Tag 5 – Sicherheit, Performance, Wartung & Go-Live

Sicherheit, Performance, Wartung & Go-Live

0:00 Der Shop ist fertig. Und genau da fängt der Teil an, der über Jahre läuft. Das ist der Perspektivwechsel dieses Tages: Bisher haben wir gebaut, ab heute betreiben wir. Ein Onlineshop ist kein Projekt mit einem Ende, sondern etwas Lebendiges, das gepflegt werden will — und das, wenn man es vergisst, still verfällt, bis es eines Morgens nicht mehr da ist.

0:21 Wir schauen uns an, was diese Pflege konkret bedeutet. Und dann nehmen wir Halmgut tatsächlich live.

Sicherheit, Performance, Wartung & Go-Live

0:28 Vier Abschnitte zum Abschluss. Zuerst die Sicherheit — Updates, Sicherungen und die Frage, wie man Zugänge härtet, ohne sich selbst auszusperren. Dann die Ladezeit, die im Shop keine Kosmetik ist, sondern eine Umsatzgröße. Der dritte Teil bringt die Grundlagen, damit der Shop gefunden wird. Und zum Schluss der Betrieb: ein Update-Prozess mit Rückweg, die typischen Fehlerbilder — und die Go-Live-Checkliste, mit der wir Halmgut heute wirklich online stellen.

0:56 Vier Ziele. Sie sollen eine Update-Strategie festlegen können, die den Shop nicht bei jedem Klick gefährdet — und die trotzdem tatsächlich stattfindet, denn Aufschieben ist die gefährlichere Variante. Sie sollen Backups so anlegen, dass sie im Ernstfall auch zurückspielbar sind; das ist etwas anderes, als Backups zu haben.

1:14 Sie sollen die Ladezeit dort verbessern, wo es im Shop wirklich zählt. Und Sie sollen kontrolliert live gehen, statt den Shop einfach sichtbar zu schalten und zu hoffen.

Sicherheit

1:24 Beginnen wir mit der Sicherheit, und gleich mit dem wichtigsten Befund: Die meisten Vorfälle sind keine raffinierten Angriffe. Sie beginnen mit einem veralteten Plugin, für das seit Monaten eine Lücke öffentlich bekannt ist. Das ist die gute Nachricht — denn dagegen können Sie etwas tun, ohne Fachmensch für IT-Sicherheit zu sein.

1:43 Stellen Sie sich ein Haus mit drei Schwachstellen vor. Erstens veraltete Software: eine Tür, deren Schloss öffentlich als knackbar bekannt ist. Zweitens schwache oder mehrfach verwendete Zugangsdaten — der Schlüssel, der auch zu zwanzig anderen Häusern passt. Und drittens zu weit vergebene Rechte: Jeder, der hereinkommt, kommt gleich überall hin. Härtung heißt, alle drei gleichzeitig anzugehen.

2:06 Und das ist wichtig, denn wer nur eine Ebene schließt, hat gar nichts gewonnen — Angreifer nehmen den einfachsten Weg, nicht den, den Sie erwartet haben. Warum ist die Update-Frage so heikel? Weil beide Extreme falsch sind. Alles automatisch einspielen heißt, dass irgendwann eine Erweiterung im Bestellvorgang bricht, während Sie schlafen.

2:27 Gar nicht aktualisieren heißt, mit bekannten Lücken zu leben — und eine Sicherheitslücke ist in dem Moment öffentlich, in dem das Update erscheint. Die Auflösung ist eine Abstufung: Sicherheitsupdates des Kerns automatisch, weil das Risiko des Wartens größer ist. Alles, was Bestellungen berührt, vorher testen. Und was seit Monaten kein Update bekommt, ersetzen Sie lieber, statt es zu behalten.

2:51 Fünf Schritte, und der wirksamste ist nicht der technischste. Eigene, lange Passwörter aus einem Passwortmanager sind Grundlage; die Zwei-Faktor-Anmeldung für alle Adminkonten ist der größte Einzelgewinn, weil sie ein gestohlenes Passwort wertlos macht. Begrenzte Login-Versuche stoppen das automatisierte Durchprobieren, das ohnehin permanent läuft. Aber der Punkt, den ich Ihnen ans Herz lege, steht auf Platz vier: Rechte prüfen.

3:17 Wer Bestellungen bearbeitet, braucht Shop-Manager, nicht Administrator. Und ausgeschiedene Konten löschen Sie, statt sie nur zu deaktivieren. Diese Tabelle beantwortet fünf Fragen, und die letzte Zeile ist die, die fast immer fehlt. Sichern Sie beides — Datenbank und Dateien —, denn die Bestellungen liegen in der Datenbank, die Produktbilder aber nicht.

