Kosten für WordPress-Sicherheit im Jahr 2026: Was Agenturen tatsächlich pro Website bezahlen

Wenn Sie 50 bis 500 WordPress-Kundenwebsites verwalten, haben Sie sich wahrscheinlich schon einmal das Sicherheits-Add-on WP Umbrella(ehemals Site Protect) angesehen und gedacht: „2 Dollar pro Website. Das summiert sich schnell.“ Das stimmt. Was diese 2 Dollar tatsächlich wert sind, hängt von einer Sache ab: Was passiert, wenn eine Sicherheitslücke Ihr Portfolio betrifft, bevor ein Patch verfügbar ist?

Virtuelles Patching ist die Lösung für diese Sicherheitslücke. Wenn eine Schwachstelle in einem Plugin bekannt wird, blockiert eine Firewall-Regel den Angriff zur Laufzeit – noch bevor der Entwickler einen Patch bereitstellt und noch bevor Ihre Kunden das Update genehmigen. Der anfällige Code bleibt unverändert; der Angriff kommt nie zum Tragen.

Die Gefahr ist real. Lautdem Whitepaper „State of WordPress Security in 2026“ von Patchstack wurden im Jahr 2025 im WordPress-Ökosystem 11.334 neue Sicherheitslücken entdeckt – ein Anstieg von 42 % gegenüber 2024 –, von denen 91 % in Plugins auftraten. Schlimmer noch: Für 46 % davon wurde von den Entwicklern nicht rechtzeitig vor der öffentlichen Bekanntgabe ein Patch bereitgestellt.

Dieser Artikel liefert die Preisangaben, die auf den Anbieterseiten fehlen: Was WP Umbrella , was jede seriöse Alternative bei 10, 50, 100 und 300 Websites verlangt und was Agenturen zusätzlich zu einem Posten von 2 $ in Rechnung stellen.

Wie viel kostet das WP Umbrella -Add-on?

Das Sicherheits-Add-on kostet 2 $ pro Website und Monat(2 €). Es wird zusätzlich zum Basisabonnement WP Umbrellaangeboten: 1,99 € pro Website und Monat (auf der Preisseite als 2,19 $ in USD angezeigt), wobei alle Plattformfunktionen enthalten sind. Keine Stufen, keine Funktionssperren, keine Lizenzgebühren. Für das Add-on ist ein kostenpflichtiger Tarif erforderlich; es wird nicht separat verkauft.

Bereits das Basisabonnement bietet eine Sicherheitsstufe, noch bevor Sie die zusätzlichen 2 $ ausgeben: alle 6 Stunden aktualisierte Schwachstellenüberwachung mit Ein-Klick-Updates zur Behebung, Sicherheitswarnungen zur Website-Integrität, das Aktivitätsprotokoll der Plattform sowie die Überwachung der Verfügbarkeit und von PHP-Fehlern. Das Add-on baut darauf mit drei Komponenten auf: einer von Patchstack betriebenen Firewall mit virtuellem Patching, einer standortspezifischen Sicherheitshärtung und einem sicherheitsorientierten Aktivitätsprotokoll. Mehr dazu weiter unten.

Zwei Preisangaben sind wichtiger als der Preis auf dem Preisschild.

Erstens ist der Preis pauschal. Zehn Websites kosten 20 Dollar pro Monat, 300 Websites kosten 600 Dollar pro Monat. Es gibt keine Mengenstufen, über die verhandelt werden muss, und keine Anrufe zur Angebotsanfrage: Die Kalkulation der Wartungspauschale erfolgt durch einfache Multiplikation und ist kein Beschaffungsprozess.

Zweitens erfolgt die Auswahl auf Einzelseitenebene. Sie aktivieren das Add-on Seite für Seite und nicht kontoweit. Schützen Sie die WooCommerce-Shops und die Kunden mit SLAs; lassen Sie die inaktiven Prospekt-Websites auf der Basisebene. Die Abrechnung richtet sich nach den Einstellungen.

