Was bedeutet betriebliche Resilienz für eine WordPress-Website?
Gemeint ist die Fähigkeit der Website, nach einem Ausfall, einem Einbruch oder einem missglückten Update wieder zu laufen, und zwar in einer Zeit, die Ihr Unternehmen vorher als vertretbar festgelegt hat. Praktisch geht es um prüfbare Dinge: Gibt es ein Backup, und lässt sich die Website daraus wiederherstellen? Wer hat Zugang zu Backend und Server? Wie kommen Updates auf die Produktion? Wer tut was, wenn etwas schiefgeht?
Ich bin Mariusz Szatkowski, WordPress-Entwickler seit 2006, und arbeite allein von Gdynia aus, ohne Team und ohne Subunternehmer. Bei der Resilienz übernehme ich die WordPress-Ebene: Backups und deren Tests, Updates, Code, Zugänge und eine schriftliche Beschreibung, die Ihr Einkauf einem Lieferanten-Fragebogen beilegen kann.
Gelten NIS2, BSIG und NISG 2026 für WordPress-Dienstleister?
Die NIS2-Richtlinie (EU) 2022/2555 erfasst Einrichtungen in bestimmten Sektoren, in der Regel ab mittlerer Unternehmensgröße. In Deutschland setzt das BSI-Gesetz sie um: § 28 BSIG bestimmt, wer besonders wichtige und wer wichtige Einrichtung ist, § 30 nennt die Risikomanagementmaßnahmen. Dazu gehören ausdrücklich die Aufrechterhaltung des Betriebs “wie Backup-Management und Wiederherstellung nach einem Notfall” und die Sicherheit der Lieferkette.
In Österreich gilt seit 1. Oktober 2026 das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026, BGBl. I Nr. 94/2025), das das NISG 2018 ablöst.
Die Lieferkette ist der Grund, warum auch kleine Dienstleister Fragebögen bekommen. Ich selbst falle nicht unter NIS2, weil ich ein Ein-Personen-Unternehmen unterhalb der Größenschwelle bin. Ob Ihr Unternehmen besonders wichtige, wichtige oder gar keine Einrichtung ist, beurteilt Ihr Rechtsbeistand.
Was Lieferanten-Fragebögen zur Website fragen
Die Formulare unterscheiden sich, aber im Abschnitt zur Website kommen dieselben Fragen. Auf jede gibt es eine überprüfbare Antwort:
| Frage im Fragebogen | Was ich liefern kann |
|---|---|
| Wie oft wird gesichert, und wo liegen die Backups? | Zeitplan, Speicherland, Aufbewahrungsdauer |
| Wann wurde die Wiederherstellung zuletzt getestet? | Protokoll des Tests auf Staging mit Datum und Dauer |
| Wie gehen Sie mit Updates und Schwachstellen um? | Ablauf: Staging, Plugin-Inventar, Quellen für Warnungen |
| Wer hat Zugang zur Website? | Liste der Administratorkonten mit Datum der letzten Prüfung |
| Gibt es einen AVV mit dem Dienstleister? | AVV nach Art. 28 DSGVO, vor dem Zugang unterschrieben |
Ist Ihr Kunde eine Bank, eine Versicherung oder eine Wertpapierfirma, kommen die Fragen oft aus DORA, Verordnung (EU) 2022/2554, anwendbar seit 17. Januar 2025. Art. 30 legt fest, was Verträge von Finanzunternehmen mit IKT-Dienstleistern enthalten müssen. Diese Klauseln stehen in Ihrem Vertrag mit dem Finanzkunden; ich beschreibe, wie die WordPress-Ebene funktioniert.
Backups nach 3-2-1 und der Wiederherstellungstest
Die 3-2-1-Regel verlangt drei Kopien auf zwei verschiedenen Speicherarten, eine davon außerhalb des Hauptservers. Für WordPress heißt das meist: eine Kopie beim Hoster, eine zweite in einem getrennten Speicher in einem EU-Land mit Zugangsdaten, die der Server nicht kennt, und eine dritte offline oder bei einem zweiten Anbieter, wo Ransomware auf dem Server sie nicht erreicht.
Ein Backup zählt erst, wenn jemand daraus wiederhergestellt hat. Ich stelle die Website auf Staging aus einem aktuellen Backup wieder her und protokolliere:
- Datum und verwendetes Backup,
- Dauer vom Download bis zur funktionierenden Website,
- Alter der neuesten Datenbankkopie, also Ihr tatsächliches RPO,
- was nicht funktioniert hat und was ich korrigiert habe.
RTO und RPO legt Ihr Unternehmen fest, weil nur Sie wissen, was eine Stunde ohne Shop kostet. Der Test zeigt, ob die Zahlen halten. Häufige Fehler: ein Plugin, das seit Monaten nur wp-content sichert und die Datenbank nie, und ein Backup-Job, der nach einem Passwortwechsel oder bei vollem Speicher still abbricht. In meiner Wartung bewahre ich Backups mindestens 30 Tage in EU-Ländern auf; ein Shop mit Bestellungen über den ganzen Tag braucht meist mehr als eine Datenbanksicherung pro Tag.
