WordPress
WordPress ist das am weitesten verbreitete System, mit dem Webseiten gepflegt werden. Es kostet nichts, fast jeder Dienstleister kennt es, und es lässt sich mit Erweiterungen für nahezu jeden Zweck ausbauen. Genau diese Verbreitung macht regelmäßige Aktualisierungen zur Pflicht, denn ungepflegte Installationen werden automatisiert angegriffen, ohne dass es jemand persönlich auf Ihren Betrieb abgesehen hätte.
Was das genau bedeutet
Ein Fitnessstudio hat mehr Türen, als der Tresen vermuten lässt. Den Haupteingang. Hinten die Anlieferung. Am Kursraum einen Notausgang. Und seit dem Umbau vor drei Jahren eine Verbindungstür zur Nachbareinheit, deren Schlüssel niemand mehr sicher zuordnen kann. Jede dieser Türen war einmal eine gute Idee und wurde von jemand anderem eingebaut.
WordPress selbst ist der Haupteingang: solide gebaut, von vielen Menschen betreut, laufend nachgebessert. Jede Erweiterung, im Fachjargon Plugin, ist eine weitere Tür. Terminbuchung, Bildergalerie, Cookie-Hinweis, Kontaktformular, Newsletter. Dasselbe gilt für die Gestaltungsvorlage, das Theme. Diese Zusätze stammen von verschiedenen Anbietern, und die kümmern sich unterschiedlich sorgfältig um ihre Türen.
Weil so viele Gebäude nach demselben Bauplan errichtet sind, lohnt es sich, nachts reihum an allen Klinken zu rütteln. Das erledigen Programme, tausendfach, rund um die Uhr, ohne dass jemand Ihren Namen kennt. Deshalb trifft es auch den Zweipersonenbetrieb aus dem Nachbarort. Nichts Persönliches, reine Statistik.
Warum das für Ihr Unternehmen zählt
Der große Vorteil ist Ihre Unabhängigkeit. Weil das System so verbreitet ist, kann praktisch jeder Dienstleister eine bestehende Seite übernehmen. Sie sind an keine einzige Firma gebunden, und wenn die Zusammenarbeit endet, endet nicht Ihre Webseite.
Der Preis dafür steht in der laufenden Rechnung. Betreuung ist bei diesem System kein Zusatz für Anspruchsvolle, sondern Bestandteil der Betriebskosten, so wie die Prüfung des Feuerlöschers. Wer den Anschaffungspreis vergleicht und die Betreuung wegdenkt, vergleicht zwei verschiedene Dinge.
Der Schaden sieht dabei selten so aus, wie man befürchtet. Meistens werden gar keine Daten gestohlen. Stattdessen wird Ihre Seite für fremde Zwecke benutzt: versteckte Werbelinks, Weiterleitungen auf dubiose Angebote, Massenmails über Ihren Server. Merken werden Sie es woanders: Google blendet eine Warnung ein, und Ihre Geschäftsmails landen im Spam-Ordner.
So gehen Sie vor
- Lassen Sie sich eine Bestandsliste geben. Welche Erweiterungen laufen, von wem stammen sie, wann wurde jede zuletzt aktualisiert? Diese Liste zieht die Person, die Ihre Seite betreut, in wenigen Minuten aus dem System. Was seit über einem Jahr keine Aktualisierung gesehen hat, gehört auf den Prüfstand.
- Werfen Sie ab, was Sie nicht benutzen. Die Galerie von der alten Seite, das Buchungswerkzeug aus dem Versuch von 2022, drei nicht verwendete Gestaltungsvorlagen. Wichtig: Abschalten genügt nicht, die Dateien liegen weiter auf dem Server. Sie müssen entfernt werden.
- Vereinbaren Sie einen festen Rhythmus statt einzelner Notrufe. Sinnvoll ist monatlich: Sicherung anlegen, Aktualisierungen einspielen, danach ein Blick auf Startseite, Kontaktformular und eine Leistungsseite. Dieser letzte Blick wird gern vergessen und ist der einzige, der Fehler zeigt.
- Sorgen Sie für einen erprobten Rückweg. Tägliche Sicherungen, die nicht auf demselben Server liegen wie die Seite. Und mindestens einmal eine Übung, bei der die Wiederherstellung wirklich durchgespielt wird. Eine Sicherung, die nie zurückgespielt wurde, ist eine Hoffnung, kein Notfallplan.
- Geben Sie jedem Menschen ein eigenes Konto. Kein gemeinsamer Zugang, den vier Leute benutzen und ein ausgeschiedener Praktikant auch noch kennt. Wer nur Beiträge schreiben soll, braucht keine Verwalterrechte. Schalten Sie zusätzlich die Bestätigung per zweitem Gerät ein, das ist die wirksamste Einzelmaßnahme überhaupt.
Typische Fehler
Vier Sätze, die uns bei diesem System besonders oft begegnen.
WordPress ist doch kostenlos, warum kostet die Betreuung dann Geld?
Kostenlos ist die Software, nicht der Betrieb. Ein gebrauchter Transporter kann geschenkt sein, TÜV und Ölwechsel fallen trotzdem an. Bezahlt werden Aktualisierungen, Sicherungen, Kontrolle und die Bereitschaft, im Ernstfall innerhalb eines Tages zu reagieren.
Meine Seite läuft seit Jahren ohne Aktualisierung, warum jetzt?
Weil eine übernommene Seite meistens weiterläuft, als wäre nichts. Sie wird nicht abgeschaltet, sie wird benutzt. Auffällig wird es Wochen später, wenn Suchmaschinen eine Warnung anzeigen oder der Mailversand blockiert wird. Bis dahin sieht alles normal aus.
Für jedes Problem gibt es eine Erweiterung, was spricht dagegen?
Jede zusätzliche Erweiterung ist eine weitere Tür und ein weiterer Anbieter, auf den Sie sich verlassen. Viele Aufgaben lassen sich ohne Zusatz lösen, ein Kontaktformular etwa. Unsere Faustregel: Was Sie nicht mindestens monatlich brauchen, kommt nicht hinein.
Wer sollte es ausgerechnet auf meine kleine Seite abgesehen haben?
Niemand, und genau das ist der Punkt. Es sucht kein Mensch nach Ihnen, sondern ein Programm nach einer bekannten Schwachstelle. Ob dahinter eine Bäckerei oder ein Konzern steht, spielt für dieses Programm keine Rolle. Kleine Seiten sind sogar beliebter, weil sie seltener gepflegt werden.
Verwandte Begriffe
Wie wir damit umgehen
Wir setzen dieses System nicht überall ein, sondern dort, wo laufend Inhalte dazukommen. Wenn es passt, halten wir eine feste Reihenfolge ein: erst Sicherung, dann Einspielen auf einer nicht öffentlichen Kopie, dann auf die echte Seite, dann Sichtprüfung auf fünf festgelegten Seiten. Dazu kommt ein Punkt, den sonst kaum jemand macht: Einmal im Quartal schreiben wir Ihnen auf, welche Erweiterung Sie eigentlich nicht mehr brauchen. Jede entfernte Tür ist eine, die niemand mehr bewachen muss.
Wann wurde Ihre Seite zuletzt aktualisiert?
Auf unserer Wartungsseite steht, was wir monatlich tun, in welcher Reihenfolge und wie wir im Ernstfall zurückspielen. Der Sichtbarkeits-Check ist etwas anderes: Er sieht sich Ihre Seite technisch und inhaltlich an, prüft aber keine Sicherheitslücken.