Mehr als 10.000 Websites werden bereits mit aktiviertem Sicherheits-Add-on betrieben. Die vollständige Aufschlüsselung finden Sie auf derSeite zu den WordPress-Sicherheitsfunktionen.

Wie hoch sind die Kosten für Virtual Patching auf dem Markt im Jahr 2026?

In den meisten Vergleichen wird dieser Punkt übersehen: Virtuelles Patching basiert fast immer auf derselben Engine. Patchstack liefert die Informationen zu Sicherheitslücken, auf denen mehrere der unten aufgeführten Produkte basieren, darunter auch die eigene Firewall WP Umbrella. Sie entscheiden sich nicht für einen anderen Schutz, sondern für eine andere Verpackungsform: direkt gekauft, als Teil eines Sicherheits-Plugins, eines Hosting-Pakets oder der Plattform, auf der Ihre Wartungsverträge bereits laufen. Alle Preise wurden im Juli 2026 überprüft.

Patchstack, direkt erworben.Der„Developer“-Tarif kostet 69 US-Dollar pro Monat bei jährlicher Abrechnung, also 828 US-Dollar pro Jahr, und schützt standardmäßig bis zu 25 Websites. Darüber hinaus lässt sich die Kapazität für jeweils 5 weitere Websites um 12,50 US-Dollar pro Monat erweitern; darüber hinaus gibt es eine „Enterprise“-Stufe mit individuellen Preisen. Beim Direktkauf erhalten Sie die Firewall und den Feed. Updates, Backups, Überwachung und Kundenberichte werden weiterhin anderweitig bereitgestellt.

Wordfence Premium. 149 US-Dollar pro Jahr und Website, mit Mengenrabatten von bis zu 25 %. Es handelt sich um ein umfassendes Sicherheits-Plugin mit eigenem Scanner und eigener Firewall, das pro Website lizenziert wird, sodass die Kosten linear mit Ihrem Portfolio steigen.

Sucuri.Die„Basic“-Plattform kostet 229 US-Dollar pro Jahr, und jedes Abonnement gilt für genau eine Website; bei mehr als 10 Websites ist ein individuelles Angebot erforderlich. Ein Lob ist angebracht: Sucuri bietet die Beseitigung von Malware an, was in dieser Tabelle sonst fast niemand tut.

PerfGrid.EinSicherheits-Add-on ab 4 € pro Monat und Website, das ebenfalls auf Patchstack basiert. Der Haken: Es ist ausschließlich im Rahmen der Hosting-Pakete von PerfGrid verfügbar, sodass der tatsächliche Preis die Umstellung Ihres Hostings beinhaltet.

Kadence-Pakete (Liquid Web).Die ehemalige Solid Security-Produktreihe ist nun in denPaketen „Kadence Pro“ (299 US-Dollar pro Jahr) und „Elite“ (499 US-Dollar pro Jahr) enthalten, deren Sicherheitssuite eine Firewall, 2FA und virtuelles Patching auf Basis von Patchstack umfasst. Die Anzahl der unterstützten Websites wird nicht veröffentlicht, sodass eine genaue Angabe pro Website nicht möglich ist.

WP Umbrella.Das Sicherheits-Add-on für 2 US-Dollar pro Website und Monat bzw. 24 US-Dollar pro Website und Jahr – zu einem Pauschalpreis unabhängig von der Größe – integriert in die Wartungsinfrastruktur, die Sie bereits betreiben.

Die eigentliche Frage lautet selten „Welche Firewall?“. Es geht vielmehr darum, ob Sie die Patchstack-Funktionen als eigenständiges System nutzen möchten oder als eine 2-Dollar-Option innerhalb der Plattform, die Sie bereits einsetzen.