3:39 Täglich, weil jeder Tag Bestellungen enthält, die Sie nicht rekonstruieren können. Extern, denn ein Backup auf demselben Server hilft genau dann nicht, wenn Sie es brauchen. Dreißig Tage Aufbewahrung, weil Schäden oft spät auffallen. Und getestet. Ein Backup, das nie zurückgespielt wurde, ist keine Sicherung, sondern eine Vermutung.

4:00 Deshalb machen wir genau das jetzt. Spielen Sie ein Backup auf einer Testumgebung zurück und schauen Sie nach, ob wirklich alles da ist — Produkte, Bestellungen, Einstellungen. Sehr oft stellt sich an dieser Stelle heraus, dass die Medienbibliothek fehlt oder die Sicherung älter ist als gedacht. Und notieren Sie, wie lange es gedauert hat.

4:20 Diese Zahl ist der eigentliche Ertrag der Übung: Im Ernstfall müssen Sie wissen, ob Ihr Shop zwanzig Minuten oder vier Stunden offline ist. Ein Gefühl hilft Ihnen dann nicht. Der erste Punkt ist der bittere: Backups auf demselben Server ablegen, dessen Ausfall man abfangen will. Fällt die Maschine aus, ist beides weg. Der zweite ist die halbe Sicherung — nur die Datenbank, ohne die Bilder; Sie haben dann alle Bestellungen und einen Shop ohne Produktfotos.

4:47 Der dritte ist die Bequemlichkeit, automatische Updates pauschal für alles zu aktivieren, auch für bestellrelevante Erweiterungen. Und der vierte ist die halbherzige Zwei-Faktor-Anmeldung: für ein Konto eingerichtet, während drei weitere Adminzugänge offenstehen.

Performance-Optimierung

5:02 Weiter zur Ladezeit. Im Shop ist das keine Frage der Ästhetik, sondern eine Umsatzgröße — mit jeder Sekunde springen Leute ab, und zwar messbar. Wichtig ist mir dabei ein Prinzip, das den ganzen Abschnitt trägt: erst messen, dann optimieren. Sonst ändern Sie Dinge, die nichts bewirken, und glauben, es hätte geholfen. Caching heißt: nicht jedes Mal neu kochen.

5:26 Wenn hundert Leute dieselbe Startseite aufrufen, muss der Server sie nicht hundertmal zusammenbauen — er legt das fertige Ergebnis beiseite und reicht es durch. Beim Seiten-Cache betrifft das ganze Seiten, beim Objekt-Cache einzelne Datenbankabfragen. Und ein CDN ist ein Netz von Zwischenlagern: Bilder und Dateien liegen näher an Ihrer Besucherin, was den Weg kürzt.

5:48 Das klingt nach reinem Gewinn — und genau hier lauert im Shop die gefährlichste Falle des ganzen Themas. Dazu gleich. Hier ist die Falle. Die Logik dieser Tabelle ist eine einzige Frage: Sieht diese Seite für alle gleich aus? Startseite, Kategorien, Produktseiten — ja, die dürfen zwischengespeichert werden, und dort liegt der größte Gewinn. Warenkorb, Kasse und Kundenkonto — nein, niemals.

6:13 Diese Seiten sind persönlich. Wird eine davon gecacht, bekommt die nächste Besucherin den Warenkorb der vorigen zu sehen, womöglich mit Namen und Adresse. Das ist kein Schönheitsfehler, das ist ein Datenschutzvorfall. Jedes brauchbare Caching-Plugin schließt diese Seiten standardmäßig aus — prüfen Sie es trotzdem. Schritt eins und Schritt fünf gehören zusammen: messen, ändern, wieder messen. Ohne Ausgangswert bleibt jeder Erfolg Behauptung.

6:41 Messen Sie dabei Startseite und Produktseite getrennt, die verhalten sich unterschiedlich. Beim Cache achten Sie auf die drei Ausnahmen von eben. Der dritte Punkt bringt bei Shops meist am meisten, weil Produktseiten bildlastig sind: moderne Formate und die richtige Größe. Und Schritt vier ist unbequem, aber wirksam — jedes Plugin lädt eigene Skripte und Stile mit, auch wenn Sie es kaum nutzen.

7:05 Ein Thema, das lange unsichtbar bleibt. Über Jahre sammeln sich alte Textfassungen, verwaiste Datenreste und Zwischenspeicher an, die niemand mehr braucht. Einzeln ist das belanglos, in Summe wird die Datenbank träge — und das merken Sie zuerst dort, wo Sie täglich arbeiten, nämlich in der Bestellverwaltung. Aufräumen lohnt sich also.

