Ihre Website läuft noch – aber wird sie noch gepflegt?

Bei einem Betrieb aus der Region fiel auf, dass über das Kontaktformular kaum noch Anfragen kamen. Die Vermutung war, dass es gerade schlecht läuft.

Tatsächlich lief das Formular seit einem Serverwechsel ins Leere. Es zeigte weiterhin brav die Bestätigungsseite an und verschickte nichts. Wie lange, ließ sich nicht mehr rekonstruieren — mindestens ein halbes Jahr. Niemand hatte es bemerkt, weil niemand die eigene Seite je aus Kundensicht benutzt hatte.

Das ist der häufigste Befund, wenn wir eine ungepflegte Website übernehmen, und er hat mit Sicherheit nichts zu tun. Die Sicherheitsprobleme kommen trotzdem dazu.

Sie wird nicht stabiler, sondern angreifbarer. Content-System und Erweiterungen bekommen regelmäßig Sicherheitsaktualisierungen; wird nichts eingespielt, sammeln sich bekannte Lücken an — und „bekannt" heißt: veröffentlicht, dokumentiert und in automatisierten Suchläufen hinterlegt.

Der Angriff ist deshalb nicht persönlich gemeint. Es sucht kein Mensch nach Ihrem Betrieb, sondern ein Programm nach einer Versionsnummer.

Verunstaltet wird dabei so gut wie nie etwas — das wäre auffällig und damit kontraproduktiv. Stattdessen verschickt die Seite Werbemails im Namen Ihrer Domain, mit der Folge, dass Ihre normale Geschäftspost bei Empfängern im Spam landet. Oder sie bekommt unsichtbare Unterseiten, die auf fremde Angebote verlinken: Suchmaschinen sehen sie, Besucher nicht. Oder — der Klassiker — sie leitet Besucher weiter, aber nur die, die über eine Suchmaschine kommen, und nur beim ersten Besuch.

Der letzte Punkt ist der Grund, warum so etwas monatelang unentdeckt bleibt. Sie selbst rufen Ihre Seite immer direkt auf.

Der Betreiber, also Ihr Unternehmen — auch dann, wenn die Seite vor Jahren von einer Agentur gebaut wurde, die es längst nicht mehr gibt.

Praktisch relevant wird das an drei Stellen. Beim Datenschutz: Wird ein Kontaktformular kompromittiert und fließen Anfragen ab, ist das ein meldepflichtiger Vorfall, mit Frist. Bei der Mailzustellung: Wird Ihre Domain für Spam missbraucht, leidet die Zustellbarkeit Ihrer echten Post, und das zu bereinigen dauert Wochen. Und bei der Sichtbarkeit: Suchmaschinen stufen kompromittierte Seiten herab und blenden Warnungen ein — der Weg zurück ist länger als der Weg hinein.

Sie brauchen dafür keinen Zugang zur Technik, nur jemanden, der die Fragen beantworten kann:

• Wann wurde zuletzt eine Aktualisierung eingespielt? Weiß es niemand, lautet die Antwort „zu lange her".
• Bekommt die eingesetzte Version überhaupt noch Sicherheitsupdates?
• Gibt es eine Sicherung — und wurde sie je zurückgespielt?
• Wer hat noch Zugangsdaten? Ehemalige Dienstleister, ausgeschiedene Mitarbeiter, der Praktikant von damals.
• Ist das Kontaktformular datenschutzkonform, und kommt es tatsächlich an?
• Läuft die Seite verschlüsselt, und ist das Zertifikat gültig?

Drei Nein sind kein Notfall, aber ein Termin.

Damit klar ist, wovon die Rede ist — es geht nicht um Umgestaltung, sondern um: Sicherheitsaktualisierungen für System und Erweiterungen, zeitnah statt gesammelt. Sicherung samt gelegentlicher Rückspielprobe. Überwachung von Erreichbarkeit und Zertifikatslaufzeit. Funktionsprüfung der Formulare — bei uns inzwischen ein monatlicher Testversand, seit dem Fall oben. Und ein Blick in die Suchmaschinen-Meldungen: Fehler, nicht erreichbare Seiten, Warnungen.

Überschaubarer Aufwand in festem Rhythmus. Der Unterschied zwischen einer Website, die läuft, und einer, von der Sie das annehmen.

Manchmal lohnt sie nicht. Wenn das eingesetzte System oder die verwendete Vorlage keine Aktualisierungen mehr bekommt, lässt sich nichts mehr flicken — dann steht ein Neuaufbau an, und Pflege wäre Geldausgeben auf Zeit.

Das sagen wir dann auch so, bevor Sie in etwas investieren, das nicht trägt. Es ist der unangenehmere Satz, aber der ehrlichere.

Wenn Sie den Zustand Ihrer Seite kennen möchten: Wir sehen sie uns an und schicken Ihnen die sechs Fragen von oben beantwortet zurück. Ob daraus etwas folgt, entscheiden Sie.