Kosten pro Standort bei 10, 50, 100 und 300 Standorten

Anbieter veröffentlichen Preise für einzelne Websites. Agenturen kaufen Portfolios. Hier sehen Sie, was ein Jahr auf Agentur-Ebene tatsächlich kostet, basierend auf den oben genannten Preisen vom Juli 2026.

Produkt	10 Standorte	50 Standorte	100 Standorte	300 Standorte
WP Umbrella -Add-on	$240	$1,200	$2,400	$7,200
Patchstack-Entwickler (direkt)	828 $ (1)	$1,578	$3,078	9.078 $ (2)
Wordfence Premium (Liste)	1.490 $ (3)	$7,450	$14,900	$44,700
Sucuri Basic (hochgerechnet)	2.290 $ (4)	$11,450	$22,900	$68,700
PerfGrid-Sicherheits-Add-on	ab 480 € (5)	ab 2.400 €	ab 4.800 €	ab 14.400 €
Kadence-Pakete (Liquid Web)	299 $ Pro / 499 $ Elite, pauschal (6)	nicht veröffentlicht	nicht veröffentlicht	nicht veröffentlicht

1. Der Entwickler umfasst bis zu 25 Standorte; für 10 Standorte fallen weiterhin die vollen 828 Dollar an, also 82,80 Dollar pro Standort.
2. Bei 300 Standorten unterbietet die individuell kalkulierte Enterprise-Stufe von Patchstack wahrscheinlich die Berechnungen der Konkurrenz; zu verstehen als „ab“.
3. Listenpreise. Bei Mengenrabatten von bis zu 25 % belaufen sich die Kosten für 50, 100 bzw. 300 Standorte auf etwa 5.588 $, 11.175 $ und 33.525 $.
4. Hochgerechnet: Jeder Sucuri-Tarif gilt für eine Website; bei mehr als 10 Websites erfolgt die Abrechnung auf Angebotsbasis.
5. Preis „ab“; erfordert Hosting auf PerfGrid.
6. Pauschalpreis für das Paket, Standortzuschlag nicht veröffentlicht; eine ehrliche Berechnung pro Standort ist nicht möglich.

Bei der Berechnung pro Standort unterscheiden sich die Modelle. Bei 10 Standorten beläuft sich der Preis für Patchstack Direct auf 82,80 US-Dollar pro Standort und Jahr, während WP Umbrella24 US-Dollar WP Umbrella, da durch die Pauschale für 25 Standorte kleine Portfolios für Kapazitäten bezahlen, die sie gar nicht nutzen. Ab 100 Standorten liegt der Preis bei Patchstack Direct bei etwa 31 US-Dollar pro Standort, während Lizenzen pro Standort wie bei Wordfence weiterhin bei 149 US-Dollar (Listenpreis) bleiben.

Der Preis WP Umbrellabeträgt in jeder Zeile 24 US-Dollar, da es keine Staffelpreise gibt, und aufgrund der standortbezogenen Auswahl fällt die tatsächliche Rechnung oft niedriger aus: Man multipliziert lediglich mit der Anzahl der zu schützenden Standorte.

Was man für diese 2 Dollar tatsächlich bekommt: drei Komponenten

1. Eine Firewall mit virtuellem Patching.Wenn eine Sicherheitslücke bekannt wird und noch kein Patch verfügbar ist, blockiert eine Regel, die auf den Forschungsergebnissen von Patchstack basiert, den Exploit auf PHP-Ebene, noch bevor WordPress vollständig geladen ist. Die genaue Funktionsweiseist inder Erklärung zum virtuellen Patching in WordPress beschrieben. Eine Übersichtsansicht zeigt blockierte Angriffe, die häufigsten Angreifer-IPs und die am häufigsten ausgelösten Regeln an, sodass der Schutz nicht nur theoretisch, sondern auch sichtbar ist. Dies ersetzt eine Sicherheits-Plugin-Lizenz pro Website.

