True IT Stories

Wir nutzen die Website eh kaum

TL;DR

  1. Eine Stunde war geplant, drei bis vier hat es gedauert. Auf einer gepflegten Seite wären es 15 bis 30 Minuten gewesen.
  2. Ungenutzt heißt nicht harmlos. Bots, Abmahner und veraltete Software kümmern sich nicht darum, ob jemand die Seite pflegt.
  3. Entweder einmal im Quartal warten oder auf eine statische Seite umsteigen. Nichts tun ist die teuerste Variante.

Ein Klassiker aus unserem Alltag: Eine Unternehmenswebsite läuft seit Jahren still vor sich hin. Es wird nichts aktiv daran geändert, sie dient „nur noch als digitale Visitenkarte“. Und plötzlich soll nur eine Kleinigkeit angepasst werden – eine neue Adresse im Impressum und ein kurzes Aufräumen, weil der Internetanbieter eine Sicherheitswarnung geschickt hat. Geschätzter Aufwand: eigentlich eine Stunde.

Was wir beim Blick unter die Haube gefunden haben, zeigt perfekt, warum verschleppte Website-Wartung wie ein technischer Zinseszins wirkt:

1. Das unsichtbare Einfallstor: Vergessene Ordner aus 2011 und 2015

Auf dem Webspace lag nicht nur die aktuelle Seite, sondern ein ganzes Museum an alten Projektordnern, Testinstallationen (wordpress_neu, 2017) und uralten Verwaltungsskripten wie phpMyAdmin von 2015 oder Statistik-Tools von 2011. Selbst wenn die eigentliche Website kaum besucht wird: Bots scannen solche verwaisten Verzeichnisse vollautomatisch. Genau diese Dateileichen lösen früher oder später Malware-Warnungen beim Hoster oder Provider aus.

2. Die PHP-Falle: Von PHP 5.5 direkt in den Absturz (HTTP 500)

Im Hintergrund lief noch PHP 5.5 – eine Version, deren Support bereits Mitte 2016 ausgelaufen ist.

  • Problem 1 (Versteckte Kosten): Viele Hoster berechnen für solch veraltete Versionen monatlich einen kostenpflichtigen „PHP Extended Support“. Man zahlt also jahrelang extra dafür, ein Sicherheitsrisiko am Leben zu halten.
  • Problem 2 (Kein Weg zurück): Aktuelle WordPress-Versionen lassen sich unter PHP 5.5 gar nicht mehr über das Backend aktualisieren. Stellt man die PHP-Version beim Hoster auf einen aktuellen Stand (PHP 8.2 / 8.4), gibt es kein Zurück mehr auf die alten Versionen – und die Website quittiert den großen Versionssprung sofort mit einem kompletten Ausfall (HTTP ERROR 500), weil alter Code (wie geschweifte Klammern bei Array-Zugriffen) in modernem PHP schlicht nicht mehr existiert.

3. Wenn das Theme an abgelaufenen Kauf-Plugins hängt

Nach einem manuellen Eingriff am WordPress-Kern folgt oft die nächste Überraschung: Individuelle Themes aus den Jahren 2017/2018 rufen im Code oft Funktionen von kostenpflichtigen Plugins (wie WPML oder ACF Pro) direkt auf – ohne zu prüfen, ob das Plugin überhaupt aktiv oder kompatibel ist.

  • Ist das Plugin deaktiviert, stürzt die Seite ab (Call to undefined function).
  • Ist das alte Plugin aktiviert, stürzt es unter PHP 8 ab, weil seit Jahren keine Lizenz für Updates mehr besteht.

Statt eines einfachen Klicks auf „Aktualisieren“ muss dann im Code nachgeholfen werden, damit die Seite überhaupt wieder lädt.

4. 3.700 Spam-Kommentare auf einer „ungenutzten“ Seite

Auch wenn niemand mehr neue Blogbeiträge schreibt: Ist die Kommentarfunktion in WordPress nicht sauber abgeschaltet, sammeln sich über die Jahre tausende Spam-Kommentare in der Warteschlange an. Will man die im Backend auf einen Schlag löschen, streikt der Server (Request-URI Too Long), weil die Liste der Kommentar-IDs die URL-Länge sprengt – und man muss per Datenbank-Befehl (SQL) oder in Dutzenden Einzelschritten aufräumen.

5. Veraltete Drittanbieter-Dienste & DSGVO-Altlasten

Im Quellcode schlummern bei alten Seiten fast immer Zeitbomben aus einer Zeit vor den aktuellen Datenschutz-Urteilen:

  • Extern von Google-Servern geladene Schriften (Google Fonts) und jQuery-Bibliotheken ohne Einwilligung
  • Eingebettete Google-Maps-Karten (teilweise noch von längst geschlossenen Standorten)
  • Uralter Google-Universal-Analytics-Code ohne Consent-Banner, der seit 2023 ohnehin keine Daten mehr verarbeitet, aber rechtlich angreifbar bleibt
  • Verweise auf Skripte von Subdomains, die längst gelöscht wurden und das Laden der Seite ausbremsen

Was davon rechtlich heikel ist, steht in Ungenutzt heißt nicht harmlos .

6. Repariert und trotzdem nicht zu finden

Ein Nebeneffekt der Not-OP: Die von Hand installierte WordPress-Version brachte im Kopf jeder Seite noindex, nofollow mit. Das sagt Suchmaschinen: diese Seite nicht aufnehmen. Inzwischen ist die Zeile wieder raus.

Die Lehre daraus: Nach jedem größeren Update und jeder Neuinstallation nachsehen, ob Google die Seite noch aufnehmen darf. Sonst ist die Visitenkarte repariert und trotzdem für niemanden mehr zu finden.

Der technische Zinseszins

Gebraucht haben wir am Ende drei bis vier Stunden. Auf einer Seite, die regelmäßig gepflegt wird, hätte dieselbe Aufgabe 15 bis 30 Minuten gedauert.

Dazu kommt, was vorher schon gezahlt wurde. Der Hoster war hier IONOS, und dort stand der „PHP Extended Support“ jahrelang jeden Monat auf der Rechnung. Man zahlt also zweimal: erst laufend dafür, dass das Risiko weiterläuft, dann für die Not-OP.

Das ist kein IONOS-Problem. Bei Hetzner, netcup oder jedem anderen Hoster sieht es genauso aus. Es ist ein Menschen-Problem: Die Seite läuft ja, also kümmert sich keiner darum.

Unser Fazit: 2 Tipps, die Zeit, Geld und Nerven sparen

  1. Regelmäßig kleine Updates statt großer Not-OP: Wer WordPress, Plugins und PHP einmal im Quartal aktuell hält und alte Testordner sofort vom Server löscht, erledigt Updates in wenigen Minuten – statt nach acht Jahren vor einem System zu stehen, in dem PHP, Theme und Plugins nicht mehr zusammenpassen.
  2. Braucht es überhaupt ein CMS? Wenn eine Website wirklich nur als statische digitale Visitenkarte dient (ohne Shop, ohne Kundenlogin, ohne regelmäßigen Blog), ist eine schlanke, rein statische HTML/CSS-Seite oft die viel bessere Lösung als ein komplettes WordPress-System: Keine Datenbank, keine Plugin-Konflikte, kein Kommentar-Spam, keine PHP-Updates – und dauerhaft Ruhe.

Diesen Blog haben wir übrigens genau so umgebaut: Er lief bis 2026 auf WordPress und besteht heute aus statischen Seiten.

Wie es um die eigene Seite steht, lässt sich in einer halben Stunde selbst prüfen: Checkliste: Ist meine Visitenkarte eine Zeitbombe?