7:25 Nebenbei: Aktuell zu bleiben zahlt sich auch hier aus, denn die letzten Versionen von WordPress und WooCommerce haben an genau dieser Stelle nachgebessert. Und vor jeder Bereinigung ein Backup, danach eine Testbestellung. Der erste Punkt ist der schwerwiegendste des ganzen Tages, deshalb steht er noch einmal hier: Warenkorb und Kasse cachen und damit persönliche Daten an Fremde ausliefern.

7:48 Der zweite ist die alte Regel aus Dienstag — zwei Caching-Plugins parallel, und niemand weiß mehr, welches was tut. Der dritte ist methodisch: optimieren ohne Ausgangsmessung. Und der vierte ist der häufigste Anfängerfehler bei Bildern: ein Foto mit viertausend Pixeln Breite ausliefern und es per Layout auf vierhundert schrumpfen.

8:07 Der Browser lädt trotzdem alles.

SEO- & Marketing-Grundlagen für den Shop

8:09 Der drittbeste Shop im Netz nützt nichts, wenn ihn niemand findet. In diesem Abschnitt geht es um die Grundlagen — nicht um Tricks, sondern um Handwerk, das auf der Produktseite anfängt. Und zum Schluss wagen wir einen kurzen Blick auf etwas Neues: Sichtbarkeit in Antwortmaschinen. Im Kern ist Suchmaschinenoptimierung für einen Shop erstaunlich unspektakulär.

8:31 Jede Produktseite braucht einen eigenen Titel, eine eigene Beschreibung und maschinenlesbare Angaben zu Preis und Verfügbarkeit — damit die Suchmaschine versteht, dass hier ein Produkt steht und nicht ein Artikel darüber. Ein SEO-Plugin liefert Ihnen die Felder dafür und erzeugt die Sitemap, also das Inhaltsverzeichnis Ihrer Seite. Mehr Werkzeug brauchen Sie am Anfang nicht.

8:52 Die Arbeit steckt nicht in der Technik, sondern darin, die Felder tatsächlich auszufüllen. Schritt eins ist der Haken, den wir am Montag bewusst gesetzt haben — der, der Suchmaschinen fernhält. Der muss jetzt weg, sonst war alles Weitere vergeblich. Schreiben Sie dann je Produkt einen eigenen Titel und eine eigene Beschreibung; das ist Fleißarbeit, aber es ist die Arbeit, die wirkt.

9:16 Lassen Sie die strukturierten Angaben prüfen, dafür gibt es kostenlose Testwerkzeuge. Reichen Sie die Sitemap in der Search Console ein — erzeugen allein genügt nicht. Und verlinken Sie intern: vom Ratgeberbeitrag zum passenden Produkt. Ein Ausblick, mit angemessener Vorsicht. Antwortmaschinen zitieren zunehmend Seiten, statt nur Links aufzulisten — und das verändert, was Sichtbarkeit bedeutet.

9:40 Was zitiert werden soll, muss als Text auf der Seite stehen; was nur im Bild steht oder erst nach einem Klick erscheint, existiert für diese Systeme nicht. Praktisch heißt das: klare Struktur, eindeutige Produktangaben, saubere Überschriften. Das Erfreuliche daran ist, dass es dieselben Dinge sind, die auch Menschen und klassischen Suchmaschinen helfen.

10:01 Vernachlässigen Sie also nicht die Grundlagen für ein Feld, das sich noch sortiert. Der erste Punkt ist der wirksamste Bremsklotz überhaupt: Alle Produkte teilen sich dieselbe Beschreibung aus dem Herstellerkatalog — dieselbe übrigens, die hundert andere Shops auch verwenden. Der zweite ist riskant: Bewertungen auszuzeichnen, die es auf der Seite gar nicht gibt.

10:23 Falsche strukturierte Daten kosten Sie die Anzeige in den Suchergebnissen, ein fehlendes Feld nicht. Der dritte ist der vergessene Sichtbarkeits-Haken, vor dem ich am Montag gewarnt habe. Und der vierte: Sitemap erzeugt, aber nie eingereicht.

Wartung, Troubleshooting & Go-Live

10:37 Der letzte Abschnitt der Woche. Wir bringen jetzt zusammen, was den laufenden Betrieb ausmacht: ein Update-Prozess, der einen Rückweg hat. Die typischen Fehlerbilder, die Ihnen früher oder später sicher begegnen werden, samt dem ersten sinnvollen Schritt dagegen. Und dann die Checkliste, mit der Halmgut heute tatsächlich live geht — die dürfen Sie für jeden weiteren Shop wiederverwenden.