2. Sicherheitsoptimierung pro Website.Die Optimierungsregeln, die WP Umbrella im Hintergrund automatisch angewandt WP Umbrella , sind nun als Schalter pro Website sichtbar; die erste Reihe wurde im Juli 2026 veröffentlicht, weitere folgen. Empfohlene Schalter werden automatisch aktiviert, sobald Sie das Add-on aktivieren; zwei bleiben bewusst deaktiviert (Anwendungspasswörter und REST-API-Einschränkung), da sie legitime Integrationen beeinträchtigen könnten. Dies ersetzt manuelle Bearbeitungen der .htaccess-Datei und Einzweck-Plugins zur Absicherung.

3. Ein sicherheitsorientiertes Aktivitätsprotokoll.Während das Aktivitätsprotokoll der Basisplattform aufzeichnet, was innerhalb WP Umbrella geschieht, überwacht dieses die WordPress-Seiten selbst: Brute-Force-Angriffe, massenhaftes Löschen von Inhalten, Ausweitung von Berechtigungen, ungewöhnliche Anmeldestandorte, Änderungen der Dateiintegrität bei Kern- und Theme-Dateien sowie kritische Einstellungsänderungen – jeweils mit forensischen Daten zu Konto, IP-Adresse und Zeitachse. Dies ersetzt ein Audit-Log-Plugin und liefert Ihnen eine erste forensische Spur.

4. Ein Malware-Scanner: Er deckt bekannte beschädigte Dateien und Tabellen auf.

Die Einrichtungskosten betragen praktisch null: Das Add-on erfordert keine Konfiguration, um zu starten, und alles lässt sich anschließend für jede Website individuell anpassen.

Lohnt sich das Sicherheits-Add-on für Agenturen, die mehrere Websites verwalten?

Der Wert hängt vom Patch-Fenster ab. Da für 46 % der neuen Sicherheitslücken zum Zeitpunkt der Offenlegung noch kein Fix des Entwicklers vorliegt, gibt es am ersten Tag oft nichts zu aktualisieren. Für die am häufigsten angegriffenen Schwachstellen gibt das Whitepaper von Patchstack die gewichtete Medianzeit bis zum ersten Exploit-Versuch mit 5 Stunden an, und 1.966 der Schwachstellen des Jahres 2025 (17 %) wiesen einen hohen Schweregrad auf – genau die Art von Schwachstellen, die bei automatisierten Massenangriffen ausgenutzt werden. Angreifer automatisieren, Behörden koordinieren. Virtuelles Patching schließt die Lücke.

Wann sich das Sicherheits-Add-on lohnt

• Agenturen, die Updates schrittweise einführen.Wenn Ihr Arbeitsablauf Tests, Freigabefristen seitens der Kunden oder geplante Wartungstage umfasst, befinden Sie sich naturgemäß innerhalb des Sicherheitslückenfensters. Genau diese Lücke schließt das virtuelle Patching.
• Agenturen, die WooCommerce-Shops betreiben.E-Commerce-Websites sind besonders wertvolle Ziele: Ein kompromittierter Shop birgt Risiken in Form von Zahlungsdatenlecks, Rückbuchungen und rechtlicher Haftung. 2 US-Dollar pro Website sind eine günstige Versicherung gegen diese Art von Vorfällen.
• Agenturen mit hochkarätigen Kunden.Größere Kunden erwarten Prävention und nicht nur Erkennung. Die Aktivitäten des Add-ons werden in den Sicherheitsabschnitten Ihrer Kundenberichte angezeigt, sodass der Sicherheitsstatus dokumentiert und nicht nur behauptet wird.
• Agenturen mit mehr als 100 Standorten.Eine einzige Sicherheitsmeldung kann Dutzende von Kunden gleichzeitig betreffen. Die Koordination von 200 Notfall-Updates an einem Nachmittag ist kein Betriebsplan; eine Regel, die die Sicherheitslücke portfolioweit blockiert, hingegen schon.

