DE
EN
Ein Technik-Check vor der Hochsaison ist keine Wartung, sondern eine Versicherung. Er kostet einen Tag im August und verhindert die Nachtschicht im November. Diese 14 Punkte sind die, bei denen wir in der Praxis am häufigsten fündig werden — sortiert nach Fundament, Sicherheit, Betrieb und Shop-Logik, jeweils mit dem konkreten Handgriff dahinter.
Im Beitrag zum Q4-Zeitplan ging es um das Wann: welcher Monat wofür da ist und warum der November nur noch zum Verkaufen taugt. Heute geht es ums Was. Denn „Technik prüfen“ ist einer dieser Sätze, bei denen alle nicken und niemand weiß, wo er anfangen soll.
Ich habe deshalb keine allgemeine Liste geschrieben, sondern die, die wir selbst abarbeiten. Vierzehn Punkte, in vier Blöcken. Manche brauchen zehn Minuten, zwei brauchen einen halben Tag. Und drei davon werden übersprungen, seit ich in diesem Geschäft bin — die kommen ganz am Ende, weil sie die teuersten sind.
Warum ausgerechnet im August?
Weil Sie jetzt noch Fehler machen dürfen. Ein Update, das im August schiefgeht, kostet Sie einen Nachmittag. Dasselbe Update am 20. November kostet Sie den Tag, an dem Ihre Kunden kaufen wollten.
Dazu kommt die unangenehmere Hälfte der Wahrheit: Die Hochsaison ist auch für die andere Seite Hochsaison. Der Digitalverband Bitkom hat für seine Studie über 1.000 Unternehmen befragt — 87 Prozent berichteten von Datendiebstahl, Spionage oder Sabotage, der Gesamtschaden lag bei 289,2 Milliarden Euro, davon rund 202 Milliarden durch Cyberangriffe. Von Ransomware betroffen waren 34 Prozent. Die Zahlen stehen in der Bitkom-Auswertung zum Wirtschaftsschutz in der deutschen Wirtschaft.
Sie müssen daraus keine Panik ableiten. Nur eine Reihenfolge: erst prüfen, dann optimieren. Ein schneller Shop, der am zweiten Advent verschlüsselt ist, hilft niemandem.
Block 1: Das Fundament (Punkte 1 bis 4)
1. Shop-Core und Erweiterungen auf aktuellem Stand
Klingt banal, ist aber der häufigste Fund. Nicht weil Betreiber faul sind, sondern weil ein Update im Livebetrieb Angst macht — und diese Angst wächst mit jedem Monat, den man es aufschiebt. Der Sprung von drei Versionen zurück auf aktuell ist ein Projekt. Der Sprung von einer ist ein Handgriff.
Praktisch: Listen Sie alle Erweiterungen mit installierter und verfügbarer Version auf. Alles, was mehr als zwei Minor-Versionen zurückliegt, kommt auf die Liste. Alles, was seit über einem Jahr kein Update erhalten hat, kommt auf eine zweite Liste — die heißt „Ersatz suchen“.
2. PHP-Version prüfen — und zwar die, die wirklich läuft
Nicht die, die im Hosting-Paket steht. Die, mit der Ihr Shop tatsächlich ausgeführt wird. Beides auseinanderzuhalten lohnt sich, denn viele Server haben eine PHP-Version für die Weboberfläche und eine andere für Cronjobs. Wenn Ihr Import nachts mit PHP 7.4 läuft, während der Shop 8.3 nutzt, finden Sie das genau dann heraus, wenn die Bestandssynchronisation Fehler wirft.
Eine abgekündigte PHP-Version bekommt keine Sicherheitsupdates mehr. Das ist im Sommer ein theoretisches Risiko und im Dezember ein praktisches.
3. Datenbank aufräumen
Shops sammeln. Verwaiste Sessions, abgelaufene Warenkörbe, Logeinträge von 2019, Indizes, die nie neu aufgebaut wurden. Das kostet im Normalbetrieb Millisekunden und unter Last Sekunden.
Schauen Sie sich die drei größten Tabellen an und fragen Sie sich bei jeder: Brauche ich diese Daten noch? Bei Logtabellen lautet die Antwort fast immer nein. Wichtig: vorher sichern, dann löschen — nicht umgekehrt.
4. Backup — und einmal wirklich zurückspielen
Der Punkt, über den niemand gern spricht, weil er unangenehm konkret ist. Ein Backup, das nie zurückgespielt wurde, ist keine Sicherung. Es ist eine Datei mit guten Absichten.
