WordPress Wartung & Support in Bielefeld

Die meisten WordPress-Seiten tragen Plugins mit sich, die niemand mehr bewusst ausgewählt hat. Eines stammt von der Agentur, die den Relaunch gebaut hat, eines von einem Mitarbeiter, der längst gegangen ist, und eines läuft mit einer Lizenz, deren Ablauf keiner im Kalender hat. Deshalb steht im Mittelpunkt meiner WordPress-Wartung für Bielefelder Unternehmen die Plugin-Inventur. Ich bin ein einzelner Entwickler aus Gdynia und arbeite remote und schriftlich, ohne Termine vor Ort und ohne Telefonate.

#Warum die Inventur vor dem ersten Update kommt

Ein Update einspielen kann jeder. Schwieriger ist die Frage, welche Plugins überhaupt noch eine Zukunft haben. Ein geschlossenes Plugin bekommt kein Update mehr, egal wie oft Sie auf den Knopf drücken. Eine abgelaufene Lizenz lässt Premium-Updates ausbleiben, ohne dass die Seite sichtbar etwas anzeigt. Beides fällt erst auf, wenn jemand den Bestand einmal vollständig anschaut.

Foto: Bielibob, CC BY-SA 3.0, Wikimedia Commons.

#Was WordPress.org bei einer Schließung tut

Die FAQ des Plugin-Teams beschreibt, was mit einem geschlossenen Plugin passiert:

• Die Plugin-Seite zeigt den Status als geschlossen, und es werden keine ZIP-Dateien mehr erzeugt.
• Niemand kann es über die Website herunterladen oder im WordPress-Backend installieren.
• Der Code im SVN-Repository bleibt zugänglich, damit andere ihn forken können.
• Nach 60 Tagen nennt der Hinweis den Grund in groben Kategorien, etwa Richtlinienverstoß oder Sicherheit, aber ohne Details.

Als Gründe nennt das Team Richtlinienverstöße, Sicherheitsprobleme oder den Wunsch des Autors. Ein Plugin, dessen Readme sich selbst als veraltet bezeichnet, kann es ohne Benachrichtigung schließen. Für Ihre Seite folgt daraus: Ein bereits installiertes, geschlossenes Plugin läuft zunächst weiter. Es bekommt aber keine Fixes mehr, und eine Neuinstallation aus dem Backend ist nicht möglich.

Ein weiterer Fall steht in derselben FAQ. Wird der Inhaber eines Plugins gesperrt und gibt es keinen neuen, können Nutzer keine Updates mehr erhalten, was das Team ausdrücklich als Sicherheitsrisiko nennt. Je nach Verbreitung wird das Plugin dann geschlossen, an die Community übergeben oder von einem neuen Nutzer übernommen. Übernahmen verwaister Plugins sind laut FAQ möglich, aber ohne Garantie. Auf eine Übernahme verlasse ich mich bei einem produktiven Plugin deshalb nie.

#Die Inventur: so entsteht die Liste

Ich beginne mit einer vollständigen Liste, nicht mit der Plugin-Seite im Backend, die nur einen Teil zeigt. WP-CLI kann Plugins mit Status, Version und Update-Stand ausgeben, außerdem inaktive und Must-Use-Plugins. Unter den optionalen Feldern stehen unter anderem tested_up_to, requires_php, wporg_status und wporg_last_updated. Mit wp plugin verify-checksums --all lassen sich die Dateien aller Plugins gegen die Prüfsummen von WordPress.org abgleichen. Abweichungen sind kein Beweis für einen Angriff, aber ein Grund, nachzusehen. Wo kein SSH-Zugang besteht, arbeite ich die Liste im Backend ab und trage die Angaben von Hand ein.

Daraus entsteht eine Tabelle, die Sie auch ohne mich pflegen können:

Das Feld “Tested up to” beschreibt, gegen welche WordPress-Version der Autor getestet hat. Es ist eine Angabe des Autors, kein Prüfsiegel. Ich verwende es als Hinweis für die Reihenfolge, in der ich Plugins ansehe.