Da das Add-on pro Website gilt, lässt sich die Frage, ob es sich „lohnt“, nicht auf Kontoebene beantworten. Aktivieren Sie es dort, wo das Risiko besteht, und überlassen Sie die Überwachung der „ruhigen“ Hälfte des Portfolios der Basisplattform.

Wenn Sie das nicht benötigen

Ein ehrlicher Artikel zum Thema Preisgestaltung muss auch die andere Seite beleuchten. Verzichten Sie auf das Zusatzmodul oder schränken Sie dessen Umfang ein, wenn:

• Bei den Websites handelt es sich um Hobbyprojekte.Websites mit geringem Besucheraufkommen und ohne Kundenerwartungen rechtfertigen diesen Posten nicht in demselben Maße wie Kunden-Websites.
• Ihre Sorge gilt DDoS-Angriffen.Das ist eine Aufgabe der Edge-Ebene. Die Firewall des Add-ons arbeitet auf Anwendungsebene und wird parallel zu einem CDN-Dienst wie Cloudflare betrieben, anstatt diesen zu ersetzen.

Das bedeutet keineswegs, dass virtuelles Patching überteuert ist. Es bedeutet lediglich, dass man für diese 2 Dollar eine bestimmte Leistung erhält, und man sollte wissen, ob man diese Leistung benötigt, bevor man den Betrag mit der Anzahl der Standorte multipliziert.

Die Rechnung hinter dem Pflegeplan: Was die Träger für einen Posten von 2 Dollar in Rechnung stellen

Die Kosten machen nur die Hälfte der Preisfrage aus. Die andere Hälfte besteht darin, dass Agenturen Sicherheitsleistungen nicht selbst in Anspruch nehmen, sondern im Rahmen von Betreuungspaketen weiterverkaufen.

Führen Sie das Beispiel durch. Fünfzig Standorte mit aktiviertem Add-on kosten 100 Dollar pro Monat. Agenturen, die eine Sicherheitsoption in ihren Wartungsverträgen anbieten, berechnen dafür üblicherweise 15 bis 25 Dollar pro Standort und Monat, was bei denselben 50 Standorten monatliche Kosten von 750 bis 1.250 Dollar ergibt. Die Differenz entspricht der Marge für die von der Infrastruktur erbrachten Leistungen: Abdeckung des Patch-Fensters, Absicherung und ein forensisches Protokoll, das die Frage „Was ist passiert?“ beantwortet, noch bevor ein Kunde danach fragt.

Die Marge ist nur dann vertretbar, wenn der Kunde das Ergebnis sieht. Die Kundenberichte WP Umbrellaenthalten Abschnitte zur Sicherheit, sodass abgewehrte Angriffe und der Stand der Absicherung in dem Dokument aufgeführt sind, das das Honorar rechtfertigt. Ein Posten, den der Kunde sehen kann, wird verlängert; ein unsichtbarer wird wegverhandelt.

Die standortspezifische Selektivität lässt sich nahtlos auf die Tarifstufen übertragen. Ordnen Sie den Schutz der Premium-Versorgungsstufe zu und legen Sie den Preis entsprechend fest; belassen Sie die Standardstufe im Überwachungsumfang der Basisplattform. Ihre Kostenstruktur spiegelt dann Ihr Produktangebot wider, anstatt diesem entgegenzuwirken.

Sicherheitsanbieter berechnen ihre Preise pro Standort und nach Aufwandsstufen. Kaum einer stellt diesen Posten so dar, wie ihn eine Agentur erlebt: als Umsatzposition mit Warenkosten in Höhe von 2 $. Deshalb ist der Pauschalpreis so wichtig; dank vorhersehbarer Kosten lässt sich eine Margenzusage sicher in ein Angebot aufnehmen.

Wie hoch ist der ROI von Virtual Patching für WordPress-Agenturen?

Bewerten Sie zunächst einen Vorfall – und zwar in Stunden statt in Schlagzeilen.

