergeben werden. Änderungen am Core können bei Updates überschrieben werden und erschweren die Fehlersuche. Updatefähige Lösungen liegen in der Regel eher in einem eigenen Plugin, einem Child Theme, Hooks, Filtern oder einer klar abgegrenzten Integrationsschicht. Welche Lösung sinnvoll ist, hängt vom konkreten Zweck und der bestehenden Website ab.

Dokumentiere bei eigener Programmierung:

• Funktion und Auslöser der Anpassung
• Dateien oder Plugin-Bestandteile, in denen sie liegt
• Abhängigkeiten zu Theme, Plugins oder externen APIs
• Konfigurationen, die nicht direkt im Code geändert werden sollten
• Bekannte Grenzen und mögliche Fehlerbilder
• Vorgehen für Änderungen, Tests und Rücksetzung

Wenn Quellcode übergeben wird, sollte auch geklärt sein, welche Entwicklungs- und Bereitstellungsprozesse gelten. Änderungen direkt auf der Live-Website können bei komplexeren Funktionen unnötige Risiken erzeugen. Eine Staging-Umgebung, ein Backup vor Änderungen und ein klarer Rücksetzungsweg sind deshalb sinnvoll.

Typische Fehler bei der Übergabe und ihre Lösungen

Problem	Warum es kritisch ist	Sinnvolle Lösung
Ein gemeinsames Administrator-Konto	Änderungen sind nicht eindeutig zuordenbar.	Persönliche Konten mit passenden Rollen einrichten.
Passwörter stehen in einer E-Mail	Die Nachricht kann weitergeleitet oder ungeschützt gespeichert werden.	Sichere Übermittlung und anschließende Passwortänderung verwenden.
Nur WordPress, aber nicht das Hosting übergeben	Dateien, Datenbank und Servereinstellungen bleiben unklar.	Verantwortlichkeiten und erforderliche Hostingrechte dokumentieren.
Backup wird nicht geprüft	Eine Sicherung kann unvollständig oder unbrauchbar sein.	Inhalt, Speicherort und Wiederherstellungsweg kontrollieren.
Individueller Code ist undokumentiert	Spätere Änderungen können Funktionen beschädigen.	Funktion, Ablageort, Abhängigkeiten und Grenzen beschreiben.
Lizenzdaten fehlen	Updates oder Premium-Funktionen können von einem fremden Konto abhängen.	Lizenzinhaber und Erneuerungsprozess vorab klären.
Keine offene-Punkte-Liste	Unfertige Aufgaben wirken später wie Fehler oder vergessene Leistungen.	Offene Punkte mit Status, Priorität und Zuständigkeit festhalten.

Ein sinnvoller Ablauf in sieben Schritten

1. Umfang festlegen: Kläre, welche Websitebestandteile, Konten und Dokumente zur Übergabe gehören.
2. Inventar erstellen: Erfasse WordPress, Hosting, Domain, Plugins, Theme, Schnittstellen und Lizenzen.
3. Sicherungen anfertigen: Erstelle eine aktuelle Sicherung und dokumentiere Speicherort sowie Wiederherstellung.
4. Konten bereinigen: Entferne nicht benötigte Zugänge und richte persönliche Konten mit passenden Berechtigungen ein.
5. Technik testen: Prüfe Frontend, Backend, Formulare, E-Mail-Versand, wichtige Inhalte und individuelle Funktionen.
6. Dokumentation übergeben: Stelle Anleitungen, Zuständigkeiten und offene Punkte strukturiert bereit.
7. Übergabe bestätigen: Lass bestätigen, welche Zugänge und Unterlagen angekommen sind, und kläre den Start der neuen Verantwortungsphase.

Die Bestätigung muss kein kompliziertes juristisches Dokument sein. Sie sollte jedoch nachvollziehbar machen, was übergeben wurde und welche Punkte noch bearbeitet werden. Bei umfangreichen Projekten kann eine getrennte Abnahme mit dokumentierten Restarbeiten sinnvoll sein.

Was nach der Übergabe wichtig bleibt

Eine Website ist nach der Übergabe nicht automatisch dauerhaft sicher. WordPress, Plugins, Themes, Serverkomponenten und externe Dienste können sich verändern. Auch neue Benutzer, zusätzliche Schnittstellen oder unkontrollierte Codeänderungen verändern das Risiko.

Lege deshalb einen passenden Wartungsprozess fest. Dieser kann regelmäßige Updates, Backups, Funktionsprüfungen, Sicherheitskontrollen und eine definierte Reaktion auf Fehler umfassen. Updates sollten nicht blind auf einer produktiven Website durchgeführt werden, wenn die Website geschäftskritische Funktionen oder individuelle Integrationen enthält. Vor größeren Änderungen sind eine Sicherung und gegebenenfalls ein Test auf Staging sinnvoll.