Prüfen Sie drei Dinge: Läuft die Sicherung automatisch? Liegt eine Kopie außerhalb des Servers? Und lässt sich daraus in einer Testumgebung ein funktionierender Shop herstellen? Das Bundesamt für Sicherheit in der Informationstechnik hat die Anforderungen an ein belastbares Konzept im Baustein CON.3 Datensicherungskonzept des IT-Grundschutz-Kompendiums zusammengefasst — inklusive der Anforderung, Wiederherstellungen regelmäßig zu üben.
Block 2: Sicherheit (Punkte 5 bis 8)
5. Zugänge inventarisieren
Wer hat Admin-Rechte in Ihrem Shop? Zählen Sie die Konten. Wenn eine Zahl herauskommt, die Sie überrascht, ist das schon das Ergebnis. Der Praktikant vom Sommer 2023, die Agentur, mit der Sie nicht mehr arbeiten, der Entwickler, dessen Zugang „für alle Fälle“ bestehen blieb.
Deaktivieren Sie, was nicht aktiv gebraucht wird. Für alles, was bleibt: Zwei-Faktor-Authentifizierung. Ja, auch für Sie selbst. Besonders für Sie selbst.
6. Patch-Management: Wer entscheidet, was wann eingespielt wird?
Das ist kein Werkzeug, sondern eine Zuständigkeit. In vielen Shops gibt es sie schlicht nicht — Updates werden eingespielt, wenn jemand Zeit hat. Das funktioniert, bis eine kritische Lücke bekannt wird und niemand weiß, wer jetzt handeln muss.
Legen Sie zwei Dinge fest: Wer prüft neue Sicherheitshinweise, und wie schnell muss ein kritischer Patch drin sein? Als Orientierung eignet sich der BSI-Baustein OPS.1.1.3 zum Patch- und Änderungsmanagement, der genau diese Rollen und Fristen beschreibt — und der eine Rückfallebene für den Fall verlangt, dass ein Patch etwas kaputt macht.
7. Zertifikate und ihre Ablaufdaten
Ein Leser hat mir letztes Jahr von einem Zahlungsdienstleister berichtet, dessen Zertifikat am 23. Dezember ablief. Das ist kein Einzelfall, sondern ein Muster: Zertifikate laufen ab, wenn niemand hinschaut.
Notieren Sie die Ablaufdaten von SSL-Zertifikat, API-Schlüsseln, Zahlungsanbieter-Zugängen und Versanddienstleister-Tokens. Alles, was zwischen dem 15. November und dem 15. Januar abläuft, erneuern Sie jetzt. Nicht später.
8. Ein Malware-Scan, den Sie nicht selbst schreiben
Prüfen Sie den Dateibestand gegen die Originaldateien der jeweiligen Version. Alles, was sich unterscheidet und nicht von Ihnen stammt, gehört angeschaut. Besonders beliebt bei Angreifern: das Upload-Verzeichnis, weil dort Schreibrechte liegen.
Ein Nebeneffekt, den viele unterschätzen: In Upload-Ordnern liegen erstaunlich oft alte Sicherungskopien mit Endungen wie .bak oder .old. Die werden vom Webserver als Klartext ausgeliefert — samt Datenbankzugangsdaten. Suchen Sie danach. Sie werden fündig.
Block 3: Betrieb (Punkte 9 bis 11)
9. Ein Staging-System, das diesen Namen verdient
Nicht „wir haben da mal was aufgesetzt“, sondern eine aktuelle Kopie mit denselben PHP- und Datenbankversionen wie das Livesystem. Alles andere testet etwas, das es so nicht gibt.
Wenn Sie im November eine Änderung direkt im Livesystem ausprobieren müssen, weil das Staging veraltet ist, haben Sie im August etwas versäumt.
10. Monitoring mit Alarm — nicht nur mit Diagramm
Ein Dashboard, das niemand ansieht, ist Dekoration. Sie brauchen mindestens: eine Erreichbarkeitsprüfung alle paar Minuten, einen Alarm bei Serverfehlern und eine Meldung, wenn die Antwortzeit über einen Schwellwert steigt.
Und dann der Teil, den fast alle vergessen: Der Alarm muss jemanden erreichen, der auch reagieren kann. Eine E-Mail an ein Postfach, das sonntags niemand öffnet, ist kein Monitoring.