11:00 Betrieb besteht aus wenigen, immer gleichen Vorgängen: Updates einspielen, Fehler eingrenzen, Sicherungen prüfen. Der entscheidende Gedanke ist, dass jeder dieser Vorgänge einen definierten Ablauf und einen Rückweg braucht — und zwar bevor er zum ersten Mal auf der Live-Seite stattfindet. Denken Sie an einen Piloten mit Checkliste: nicht, weil er es nicht könnte, sondern weil unter Druck genau die Schritte vergessen werden, die man für selbstverständlich hält.

11:25 Genau dafür ist das Folgende gedacht. Fünf Schritte, und keiner ist optional. Das Backup zuerst — und lassen Sie sich den Abschluss bestätigen, statt es nur anzustoßen. Dann auf der Testinstanz einspielen und dort besonders prüfen, was Bestellungen berührt. Das Changelog zu lesen kostet zwei Minuten und verrät Ihnen, ob eine Änderung Sie betrifft.

11:48 Live gehen Sie in verkehrsarmer Zeit, mit einem Plan, wie Sie zurückkommen. Und dann Schritt fünf, den bitte nie streichen: eine Testbestellung. Sie prüft die ganze Kette auf einmal — Kasse, Zahlung, Mail. Diese Tabelle ist Ihre Erste Hilfe. Die Logik dahinter: Vom Symptom zur wahrscheinlichsten Ursache, und dann zum ersten sinnvollen Schritt — statt planlos Plugins abzuschalten.

12:11 Die weiße Seite bedeutet fast immer einen Programmfehler, und das Fehlerprotokoll sagt Ihnen, welcher. Bricht nach einem Update etwas, hilft der Wiederherstellungsmodus. Und da steckt ein Detail, das später wichtig wird: Dieser Modus schickt Ihnen einen Link per E-Mail. Wenn die Absenderadresse nicht stimmt, kommt er nicht an — und dann stehen Sie ausgesperrt vor Ihrem eigenen Shop.

12:34 Und jetzt die Liste, auf die die ganze Woche zuläuft. Eine Testbestellung mit echter Zahlungsart, inklusive Erstattung — das ist der einzige Weg, den Live-Pfad wirklich zu prüfen. Alle Mails kontrollieren, auch die an Sie selbst, denn die brauchen Sie im Alltag. Rechtstexte und Preisangaben gegenlesen. Die Sichtbarkeit freigeben und die Sitemap einreichen.

12:56 Und Punkt fünf ist der, der über das nächste Jahr entscheidet: Backup, Überwachung und Wartungstermine festlegen, solange Sie noch Schwung haben. Danach macht es niemand mehr. Jetzt gehen wir live. Arbeiten Sie die Checkliste ab, ohne Abkürzung — auch die Punkte, bei denen Sie sicher sind, dass sie stimmen. Genau dort steckt erfahrungsgemäß der Fehler.

13:17 Wenn die Testbestellung samt Erstattung durchgelaufen ist, alle Mails angekommen sind, die Sichtbarkeit freigegeben ist und der nächste Wartungstermin im Kalender steht, ist Halmgut online. Wer schneller fertig ist, schreibt den Update-Prozess als kurze Anleitung auf — für den Urlaub, für die Vertretung, für sich selbst in einem halben Jahr.

13:36 Vier letzte Warnungen. Live gehen, ohne je eine echte Zahlung getestet zu haben — der Testmodus beweist nur, dass der Testmodus funktioniert. Updates direkt live einspielen, weil die Testinstanz Zeit kostet; sie kostet Minuten, ein kaputter Checkout kostet einen Tag. Nach dem Go-Live keine Wartungstermine setzen und ein Jahr später zwanzig Updates auf einmal nachholen müssen — das ist dann kein Update mehr, das ist ein Projekt.

14:02 Und der letzte: den Zugang zum Hosting nur bei einer einzigen Person haben.

Danke!

14:08 Damit sind wir am Ende. In fünf Tagen ist aus einer leeren Installation ein Shop geworden — installiert, gestaltet, bestückt, abgesichert und live. Was Sie mitnehmen, ist aber weniger die Klickfolge als der Betriebsplan: Sie wissen, was gesichert wird, wann aktualisiert wird und wie Sie vorgehen, wenn etwas nicht funktioniert.

14:27 Für alles Weitere sind Learn WordPress und die WooCommerce-Dokumentation gute Anlaufstellen. Bleiben Sie neugierig, halten Sie die Plugin-Liste kurz — und machen Sie Backups. Vielen Dank für die Woche.