#Premium-Plugins und Lizenzen

Plugins von Herstellern außerhalb des Verzeichnisses holen ihre Updates über einen eigenen Kanal. Seit WordPress 5.8 gibt es dafür den Header Update URI. Er verhindert laut der Entwicklernotiz, dass ein Plugin mit eigenem Update-Kanal versehentlich durch ein gleichnamiges Plugin aus dem WordPress.org-Verzeichnis überschrieben wird. Für Sie heißt das: Ein solches Plugin bekommt Updates nur vom Hersteller.

Was bei abgelaufener Lizenz passiert, steht in den Lizenzbedingungen des jeweiligen Herstellers und unterscheidet sich von Plugin zu Plugin. Ich lese sie deshalb einzeln und trage in die Inventur ein:

1. Wann läuft die Lizenz ab, und auf wen ist sie registriert?
2. Liefert der Hersteller nach Ablauf weiter Sicherheitsfixes, oder endet mit der Lizenz jede Lieferung?
3. Gibt es eine gepflegte Alternative, und was kostet der Umstieg an Arbeitszeit?

Die Verlängerung bezahlen und verwalten Sie, ich lege die Entscheidung mit den drei Punkten schriftlich vor. Lizenzschlüssel gehören in Ihren Besitz. Ich brauche sie nur für die Dauer eines Updates und bewahre sie nicht dauerhaft bei mir auf.

#Ersetzen oder entfernen: auf Staging, nie live

Die WordPress-Dokumentation empfiehlt, vor jedem Plugin-Update ein aktuelles Backup zu haben, weil beim Update Probleme auftreten können. Als sicheren Weg zum Entfernen nennt sie, das Plugin im Backend zu deaktivieren und dann zu löschen. Auf einer Live-Seite mit Formularen oder Shop ist das allein zu knapp, denn kein Backend-Knopf zeigt, welche Seite danach nicht mehr funktioniert. Mein Ablauf:

1. Backup außerhalb des Hosting-Kontos ziehen und das Zurückspielen auf der Testumgebung prüfen.
2. Das Plugin auf der Kopie deaktivieren und die Seite durchgehen: Formulare absenden, Shortcodes und Blöcke prüfen, auf Fehlermeldungen in den Logs achten.
3. Ist ein Ersatz nötig, ihn auf der Kopie einrichten und Inhalte oder Einstellungen übertragen.
4. Erst nach Ihrer schriftlichen Freigabe die Änderung auf der Live-Seite wiederholen.
5. Das Ergebnis im Bericht festhalten, mit Datum und Version.

Bleibt nach der Prüfung ein geschlossenes Plugin die einzige Lösung, weil Ihr Ablauf davon abhängt, steht das als offener Punkt im Bericht. Ich nenne dann das Risiko und die Alternativen. Ob Sie es eine Zeit lang weiterbetreiben, entscheiden Sie.

#Der schriftliche Bericht

Jeden Monat bekommen Sie die Inventur in aktualisierter Form. Der Bericht enthält:

• neue, entfernte und ersetzte Plugins seit dem Vormonat
• Plugins, die im Verzeichnis geschlossen wurden oder lange kein Update erhalten haben
• Lizenzen mit Ablaufdatum in den nächsten Monaten
• durchgeführte Updates mit Versionen und Datum der Live-Schaltung
• offene Entscheidungen, jeweils mit einer Empfehlung

Das Ziel ist, dass Sie jede Entscheidung treffen können, ohne mich anzurufen. Den Rest der monatlichen Wartung beschreibt die Seite WordPress-Wartung und Support.

#Datenschutz und die LDI NRW

Für Unternehmen in Bielefeld ist die Aufsichtsbehörde die LDI NRW. Ein Plugin ohne Sicherheitsupdates ist deshalb kein reines Technikthema. Wird darüber eine Seite mit Kontaktformular oder Shop kompromittiert, kann das eine Datenpanne sein.

Die LDI NRW beschreibt auf ihrer Seite zur Meldepflicht: Verantwortliche müssen Verletzungen, von denen mehr als nur ein geringes Risiko ausgeht, unverzüglich melden, möglichst binnen 72 Stunden (Art. 33 DSGVO). Jede Verletzung ist intern zu dokumentieren. Passiert sie bei einem Auftragsverarbeiter, muss dieser den Verantwortlichen unverzüglich informieren.

