Brauche ich für meine Website WordPress?

Dieser Artikel war heute schon fertig. Er hatte eine ganz andere Einleitung, ein Quiz und die Frage, ob man für eine Website überhaupt WordPress braucht. Dann erreichte mich die Nachricht zu PHP2Shell. Ich habe den Artikel liegen lassen, meine eigenen Systeme abgesichert und ihn danach überarbeitet. Die Frage ist dieselbe geblieben, sie hat nur einen Anlass bekommen.

Hinter dem Namen PHP2Shell stecken zwei kritische Lücken in PHP selbst, der Programmiersprache, auf der WordPress, Joomla, Shopware und ein großer Teil aller Websites laufen. Wer sie ausnutzt, kann aus der Ferne Code auf dem Server ausführen und übernimmt damit die Website, die Kundendaten und den Server gleich mit. Betroffen sind praktisch alle PHP-Versionen seit PHP 5, ein Proof-of-Concept kursiert bereits öffentlich, und erste Angriffe werden gemeldet. Am Nachmittag des 21. Oktober kam der Notfall-Patch.

So war das bei mir heute

Meine Websites waren nicht betroffen. thelgb.net und die Kundenseiten von Paul & Paula und YA MAN! sind statische Seiten, gebaut mit Astro. Sie bestehen aus fertigen HTML-Dateien, darin steckt kein PHP, und beim Aufruf läuft auf dem Server kein Programm, das man angreifen könnte. Es gab nichts zu patchen.

Ganz verschont geblieben bin ich trotzdem nicht. Meine eigene Nextcloud und die eines Kunden laufen auf PHP. Ich habe eine Notlösung eingespielt, die Kundeninstanz bis zum Patch vom Netz genommen und eine stündliche Überwachung eingerichtet. Das war ein halber Nachmittag an einem Tag, an dem eigentlich anderes dran gewesen wäre. Die Warnung von Nextcloud selbst kam übrigens erst, als die Notlösung schon lief.

Auch ich betreibe also PHP, nur dort, wo es gebraucht wird. Für eine Cloud mit Dateifreigabe braucht es einen Server, der mitrechnet. Für einen Blog oder eine Firmenseite braucht es den nicht.

Du betreibst WordPress oder eine andere PHP-Seite? Was jetzt zu tun ist, erklären Sicherheitsfachleute besser als ich. Einen guten Überblick geben Deutschland sicher im Netz und, technischer und auf Englisch, die FAQ von Tenable. Läuft deine Seite bei einem Hoster, frag dort nach, ob das Update schon eingespielt ist.

Brauchst du überhaupt WordPress?

Die Lücke steckt in PHP, sie trifft WordPress also nur, weil es darauf läuft. Das gilt für jedes System dieser Art: Wer WordPress betreibt, betreibt PHP, Plugins, Themes, eine Datenbank und einen Login mit, und um all das muss sich jemand kümmern. Eine statische Seite hat diese Angriffsfläche nicht. Was nicht läuft, kann man nicht angreifen.

Deshalb lohnt sich die Frage, die sich beim Website-Bau kaum jemand stellt: Brauche ich das alles überhaupt? Klick dich durch die sechs Fragen. Darunter erkläre ich, wie das Quiz zu seinem Ergebnis kommt.

Drei Gründe, die für WordPress sprechen

Es gibt Websites, für die ein Content-Management-System wie WordPress die richtige Wahl ist. Meiner Erfahrung nach sind es drei Fälle:

Ein richtiger Onlineshop. Warenkorb, Lagerstand, Zahlungsarten, Rechnungen, Versand. Dafür braucht es ein System im Hintergrund, und WooCommerce ist eine solide Lösung.
Ein Mitgliederbereich. Sobald sich Besucher einloggen, eigene Konten haben und Inhalte nur für Mitglieder sehen, brauchst du einen Server, der für jeden Besuch neu rechnet, und eine Datenbank.
Täglich neue Inhalte. Wer jeden Tag veröffentlicht, plant, verschlagwortet und Beiträge vorbereitet, spart mit einem Redaktionssystem viel Zeit.

Trifft einer davon zu, bist du mit WordPress gut bedient. Dann gehört aber ein Tag wie heute dazu, und der Aufwand für Updates, Plugins und Lizenzen, den ich im Artikel Was eine WordPress-Seite wirklich kostet durchgerechnet habe.

Der Graubereich

Bei manchen Projekten gibt es keine pauschale Antwort:

Ein kleiner Shop oder Online-Buchungen. Eine Handvoll Produkte oder ein Buchungsformular lassen sich auch ohne WordPress anbinden. Ob das reicht, hängt davon ab, wie viel verkauft wird und wie viel dabei automatisch passieren soll.
Ein wöchentlicher Blog. Das geht statisch gut, wenn du mit Textdateien zurechtkommst. Dieser Blog hier ist ein Beispiel dafür: Er läuft ohne WordPress, ohne Datenbank und ohne Login.
Laufend wechselnde Termine. Termine lassen sich aus einer Tabelle oder einem Kalender automatisch auf die Seite holen. Ob das passt, hängt davon ab, wer sie einträgt und wie oft.

Hier entscheiden Details, die ein Quiz nicht abfragen kann. Deshalb schickt es dich in diesem Fall zum Kontaktformular. Ich will deinen Fall verstehen und sag dir ehrlich, was ich machen würde, auch wenn die Antwort WordPress heißt.

Was kein Grund für WordPress ist

Ein paar Argumente höre ich oft. Sie klingen nach WordPress, halten aber nicht:

„Bei uns pflegen fünf Leute die Seite.“ Wie viele Leute Inhalte einpflegen, sagt wenig. Entscheidend ist, wie oft etwas Neues dazukommt. Fünf Leute mit drei neuen Infos im Jahr brauchen kein Redaktionssystem. Deshalb fragt das Quiz nur nach der Häufigkeit.
„Ich will selbst etwas ändern können.“ Das geht bei einer statischen Seite auch. Die Texte liegen als einfache Textdateien vor, die sich in jedem Editor bearbeiten lassen. Oder du schickst eine Mail mit der Änderung.
„Vielleicht brauch ich später einen Shop.“ Was du in zwei Jahren vielleicht brauchst, rechtfertigt keine Wartung ab heute. Wenn der Shop kommt, ist der Umstieg planbar.
„Das nimmt man halt so.“ Gewohnheit ist kein Anforderungsprofil.

Du hast schon WordPress?

Dann zeigt dir das Quiz, ob du es noch brauchst. Viele Seiten sind mit WordPress gestartet, weil es damals naheliegend war, und schleppen heute ein ganzes System mit, damit sich ein paar Mal im Jahr ein Text ändert. Für diesen Fall gibt es die WordPress-Ablöse: Inhalte retten, alle alten Adressen erhalten, danach eine schnelle statische Seite ohne Updates.

Quellen

Unsicher, wo dein Projekt hingehört? Schreib mir ein paar Zeilen dazu, was deine Website können soll. Du bekommst eine ehrliche Einschätzung, auch wenn sie WordPress heißt.