Wenn etwas passiert: Meldepflichten und meine Rolle
Nach § 32 BSIG melden besonders wichtige und wichtige Einrichtungen einen erheblichen Sicherheitsvorfall an die gemeinsame Meldestelle von BSI und BBK: eine frühe Erstmeldung binnen 24 Stunden nach Kenntnis, eine Meldung binnen 72 Stunden und eine Abschlussmeldung spätestens einen Monat danach. Eine Verletzung des Schutzes personenbezogener Daten meldet der Verantwortliche binnen 72 Stunden der zuständigen Aufsichtsbehörde (Art. 33 DSGVO), in Deutschland der Landesdatenschutzbehörde, in Österreich der Datenschutzbehörde.
Beide Meldungen macht Ihr Unternehmen. Als Auftragsverarbeiter informiere ich Sie unverzüglich, sobald ich von einer Verletzung erfahre (Art. 33 Abs. 2 DSGVO), und übergebe, was ich auf der WordPress-Seite sehe: seit wann, welche Konten, welche Dateien, welche Daten betroffen sein können. Danach stelle ich aus einem Backup vor dem Vorfall wieder her, schließe die Lücke und dokumentiere den Ablauf.
Eine 24/7-Bereitschaft biete ich nicht, und eine Reaktionszeit garantiere ich nicht. Braucht Ihr Ablauf jemanden, der nachts erreichbar ist, muss diese Rolle in Ihrem Unternehmen oder bei einem Anbieter liegen, der sie leistet.
Updates, Plugins und Zugänge
Plugins sind der häufigste Weg in eine WordPress-Website. Ich führe ein Inventar aller Plugins und Themes mit Versionen (WP-CLI erstellt es in Sekunden), verfolge Schwachstellenmeldungen und entferne Plugins, die ihr Autor nicht mehr pflegt. Jedes Update läuft zuerst auf Staging.
Bei Zugängen sieht man oft dasselbe Bild: Jemand hat die Website vor Jahren gebaut, die Zusammenarbeit ist beendet, sein Administratorkonto funktioniert noch, ohne zweiten Faktor. Ich prüfe Konten in WordPress, beim Hoster und beim Domain-Registrar, aktiviere Zwei-Faktor-Anmeldung für Administratoren und übergebe Ihnen eine Liste, wer welchen Zugang hat.
Was, wenn der Entwickler ausfällt?
Ich arbeite allein, also betrifft diese Frage mich direkt, und Sie sollten sie vor Vertragsabschluss stellen. Meine Antwort: Die Zugänge zu Website, Hosting und Domain gehören Ihnen, der Code liegt in einem Repository, dazu eine Beschreibung der Umgebung und Anleitungen für Routinearbeiten wie die Wiederherstellung aus dem Backup oder das Zurücknehmen eines Updates. Ein anderer WordPress-Entwickler kann die Website damit ohne mich übernehmen.
Penetrationstests
Einen Penetrationstest sollte ein darauf spezialisiertes Unternehmen in Ihrem Auftrag durchführen. Ich helfe beim Zuschnitt auf der WordPress-Seite, bereite Staging für den Test vor und behebe die Befunde in Code und Konfiguration. Das Protokoll der Korrekturen können Sie Ihren Unterlagen für den Kunden beilegen.
Umfang und Grenzen dieser Leistung
Ich übernehme: Backups und Wiederherstellungstests, Updates über Staging, Prüfung der Zugänge, Sicherheitskorrekturen in WordPress-Code und Konfiguration und die schriftliche Beschreibung für Ihren Einkauf. Bevor ich mit personenbezogenen Daten in Berührung komme, unterschreiben wir einen AVV nach Art. 28 DSGVO. Der Vertrag ist ein B2B-Vertrag nach polnischem Recht, die Rechnung läuft im Reverse-Charge-Verfahren mit meiner EU-USt-IdNr. PL7393037445.
Ich übernehme nicht: 24/7-Bereitschaft, Bedrohungsüberwachung im Stil eines SOC, Meldungen an Behörden in Ihrem Namen und die rechtliche Einordnung Ihres Unternehmens. Es gibt kein SLA und keine garantierte Reparaturzeit. Hosting verkaufe ich nicht: Ich arbeite mit dem Anbieter, den Sie gewählt haben.
Verwandte Leistungen
- WordPress-Sicherheitsaudit: Plugins, Konten und Konfiguration prüfen, bevor der erste Fragebogen kommt.
- Wartung von WordPress-Websites: laufende Betreuung mit Backups, Monitoring und Updates.
- Kontakt: Beschreiben Sie die Website und den Fragebogen, den Sie beantworten müssen. Ich antworte per E-Mail mit Rückfragen und einem Vorschlag zum Umfang.
