WordPress-Website-Spezialist für Diagnose und Wiederherstellung
Ich bin Mariusz Szatkowski (WPPoland) und arbeite seit 2006 mit WordPress. Als Spezialist übernehme ich die Fälle, die ein Standard-Entwickler nicht schließt: Ausfall nach einem Update, Malware, schlechte Core Web Vitals, ein WooCommerce-Shop, der unter Last hakt. Neue Websites beschreibt die Entwickler-Seite. Hier geht es um Diagnose und Wiederherstellung.
Ich arbeite allein, ohne Team und ohne Subunternehmer. Den Code, den Sie bekommen, schreibe ich selbst, und Ihre Zugangsdaten gebe ich an niemanden weiter.
Wann brauchen Sie einen Spezialisten?
Wenn Ihre Agentur oder Ihr internes Team an einem Problem nicht weiterkommt, steige ich ein. Typische Fälle:
- Ausfall oder Hack: Die Website zeigt einen kritischen Fehler nach einem Update, leitet auf fremde Seiten um oder verschickt Spam.
- Individuelle Entwicklung: Eigene Plugins, REST-Endpoints und Blöcke, wenn kein fertiges Plugin den Ablauf abbildet.
- Performance: Core Web Vitals, Datenbankabfragen und Serverkonfiguration, gemessen an echten Besucherdaten.
- WooCommerce: Checkout, Zahlungs-Webhooks und ERP-Anbindung großer E-Commerce-Shops.
Unterschied zwischen WordPress-Spezialist und Generalist
Der Unterschied zeigt sich bei Problemen, für die es keine fertige Antwort auf Stack Overflow gibt. Drei Fehlerbilder, die im deutschsprachigen Markt immer wieder auftauchen:
- Consent-Banner, das zu spät blockiert: Das Banner erscheint korrekt, Tracking-Skripte laden aber schon vor der Einwilligung. Häufige Ursache ist die Reihenfolge der Filter: Ein Cache-Plugin schreibt HTML zurück, bevor das Consent-Tool das Markup ersetzen kann. Die Lösung liegt in einem eigenen Filter mit früherer Priorität und Skripten, die bis zur Einwilligung
data-cmp-srcstattsrctragen. Im Backend des Cookie-Plugins findet man dazu nichts. - Doppelte Product-Knoten im Schema: Yoast erwartet einen Graph mit
@id-Referenzen, WooCommerce schreibt einen eigenen JSON-LD-Block. Google sieht zwei Produkte und zeigt im schlimmsten Fall keine Rich Results mehr. Korrigiert wird überwpseo_schema_graph_piecesund den Filterwoocommerce_structured_data_product, der bei aktivem Yoastnullzurückgibt. - Redaktion ohne Leitplanken: Wenn jede Person im Editor eigene Layout-Entscheidungen trifft, sieht kein Beitrag wie der andere aus. Eine Pattern-Bibliothek auf Basis von
block.jsonmittemplateLock="all"für Kopf- und Lead-Blöcke undtemplateLock="insert"für den Textteil löst das ohne zusätzliche Schulung.
Wie die Arbeit eines WordPress-Spezialisten beginnt
Fast nie mit „etwas Neues bauen“. Zuerst kläre ich, was schon kaputt ist, und entscheide mit Ihnen, was bleibt.
Eigene Gutenberg-Blöcke entwickeln
Redaktionen wollen einen Block, den sie konfigurieren können, mit festem Styling, fester Struktur und einer Editor-Vorschau, die dem Frontend entspricht. Technisch ist das InnerBlocks mit allowedBlocks und templateLock, registriert über block.json mit sauberen attributes und einer edit-Komponente in React. Page Builder liefern das nicht, weil ihre Struktur außerhalb von post_content liegt.
Sichere REST-API-Endpoints in WordPress erstellen
Einen Endpoint zu registrieren ist einfach, ihn sauber zu registrieren nicht. Dazu gehören ein echtes args-Schema mit validate_callback und sanitize_callback pro Parameter, ein permission_callback, der an eine Capability gebunden ist statt an is_user_logged_in, Rate-Limiting bei anonymen Zugriffen und ein versionierter Namespace (marke/v1) ab dem ersten Tag. Viele geerbte REST-Probleme stammen aus Endpoints mit permission_callback => '__return_true'.
Der Ablauf
- Briefing: Sie beschreiben schriftlich, was passiert ist oder was gebaut werden soll, über das Kontaktformular oder per E-Mail.
- Diagnose: Ich prüfe Code, Server, Plugins, Sicherheit und Performance und stelle Rückfragen schriftlich.
