PHP2Shell: Was die PHP-Sicherheitslücke für Ihre WordPress-Website bedeutet

Vielleicht kennen Sie diese Situation: Die Website wurde vor einigen Jahren mit viel Engagement aufgebaut. Die Agentur von damals gibt es nicht mehr, der Kollege, der sich gekümmert hat, ist in Rente. Die Seite läuft, also fasst sie niemand an.

Oft war das eine bewusste Entscheidung: Die Website wurde sorgfältig gebaut, und auf die laufende Pflege durch die ausführende Agentur wurde verzichtet, teils aus Kostengründen. Das ist nachvollziehbar, denn eine Website, die gut aussieht und funktioniert, scheint ja nichts zu brauchen. In der Praxis zeigt sich jedoch: Je länger Updates ausbleiben, desto größer wird der Abstand zwischen der Website und ihrem Fundament. Irgendwann werden Prüfung und Anpassung so umfangreich, dass ein kompletter Neuaufbau die wirtschaftlichere Lösung ist, obwohl er bei kontinuierlicher Pflege oft gar nicht nötig gewesen wäre.

Das Schöne daran: Sie haben es selbst in der Hand. Ein kleiner, regelmäßiger Pflegeaufwand schützt die Investition von damals und hält Ihre Website lebendig. Und wer jetzt hinschaut, hat meist noch alle Wege offen, vom gezielten Update bis zum bewusst geplanten Neustart.

So oder ähnlich beginnen viele Gespräche, die wir in diesen Tagen führen. Ein typisches Beispiel: Ein Ingenieurbüro aus Mittelhessen ruft an, nachdem der Inhaber in den Nachrichten von PHP2Shell gehört hat. Bevor wir über Technik sprechen, stelle ich die Frage, mit der ich jedes Gespräch beginne: Darf ich Sie zu Beginn ein wenig kennenlernen? Wer pflegt Ihre Website, wen erreicht sie, was wäre, wenn sie morgen nicht erreichbar wäre?

Die Antworten zeigen schnell, wo das eigentliche Thema liegt. Die PHP-Version war veraltet, der Hoster bot nur noch kostenpflichtigen Langzeitsupport an. Ein Wechsel scheiterte an einem Kontaktformular, das eine frühere Agentur selbst programmiert hatte. Die Lösung war am Ende unspektakulär: Sicherung, ein gepflegtes Standard-Plugin statt der Eigenentwicklung, Test auf einer Kopie, dann der Wechsel auf eine aktuelle PHP-Version. Und eine klare Absprache, wer künftig monatlich nach dem Rechten sieht.

Das Wertvollste an diesem Gespräch war allerdings nicht die Technik. Es war die Erkenntnis, dass die Website seit Jahren niemandem gehörte. Seitdem ist sie wieder Chefsache, mit Inhalten, die das Büro so zeigen, wie es heute arbeitet.

Auch wir selbst haben in diesem Herbst eine solche Entscheidung getroffen. Wir haben der-pr-berater.de von einer selbst gepflegten WordPress-Installation auf eine betreute Plattform umgezogen. Nicht, weil WordPress schlecht wäre, sondern weil wir unsere Zeit lieber in Inhalte stecken als in Serverpflege. Diese Abwägung muss jedes Unternehmen für sich treffen: Selbst pflegen, pflegen lassen oder die Plattform wechseln. Jeder dieser Wege ist richtig, solange er bewusst gewählt wird.