Für einfache Endkunden klingt es oft so, als müssten sie sich bei "Managed" Angeboten um nichts mehr technisches kümmern.
Nicht selten stellt sich sowas jedoch im Fall der Fälle als reines "Marketing Ding" heraus, so wie es z.B. hier auch völlig richtig von JABA-Hosting bezeichnet und erklärt wurde.
Daher sollte man sich explizit zusichern bzw. in den jeweiligen AGBs zeigen lassen, was im Detail z.B. unter "Sicherheit" oder "Wartung" usw. verstanden wird. Dabei nicht vergessen, wer wann wie genau z.B. nach einem Hack oder für ggf. nötig werdende Codeanpassungen von Plugins oder Themes oder beim Wechsel von PHP-Versionen zuständig ist. Oft muss man sich hier nämlich dann doch wieder selbst kümmern.
Normale automatische Updates ohne weitere Eingriffe kann WordPress selbst alleine von Haus aus.
Sicherheit gegen Hackerangriffe wird niemand anbieten können, solche Angriffe passieren täglich, stündlich, sekündlich von ständig welchselnden weltweiten Servern aus. Das besten Gegenmittel bei WordPress ist ein komplexes Kennwort und eine aktuelle Installation mit gepflegten Plugins/Theme bei einem Hosting mit aktueller Serversoftware.
Unter Performance versteht jeder gern etwas anderes. Hier sollte man am besten Anfragen mit konkreten Zahlen stellen, wieviele Besucher man in einem bestimmten Zeitraum hat, ob diese Besucher ein paar Seiten aus einem Cache lesen oder einen Shop mit zigtausend Artikeln nutzen, was die Installation sonst noch so macht, Newsletter verschicken, Datenimporte oder -exporte aus/in Warenwirtschaftssysteme usw., erst dann kann ein Anbieter dazu ein seriöses Angebot machen.
Einen "besten" Anbieter gibt es nicht. Wir betreuen Kunden bei den verschiedensten Anbietern, vom einfachsten Shared Hosting bis hin zu mehreren Servern für einen Kunden hinter Loadbalancer usw. - für den einen ist das eine das beste, für andere etwas anderes.