Auch der Kunde sollte wissen, welche Aufgaben er selbst übernehmen kann. Inhalte und einfache Medienänderungen sind etwas anderes als PHP-Anpassungen, Datenbankänderungen oder Eingriffe in DNS-Einstellungen. Eine klare Grenze schützt die Website und verhindert, dass ein kleines Inhaltsproblem zu einer technischen Störung wird.

FAQ

Welche Zugänge gehören zur Übergabe einer WordPress-Website?

Das hängt vom vereinbarten Umfang ab. Typischerweise gehören ein persönlicher WordPress-Zugang, gegebenenfalls Hosting- und Domainzugang sowie Informationen zu E-Mail, Backups, Lizenzen und externen Diensten dazu. Nicht jeder Nutzer benötigt Administratorrechte. Übergib nur die Berechtigungen, die für die jeweilige Aufgabe erforderlich sind.

Soll der Dienstleister nach der Übergabe noch Administrator bleiben?

Nur wenn dafür weiterhin eine nachvollziehbare Betreuung vereinbart ist. Dann sollte ein persönliches oder eindeutig zugeordnetes Konto mit begrenzten Rechten genutzt werden. Wird keine weitere Betreuung benötigt, ist es sinnvoll, den Zugang zu entfernen oder die Berechtigung deutlich zu reduzieren.

Wie werden Passwörter sicher übergeben?

Nutze möglichst einen etablierten Passwortmanager oder einen anderen geschützten Übermittlungsweg. Der Kunde sollte das Passwort nach der ersten Anmeldung ändern und die Wiederherstellungsdaten kontrollieren. Passwörter sollten nicht gemeinsam mit einer vollständigen Zugangsdokumentation unverschlüsselt versendet werden.

Reicht ein Backup-Plugin für die Übergabe aus?

Ein Backup-Plugin kann ein wichtiger Bestandteil sein, ersetzt aber nicht die Prüfung des Sicherungsumfangs und der Wiederherstellung. Entscheidend ist, ob Datenbank, Dateien und benötigte Konfigurationen enthalten sind und ob der Kunde oder der zuständige Dienstleister weiß, wie die Sicherung verwendet wird.

Was passiert mit Premium-Plugins und Theme-Lizenzen?

Dokumentiere, auf welchen Namen oder welches Konto die Lizenz läuft, welche Website damit verbunden ist und wie Verlängerungen oder Updates erfolgen. Wenn die Lizenz beim Dienstleister bleibt, sollte der Kunde wissen, welche Funktionen davon abhängen und ob dafür eine weitere Vereinbarung notwendig ist.

Wie gehe ich mit individuellen Code-Anpassungen um?

Beschreibe Zweck, Speicherort, Abhängigkeiten und bekannte Grenzen. Vermeide Änderungen an WordPress-Core-Dateien. Für updatefähige Anpassungen kommen je nach Fall eigene Plugins, Child Themes oder Hooks infrage. Vor Änderungen an individuellen Funktionen sollten Sicherung und Testmöglichkeit vorhanden sein.

Was sollte bei WooCommerce zusätzlich geprüft werden?

Prüfe unter anderem Bestellabläufe, Zahlungs- und Versandkonfigurationen, E-Mail-Benachrichtigungen, Rollen, Steuer- und Produktdaten sowie angebundene externe Dienste. Teste mit geeigneten Testdaten und achte darauf, keine echten Zahlungen oder unnötigen Kundenbenachrichtigungen auszulösen.

Ist eine Schulung Teil der sicheren Übergabe?

Eine Schulung ist nicht zwingend erforderlich, aber häufig sinnvoll. Sie sollte sich an den tatsächlichen Aufgaben des Kunden orientieren: Inhalte bearbeiten, Medien verwalten, Benutzer pflegen oder Bestellungen kontrollieren. Technische Grenzen und der Ablauf bei Fehlern gehören ebenfalls in die Erklärung.

Fazit

Eine WordPress Kundenwebsite sicher zu übergeben ist ein strukturierter Prozess aus Bestandsaufnahme, Berechtigungsprüfung, Backup, Funktionstest und verständlicher Dokumentation. Besonders wichtig sind persönliche Konten, sichere Zugangskanäle, klare Zuständigkeiten und ein realistischer Wiederherstellungsweg. Wenn Du die Übergabe als nachvollziehbaren Prozess behandelst und offene Punkte transparent festhältst, erhält der Kunde nicht nur Zugang zur Website, sondern auch die Grundlage für einen verlässlichen Betrieb.