Eine gehackte Kundenwebsite erfordert in der Regel 5 bis 15 Expertenstunden: Triage, Bereinigung, Suche nach dem Angriffspunkt, erneute Absicherung sowie die gesamte damit verbundene Kommunikation mit dem Kunden. Beidem von Codeable veröffentlichten Stundensatz von 80 bis 120 US-Dollar für geprüfte WordPress-Experten belaufen sich die Arbeitskosten pro Vorfall auf etwa 400 bis 1.800 US-Dollar – und dabei sind Reputationsschäden und unangenehme Telefonate noch nicht einmal berücksichtigt.

Der Markt bewertet genau diese Angst als Produkt: „Wordfence Response“, die Stufe für die Reaktion auf Vorfälle auf der oben verlinkten Tarifseite, kostet 1.250 US-Dollar pro Jahr für eine einzelne Website. Das ist der Preis, zu dem „jemand, der hilft, wenn etwas schiefgeht“ als eigenständiges Produkt angeboten wird.

Wechseln Sie jetzt um. Das Sicherheits-Add-on kostet 24 US-Dollar pro Standort und Jahr, sodass die Arbeitskosten für einen einzigen Vorfall etwa 17 bis 75 Standortjahren entsprechen. Wenn Sie in einem Jahr einen Vorfall in einem Portfolio mit 100 Standorten verhindern, haben sich die Ausgaben in Höhe von 2.400 US-Dollar bereits amortisiert. Das Risiko ist nicht hypothetisch: 46 % der bekannt gewordenen Sicherheitslücken werden ohne Patch ausgeliefert, sodass eine Sicherheitslücke entsteht, egal wie gut Ihr Update-Prozess ist.

Es gibt aber auch einen weniger auffälligen Vorteil: Konsolidierung. Das Add-on nutzt eine Infrastruktur, die bereits für Updates, Backups, Überwachung und Kundenberichte zuständig ist, sodass die Kosten von 24 US-Dollar als zusätzliche Kosten anfallen und nicht als Kosten für ein weiteres System, das lizenziert und betrieben werden muss. Die obige Tabelle verdeutlicht den Unterschied: Bei 100 Standorten belaufen sich die Kosten für eine eigenständige Lizenzierung pro Standort auf 11.175 bis 14.900 US-Dollar pro Jahr, gegenüber 2.400 US-Dollar.

Die Rechnung ist nicht besonders kompliziert. Das war sie nie; es fehlte lediglich die Tabelle mit den Angaben pro Standort.

Kosten für virtuelles Patching: Die endgültige Antwort

Drei Zahlen entscheiden darüber.

• Der Preis:1,99 € pro Website und Monat für die WP Umbrella , zuzüglich 2 $ pro Website und Monat für das Sicherheits-Add-on – pauschal unabhängig vom Umfang, aktiv nur auf den Websites, die es benötigen.
• Der Markt:An 100 Standorten reichen die Preise für einen vergleichbaren Schutz von etwa 31 US-Dollar pro Standort und Jahr bei Direktkauf bis zu 149 US-Dollar (Listenpreis) pro Standort als Plugin-Lizenz, wobei Preise, die nur auf Anfrage erhältlich sind, darüber liegen.
• Der Nachteil:Ein Vorfall verursacht Kosten in Höhe von 400 bis 1.800 Dollar für Fachpersonal oder entspricht 17 bis 75 Standortjahren an Versicherungsschutz.

Für Agenturen, die in großem Maßstab arbeiten, bedeutet die Aktivierung des Add-ons für den exponierten Teil des Portfolios, dass eine Variable aus einem ohnehin schon komplexen System entfernt wird. Sie erwerben keine Funktion. Sie erwerben Stabilität in den Stunden, bevor Patches eintreffen und Updates bereitgestellt werden.

Starten Sie Ihre kostenlose Testphase. 14 Tage, alle Funktionen, keine Kreditkarte erforderlich.

Lesen Sie als Nächstes den vollständigenWordPress-Sicherheitsleitfaden 2026.