Ich gebe keine Rechtsberatung. Die Entscheidung über eine Meldung liegt bei Ihnen. Ich liefere die technischen Fakten: welches Plugin, welche Version, seit wann ohne Update und was im Log steht. Vor dem Start klären wir schriftlich, ob ich Zugriff auf personenbezogene Daten wie Bestellungen oder Formulareinträge brauche und ob deshalb ein Vertrag nach Art. 28 DSGVO nötig ist.

#Der Rest der Wartung

Zur monatlichen Arbeit gehören außerdem:

• Updates auf Staging zuerst. Jede Änderung an Core, Plugins und Theme probiere ich erst auf einer Kopie aus.
• Backups außerhalb des Hosting-Kontos, deren Rückspielung ich testweise prüfe.
• Monitoring der Erreichbarkeit mit Hinweis per E-Mail.
• Kleinere Anpassungen, soweit sie in den Stundenrahmen des Monats passen.

Nicht genutzte Stunden eines Monats verfallen, sie wandern nicht in den nächsten. Bereitschaft außerhalb der Arbeitszeit gehört nicht dazu, Antworten kommen schriftlich an Werktagen. Grafikdesign, Mockups und Wireframes bringen Sie mit, ich setze sie um. Wie viele Stunden Ihre Seite braucht, schätze ich schriftlich, nachdem ich die Inventur gesehen habe.

#Was ich zum Start brauche

• die Adresse der Seite und Zugang zum WordPress-Backend als Administrator
• Zugang zum Hosting (SFTP oder SSH) oder den Namen des Hosters
• Rechnungen oder Lizenz-E-Mails Ihrer Premium-Plugins, soweit vorhanden
• eine kurze Notiz, was zuletzt schiefging

#Weiterführende Seiten

Muss die Seite zuerst gebaut oder umgebaut werden, hilft WordPress-Entwicklung in Bielefeld. Für Shops gibt es WooCommerce in Bielefeld.

#Häufige Fragen

Wie erkenne ich, dass ein Plugin geschlossen wurde? Auf der Plugin-Seite im WordPress.org-Verzeichnis steht dann ein Hinweis, dass das Plugin geschlossen ist. Laut der FAQ des Plugin-Teams wird kein Download mehr erzeugt, und im Backend lässt es sich nicht mehr installieren. Auf einer bereits installierten Seite läuft es weiter, bekommt aber keine Updates. Ich prüfe das bei jeder Inventur.

Ist ein Plugin ohne Update seit langer Zeit automatisch gefährlich? Nicht automatisch, aber es fehlt der Kanal für Sicherheitsfixes. Ich bewerte jedes Plugin einzeln: wofür es dient, wie tief es in die Seite eingreift und ob es eine gepflegte Alternative gibt.

Was passiert, wenn eine Premium-Lizenz abläuft? Das regeln die Lizenzbedingungen des Herstellers. Ich lese sie pro Plugin, trage das Ablaufdatum in die Inventur ein und nenne Ihnen im Bericht rechtzeitig die Entscheidung, die bei Ihnen liegt: verlängern, ersetzen oder bewusst ohne Updates weiterbetreiben.

Entfernen Sie Plugins einfach von der Live-Seite? Nein. Ersatz oder Entfernung teste ich zuerst auf einer Kopie, mit aktuellem Backup außerhalb des Hosting-Kontos. Erst danach geht die Änderung live.

Muss ich einen Datenschutzvorfall melden, wenn ein Plugin ausgenutzt wurde? Das hängt vom Risiko für die Betroffenen ab. Die LDI NRW verlangt eine Meldung unverzüglich, möglichst binnen 72 Stunden, wenn mehr als nur ein geringes Risiko besteht. Dokumentieren müssen Sie jede Verletzung. Die Entscheidung trifft der Verantwortliche, ich liefere die technischen Fakten.

Betreuen Sie Seiten vor Ort in Bielefeld? Nein, auch nicht auf Anfrage: alles läuft aus Gdynia, per E-Mail und Dokument. Layout und Grafik kommen von Ihnen, ich baue sie nach.

#Ihre Anfrage an mich

Schreiben Sie mir die Adresse Ihrer Seite, was Sie von ihr erwarten, bis wann etwas stehen soll und welche Plugins oder Lizenzen Ihnen schon Sorgen machen. Über das Kontaktformular geht das in wenigen Zeilen. Die erste schriftliche Einschätzung ist kostenlos, und ich antworte an Werktagen.