Dr. Jürgen Weimann

Wartung und Sicherheit für eine gewachsene Website

Die Website von Prof. Dr. Jürgen Weimann läuft als WordPress-Netzwerk mit zwei Sites, dazu ein Kalender-Plugin und ein kostenpflichtiges Theme. Am 24.08.2026 stand das große Sicherheits-Update an.

Das Ergebnis in einem Satz: Der WordPress-Kern lief danach auf Version 7.1 statt 6.8.3, 20 von 20 Plugin-Updates waren durch, vier kritische Sicherheitslücken sind geschlossen. Alle zwölf geprüften Seiten waren vorher wie nachher erreichbar, das Seitengewicht unterschied sich um weniger als 0,3 Prozent. Fehlermeldungen im PHP-Protokoll: keine.

Zwei der Lücken waren die gefährlichsten. Eine erlaubte es, ohne Anmeldung in die Datenbank zu schreiben (Schweregrad 9,3 von 10), eine andere, fremden Code auf dem Server auszuführen (8,1). Beide steckten in Plugins, die für den Betrieb gebraucht werden.

• 38 installierte Plugins, 24 Updates standen an
• Sieben Standardthemes im selben Zug aktualisiert
• Vor dem Eingriff eine Sicherung (3,28 GB), danach eine zweite (3,42 GB), zum Schluss eine dritte
• Das Theme wurde ebenfalls nachgezogen, damit drei weitere, vom Hersteller beschriebene Lücken geschlossen sind

Ein Ausfall, den wir selbst verursacht haben

Nach dem Update war eine der beiden Sites nicht mehr erreichbar. Statt zu raten, haben wir die Fehlermeldung gelesen. Sie war eindeutig: Die Site lief auf einer alten PHP-Version, die die neue WordPress-Version nicht mehr unterstützt.

Zu beheben war das nicht im WordPress. Beim Hoster wird die PHP-Version pro Adresse gesetzt, nicht pro Installation. Die Hauptadresse lief auf PHP 8.2, die zweite auf 7.2. Von innen ließ sich das nicht umstellen, weil die Server-Konfiguration die betreffenden Anweisungen in der Steuerdatei ignoriert.

Bis zur Umstellung haben wir statt einer nackten Fehlerseite, die auch noch die Softwareversion verraten hätte, eine Wartungsseite ausgeliefert. Danach war die Adresse wieder erreichbar, dreimal geprüft.

Ein Nebenfund gehört dazu: Die Zugangsdaten für die Umstellung lagen seit vier Monaten in unserem eigenen Postfach. Niemand musste danach gefragt werden.

Danach riss ein Kalender‑Plugin jede Seite mit

Nach dem Update reichte eine bestimmte Abfrage, und jede Seite lieferte einen Serverfehler. Auch Seiten, die mit Terminen nichts zu tun haben.

Bevor wir das Plugin abschalten, haben wir geprüft, ob es noch gebraucht wird. Der letzte gepflegte Termin war von 2018, anstehende Termine gab es keine. Also deaktiviert statt gelöscht, mit zwei Weiterleitungen für die alten Adressen. Gegenprobe: 19 weitere Abfragevarianten getestet, kein weiterer Absturz.

Backups und Speicher

Seit dem 09.09.2026 läuft eine tägliche Sicherung, nachts um drei Uhr. Danach kam die Meldung des Hosters, dass der Speicher voll ist.

Gemessen mit zwei unabhängigen Methoden: In einem Tarif mit 50 GB lagen 43 Sicherungsdateien mit zusammen 62,70 GB. Statt auf Verdacht zu löschen, haben wir eine Aufbewahrungsgrenze von drei Paketen gesetzt und alles darüber freigegeben: 52,27 GB.

Eine Nebenwirkung gehört dazu. Bei der Bereinigung fiel eine ältere Sicherung mit weg, deren Sonderstatus vorher nicht zu erkennen war. Der Verweis darauf ist repariert, die Datei selbst ist weg.

Die technischen Grundlagen

Vorher haben wir die SEO-Grundlagen aufgeräumt, zehn von zehn Plänen der ersten Runde sind abgeschlossen:

• Kritisches CSS wird vorberechnet statt bei jedem Aufruf berechnet (von 0 auf 73.041 Zeichen)
• Doppelte Open-Graph-Angaben von zwölf auf sechs reduziert
• Ein alter Audio-Player: von achtzehn Fundstellen auf der Startseite auf null
• Für fünf von fünf Hauptseiten passen die Titel in die von Google angezeigte Länge

Was noch offen ist

Nicht alles aus diesem Auftrag ist abgeschlossen, und das gehört in eine Referenz. Der Wiederherstellungsweg für die Sicherungen ist eingerichtet und vom Werkzeug als gültig gemeldet, ein echter Testlauf wurde aber nicht durchgeführt. Das Theme-Update ist umgesetzt und live geprüft, dem Kunden aber nicht gesondert berichtet. Und die Prüfung der PHP-Version lief nur auf der Hauptadresse, was genau der Grund für den Ausfall war.

Die Website von Prof. Dr. Weimann: juergenweimann.com