WordPress-Wartungsplan: Updates, Backups, Sicherheit

Es gibt vier Teile. Aktualisieren bedeutet, Kernsoftware, Plugins und Theme auf neue Versionen zu bringen. Sichern bedeutet, eine Kopie sowohl der Dateien als auch der Datenbank an einem sicheren Ort aufzubewahren. Sicherheit bedeutet, bekannte Lücken zu schließen, Benutzerkonten und Berechtigungen zu überprüfen und nach verdächtiger Aktivität zu suchen. Überwachung bedeutet, zu beobachten, ob die Website erreichbar ist, ob Formulare funktionieren und wie sich Kennzahlen wie die Geschwindigkeit halten.

Die vier hängen voneinander ab. Wird vor einem Update kein Backup erstellt, lässt sich ein fehlerhaftes Update womöglich nicht mehr rückgängig machen. Ohne Überwachung fällt ein durch ein Update verursachter Defekt erst auf, wenn sich ein Besucher beschwert. Der Plan sollte deshalb als Ganzes gedacht werden, nicht Teil für Teil.

WordPress-Kern, Plugins und Themes veröffentlichen regelmäßig Updates, und einige davon schließen Sicherheitslücken. Updates lange liegen zu lassen bedeutet, eine bekannte Lücke offen zu lassen. In der Praxis hängt der Abstand davon ab, wie kritisch die Website ist; stark genutzte Websites, die Bestellungen annehmen, rechtfertigen kürzere Abstände.

Updates werden nicht direkt auf die Live-Website angewendet. Zuerst wird ein Backup erstellt, das Update wird nach Möglichkeit an einer Testkopie mit gleichem Aufbau ausprobiert, und nur wenn nichts kaputtgeht, geht es live. Diese Reihenfolge macht vor allem bei Websites mit vielen voneinander abhängigen Plugins den Unterschied, denn die neue Version eines Plugins kann mit einem anderen kollidieren.

Eine kurze Checkliste nach jedem Update gehört zur Arbeit: Öffnet sich die Startseite, verschickt das Kontaktformular eine Nachricht, funktioniert der Bezahlvorgang? Diese drei Fragen zeigen, ob ein Update stillschweigend etwas beschädigt hat.

Ein gutes Backup hat drei Eigenschaften: Es wird regelmäßig erstellt, es liegt getrennt vom eigenen Server der Website, und die Wiederherstellung wurde getestet. Ein Backup auf demselben Server geht mit der Website unter, wenn der Server ausfällt oder angegriffen wird. Es muss an einem anderen Ort liegen.

Wie oft gesichert wird, hängt davon ab, wie oft sich die Website ändert. Für eine Visitenkarten-Website, die einige Male im Jahr aktualisiert wird, können seltene Backups genügen; für einen Shop, der jeden Tag Bestellungen annimmt, muss die Datenbank viel häufiger gesichert werden. Maßstab ist, wie viel Zeit Sie sich zu verlieren leisten können.

Der Wiederherstellungstest ist der am häufigsten übersprungene Schritt. Wenn ein Backup existiert, sich aber nicht öffnen lässt, gibt es kein Backup. In festen Abständen in eine Testumgebung zurückzuspielen und zu sehen, wie die Website hochkommt, ist der einzige Beweis dafür, dass der Plan funktioniert.

Sicherheit ist keine Einstellung, die man einmal vornimmt und dann abhakt, sondern eine Kontrolle, die in Abständen wiederholt wird. Die meisten Angriffe kommen über bekannte Lücken in veralteten Plugins oder über Administratorkonten mit schwachen Passwörtern. Die Liste der Routinearbeiten ist deshalb kurz und konkret; die folgenden Punkte bilden für die meisten Websites die Grundlage.

Die Überwachung beginnt mit einer Prüfung von außen, ob die Website erreichbar ist. Fällt die Website aus oder zeigt eine Fehlerseite, muss jemand benachrichtigt werden. Hinzu kommt der regelmäßige Test des Kontaktformulars und, falls vorhanden, des Bezahlvorgangs, denn ein Formular kann auch bei erreichbarer Website lautlos versagen.

Geschwindigkeit sowie Ablaufdaten von Domain und Zertifikat gehören ebenfalls zur Überwachung. Ein abgelaufenes Zertifikat zeigt Besuchern einen Warnbildschirm. Diese Daten an einen Kalender zu binden, ist einer der einfachsten und nützlichsten Überwachungsschritte.

• Nicht genutzte Plugins und Themes entfernen
• Administratorkonten und Berechtigungen überprüfen
• Starke Passwörter und Zwei-Schritt-Verifizierung vorschreiben
• Nach schädlichem Code scannen
• Anmeldeversuche begrenzen

Der häufigste Fehler ist, die Wartung aufzuschieben, bis eine Krise eintritt. Updates stauen sich, Plugins geraten aus dem Takt, und schließlich zerstört ein einziges großes Update die Website. Kleine regelmäßige Schritte sind sicherer als seltene große.

Der zweite Fehler ist, ungenutzte Plugins zu belassen. Ein deaktiviertes, aber noch installiertes Plugin kann ebenfalls eine Lücke enthalten. Der dritte ist, einem Backup zu vertrauen, das nie getestet wurde. Der vierte ist, unklar zu lassen, wer die Wartung übernimmt: Wenn alle annehmen, dass es jemand anderes tut, tut es niemand. Der Plan sollte schriftlich vorliegen, und jede Aufgabe sollte einen Verantwortlichen haben.

Schließlich ist es ein häufiger Irrtum, die Überwachung für überflüssig zu halten. Fällt die Website nachts aus und bemerkt es bis zum Morgen niemand, gehen die Besucher und Bestellungen dieser Stunden verloren. Schon eine einfache Erreichbarkeitsüberwachung senkt dieses Risiko spürbar.

Wartung ist auf einem soliden Fundament sinnvoll. Beruht die Website auf einem alten Theme, aufgegebenen Plugins und unordentlichem eigenem Code, verzögert regelmäßige Pflege das Problem, löst es aber nicht. Auf einer solchen Website ist jedes Update ein Risiko, und die Kosten der Pflege nähern sich mit der Zeit den Kosten eines Neuaufbaus.

Auch die Verbindung zwischen Website und Geschäft sollte überprüft werden. Wenn WordPress den Bedarf der Website nicht mehr erfüllt, etwa weil komplexe Produktlogik oder eigene Arbeitsabläufe nötig sind, kann es richtiger sein, den Aufbau zu überdenken, statt die Wartung fortzusetzen. Diese Entscheidung kann auch aus dem Wartungsplan selbst hervorgehen: Sobald er regelmäßige Berichte liefert, wird sichtbar, wo sich die Probleme häufen.