11. Logrotation und Speicherplatz
Ein volles Dateisystem legt jeden Shop lahm, und zwar mit Fehlermeldungen, die auf ganz andere Ursachen hindeuten. Prüfen Sie den freien Speicher und ob Logdateien automatisch rotiert und gelöscht werden. Wenn Ihr Log-Verzeichnis mehrere Gigabyte umfasst, haben Sie Ihre Antwort.
Block 4: Shop-Logik (Punkte 12 bis 14)
12. Bestandssynchronisation unter Last denken
Solange zwanzig Bestellungen am Tag hereinkommen, fällt ein stündlicher Abgleich nicht auf. Bei dreihundert schon: Dann verkaufen Sie zuverlässig Dinge, die es nicht mehr gibt, und verbringen den Dezember mit Stornos und Entschuldigungen.
Prüfen Sie, in welchem Takt Ihr Shop und Ihre Warenwirtschaft Bestände abgleichen — und was passiert, wenn die Schnittstelle für zwei Stunden ausfällt. Wie eine belastbare ERP- und Warenwirtschaftsanbindung aussieht, haben wir an anderer Stelle ausführlicher beschrieben.
13. Zahlarten einmal komplett durchspielen
Nicht nur die, die Sie selbst nutzen. Alle. Inklusive Abbruch mitten in der Zahlung, inklusive Zurück-Button, inklusive Gastbestellung. Der Klassiker: Der Kunde bricht ab, klickt zurück, und der Warenkorb ist leer. Diese Bestellung kommt nicht wieder.
14. Ladezeit unter realistischer Last messen
Der wichtigste Satz zu diesem Punkt: Geschwindigkeit im Leerlauf sagt nichts über das Verhalten unter Last. Ein Shop, der morgens in 1,2 Sekunden lädt, kann am Black Friday um 20 Uhr bei acht Sekunden liegen. Welche Kennzahlen dabei wirklich zählen, haben wir in unserem Beitrag zu Core Web Vitals: INP, LCP und CLS auseinandergenommen.
Die drei Punkte, die am häufigsten übersprungen werden
Jetzt der ehrliche Teil. Von diesen vierzehn Punkten fallen in der Praxis fast immer dieselben drei hinten runter — und es sind ausgerechnet die, deren Fehlen am teuersten wird.
Der Rückspieltest (Punkt 4). Weil er Zeit kostet und weil das Ergebnis unangenehm sein könnte. Genau deshalb sollten Sie ihn machen. Ein Backup, dessen Funktion Sie nicht kennen, ist eine Wette.
Die Zugangsinventur (Punkt 5). Weil sie sich nach Bürokratie anfühlt. Bis ein alter Zugang für etwas benutzt wird, was Sie nicht wollten. Und professionelle Angreifer suchen genau danach: nach Zugängen, die niemand mehr im Blick hat.
Der Alarmweg (Punkt 10). Weil Monitoring aufzusetzen Spaß macht und das Klären von Zuständigkeiten nicht. Trotzdem entscheidet genau dieser Punkt darüber, ob ein Ausfall zwölf Minuten oder sechs Stunden dauert.
Was Sie in einer Stunde schaffen
Falls Ihnen die Liste zu lang ist, hier die Kurzfassung für einen einzigen Nachmittag. Diese vier Handgriffe decken den größten Teil des Risikos ab.
Erstens: Zählen Sie Ihre Admin-Konten und deaktivieren Sie alles, was nicht aktiv gebraucht wird. Zweitens: Notieren Sie alle Ablaufdaten von Zertifikaten und Schlüsseln und erneuern Sie alles, was zwischen Mitte November und Mitte Januar fällig wäre. Drittens: Spielen Sie ein Backup in einer Testumgebung zurück. Viertens: Bestellen Sie in Ihrem eigenen Shop — als Gast, vom Handy, im Mobilfunknetz, mit der unbeliebtesten Zahlart, die Sie anbieten.
Wer noch eine Stunde übrig hat, schaut in die Upload-Verzeichnisse. Wenn Sie dort eine Datei mit der Endung .bak finden, haben Sie gerade ein Datenleck geschlossen, von dem Sie nichts wussten. Eine praktische Schritt-für-Schritt-Anleitung dazu, wie eine Sicherung überhaupt aufgebaut sein sollte, stellt das BSI in seiner Anleitung „Schritt für Schritt zur Datensicherung“ bereit.
Häufige Fragen zum Technik-Check im Onlineshop
Wie lange dauert ein vollständiger Technik-Check?
Für einen mittleren Shop rechnen Sie mit einem Arbeitstag für die Prüfung selbst. Die Behebung gefundener Probleme dauert länger und hängt vom Zustand ab — typisch sind ein bis drei zusätzliche Tage. Der Rückspieltest des Backups und ein Lasttest sind die beiden zeitaufwendigsten Einzelpunkte.