- Angebot: Umfang, Annahmen und Reihenfolge der Arbeiten stehen im Angebot, bevor ich etwas ändere.
- Umsetzung: Änderungen laufen über ein Git-Repository und zuerst auf Staging. Sie nehmen dort ab, dann geht es auf die Produktion.
- Betreuung: Auf Wunsch übernehme ich danach die laufende Wartung.
Wireframes und Grafikdesign bringen Sie mit. Wenn ich Zugang zu personenbezogenen Daten bekomme, unterschreiben wir vorher einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
Erfahrung als WordPress-Experte
Ich entwickle seit 2006 mit WordPress, an kleinen Firmenwebsites ebenso wie an großen WooCommerce-Shops und Multisite-Installationen. Auf WordPress.org habe ich mehr als 25 kostenlose Plugins veröffentlicht, und ich organisiere das WordCamp Gdynia. Mein Sitz ist Gdynia in Polen, in derselben Zeitzone wie Berlin und Wien.
Gehackte WordPress-Seite bereinigen
Eine Wiederherstellung beginnt forensisch. Zuerst lese ich die Access-Logs auf den Einstiegspunkt hin, dann vergleiche ich die Dateien mit einem sauberen Stand von Core, aktivem Theme und den installierten Plugin-Versionen. Reinfektionen passieren meist, weil aus einem schon kompromittierten Backup zurückgespielt wurde oder weil eine Backdoor als base64-Payload in einer autoloaded Option in wp_options liegt, nicht in einer Datei. Ein Scan der Optionstabelle gehört deshalb zu jedem Cleanup. Den Ablauf beschreibe ich auf der Seite zur Malware-Entfernung für WordPress.
Danach folgt das Hardening: Datei-Editor im Admin abschalten, xmlrpc.php auf Webserverebene einschränken, die User-Enumeration über die REST-API sperren, alle API-Schlüssel und Datenbank-Zugangsdaten rotieren und eine WAF mit Regeln für WordPress-typische Angriffsmuster vorschalten. Eine Garantie, dass eine Website nie wieder angegriffen wird, gibt es nicht, auch nicht von mir.
Warum ist WordPress langsam?
Allgemeine Tipps (Bilder lazy laden, HTTP/2, CDN) gelten für jede Website. Bei WordPress fange ich woanders an:
- die
autoload-Daten inwp_optionsverkleinern, die bei jedem Request geladen werden, - Plugins finden, die
get_post_meta($post_id)ohne Key aufrufen und damit alle Meta-Felder jedes Beitrags laden, - doppelte
WP_Query-Aufrufe überpre_get_postszusammenführen, - teure
meta_query-Abfragen durch Taxonomien ersetzen, posts_per_page => -1durch echte Pagination ersetzen.
Object Caching mit Redis bringt erst etwas, wenn die Datenschicht aufgeräumt ist. Vor einer aufgeblähten autoload-Tabelle cached Redis den Fehler nur schneller.
Multisite, Capabilities und Rollen-Mapping
Bei Multisite steigen viele Generalisten aus. Geteilte Tabellen wp_users und wp_usermeta, Capabilities pro Site in wp_X_capabilities, der Unterschied zwischen Super Admin und Site-Admin und das Verhalten von current_user_can gegenüber dem aktiven Blog erfordern echte Architekturentscheidungen. Eine Migration nach Multisite braucht einen schriftlichen Plan: wem was gehört, wie neue Sites angelegt werden, welche Plugins netzwerkweit und welche pro Site aktiv sind. Den größten Teil der Arbeit machen meist Rollen-Mapping und Migrationsskripte aus, nicht die Konstanten in wp-config.php oder das DNS.
Monitoring und technische Schulden
Viele WordPress-Projekte scheitern an still wachsenden Workarounds. Nach einigen Monaten ist jede Änderung riskant. Dagegen helfen einheitliche Konventionen, ein Git-Repository, reproduzierbare Deployments und ein getesteter Rollback.
In der Wartung prüft ein Uptime-Monitoring die Website alle 1 bis 5 Minuten, Backups liegen mindestens 30 Tage in EU-Ländern, und Updates teste ich zuerst auf Staging. Einen 24/7-Bereitschaftsdienst und garantierte Reaktionszeiten biete ich nicht an.
Kontakt
Wenn der Shop ausgefallen ist oder der Checkout hakt, starten Sie mit dem WooCommerce Rescue Sprint. Nach Einbruch oder Malware: Sicherheitsaudit WordPress. Für die laufende Betreuung nach der Stabilisierung: Store Reliability Plan. Ein kurzes Briefing können Sie auch direkt senden.