Welche PHP-Version sollte mein Onlineshop 2026 nutzen?
Eine, die noch Sicherheitsupdates erhält — das ist das entscheidende Kriterium, nicht die höchste verfügbare Nummer. Prüfen Sie zusätzlich, ob Cronjobs und Kommandozeilenskripte dieselbe Version verwenden wie die Weboberfläche. Abweichungen zwischen beiden sind eine häufige Fehlerquelle bei Importen und Bestandsabgleichen.
Wie oft sollte ein Backup erstellt und getestet werden?
Die Sicherung selbst täglich und automatisiert, mit mindestens einer Kopie außerhalb des Servers. Der Wiederherstellungstest mindestens einmal pro Quartal und in jedem Fall vor der Hochsaison. Entscheidend ist nicht, dass eine Sicherung existiert, sondern dass sich daraus nachweislich ein funktionierender Shop herstellen lässt.
Was ist Patch-Management und brauche ich das als kleiner Shop?
Patch-Management bedeutet, dass festgelegt ist, wer neue Sicherheitshinweise prüft und wie schnell kritische Updates eingespielt werden müssen. Das ist keine Frage der Unternehmensgröße, sondern der Zuständigkeit. Auch ein Ein-Personen-Shop braucht die Antwort auf die Frage: Wer handelt, wenn morgen eine kritische Lücke bekannt wird?
Warum reicht ein normaler Speedtest nicht aus?
Weil er die Seite im Leerlauf misst. Engpässe entstehen typischerweise nicht beim Webserver, sondern bei der Datenbank, bei ungünstigen Filterabfragen in Kategorien oder bei Erweiterungen, die externe Schnittstellen synchron abfragen. Diese Probleme zeigen sich erst ab einer bestimmten Zahl gleichzeitiger Besucher — und dann sofort und deutlich.
Kann ich den Technik-Check auch im Oktober noch machen?
Prüfen ja, umbauen nur eingeschränkt. Im Oktober sollten Sie sich auf Sicherheitsthemen und Kleinigkeiten beschränken. Größere Eingriffe wie ein PHP-Wechsel, eine Datenbankbereinigung oder ein Hosting-Umzug gehören in den August oder September. Ab Anfang November gilt ohnehin Code-Freeze.
Fazit: Der Check ist die günstigste Maßnahme des Jahres
Von allem, was Sie vor der Hochsaison tun können, ist dieser Check das mit dem besten Verhältnis von Aufwand zu Wirkung. Er kostet keinen Werbeetat, keine Agenturleistung und keine neue Software — nur einen konzentrierten Tag und die Bereitschaft, unangenehme Antworten auszuhalten.
Der schwierigste Teil ist nicht die Technik. Es ist die Disziplin, im August etwas zu tun, dessen Nutzen erst im Dezember sichtbar wird — nämlich dadurch, dass nichts passiert. Erfolgreiche Vorbereitung fühlt sich langweilig an. Das ist kein Fehler, das ist das Ziel.
Was fehlt auf dieser Liste?
Vierzehn Punkte sind meine Auswahl, nicht das Evangelium. Welchen Punkt würden Sie ergänzen? Und noch spannender: Welchen haben Sie schon einmal übersprungen und es später bereut?
Schreiben Sie es in die Kommentare. Die besten Ergänzungen zu diesem Text kamen bisher immer von Leuten, denen etwas passiert ist, das in keinem Handbuch steht — abgelaufene Zertifikate am Feiertag, ein Cronjob mit falscher PHP-Version, ein Log-Verzeichnis, das die Festplatte gefüllt hat. Solche Geschichten sind mehr wert als jede Checkliste.
Wenn Sie wissen möchten, wo Ihr Shop technisch gerade steht, ohne selbst zu suchen: Unser kostenloser Sichtbarkeits- und Technik-Check analysiert jede Website ohne Anmeldung. Und wenn Sie die Punkte lieber gemeinsam durchgehen möchten, erreichen Sie uns über die Kontaktseite — im August mit deutlich mehr Ruhe als im Dezember.
Dieser Beitrag ist Teil unserer Q4-Serie. Jeden Dienstag und Freitag erscheint hier ein neuer Beitrag zur Vorbereitung auf die Hochsaison. Am kommenden Dienstag: Hosting unter Last — was Ihr Shop im November wirklich braucht.
Seien Sie der Erste, der einen Kommentar hinterlässt!