WordPress Kursplattform Aufbauphase – diese 5 Punkte habe ich früher nicht beachtet
Ich habe schon mal alles verloren. Das liegt auch schon eine ganze Weile zurück, aber bleibt in meiner Erinnerung. Zum Glück war das nur auf einer Testinstallation und nicht auf einer Seite mit aktiven Kursteilnehmern. Aber der Moment fühlt sich trotzdem gleich an: ein Update, das schiefgeht, ein falscher Klick, und plötzlich ist da nichts mehr, worauf man zurückgreifen kann. Kein Log-in funktioniert, nur Fehlercode.
In der WordPress Kursplattform Aufbauphase geht es nämlich nicht nur darum, was warten kann. Es geht genauso darum, was nicht warten darf. Fünf Punkte, die ich selbst am Anfang von WordPress-Installationen nicht ernst genug genommen habe, und an denen ich das später deutlich gespürt habe.
Sicherheit war für mich lange Nebensache
Als ich vor vielen Jahren mit WordPress angefangen habe, war Sicherheit das Thema, das ich mir für „später“ aufgehoben habe. Zuerst die Seite bauen, dann kümmere ich mich um den Rest, dachte ich. Was mir dabei nicht klar war: Bereits damals gab es automatisierte Angriffe und die fragen nicht, ob deine Seite schon fertig ist. Sie scannen einfach, was online steht, unabhängig davon, ob ein einziger Kursteilnehmer sie je gesehen hat. Mittels KI und den aktuellen Tools im Internet ist dieser Faktor exponentiell gestiegen.
Der Denkfehler, den ich früher am längsten mit mir herumgetragen habe: möglichst wenige Plugins zu installieren, weil ich irgendwo aufgeschnappt hatte, dass die meisten WordPress-Sicherheitslücken dort stecken, nicht im Kern selbst. Das stimmt so ungefähr, aber die Schlussfolgerung war bei mir zu kurz gedacht. Ein Plugin, das aktiv gepflegt wird, ist sicherer als zwei Plugins, die seit einem Jahr kein Update mehr hatten. Es lässt sich also nicht direkt auf Anzahl reduzieren, sondern es geht darum, ob überhaupt noch jemand hinter dem Plugin steht.
Der erste Aufwand an der eigentlichen Basis kostet nicht wirklich viel Arbeit. Ein langes, individuelles Passwort, mindestens 24 Zeichen, ohne vollständige Wörter. Eine Zwei-Faktor-Authentifizierung, damit ein gestohlenes Passwort allein nicht reicht. Und kein Benutzername namens „Admin“, weil genau der zuerst automatisiert durchprobiert wird. Hinzu die stetige und zeitnahe Aktualisierung von Plugins und WordPress-Core.
Selbstverständlich darf man die zusätzliche Sicherheit auf Server-Ebene und Unterstützung durch ein Security-Plugin keinesfalls außer Acht lassen, aber dieser erste Aufwand an der Basis ist das Minimum, das einen Großteil an Sicherheitsgewährleistung tragen kann.
Ein Backup, das ich nie getestet hatte
Mein Umgang mit Backups kommt nicht aus der WordPress-Welt, sondern aus meinem Studium zum technischen Tonmeister, das inzwischen fast zwei Jahrzehnte her ist. Dort lernt man früh: Eine einzige Kopie einer Aufnahme ist keine Sicherung, sondern ein Zufall, der noch nicht schiefgegangen ist. Ich halte mich seitdem an drei Kopien, an drei unterschiedlichen Orten, über drei unterschiedliche Systeme gesichert.
Auf meinem Server bei Hetzner läuft deshalb ein serverseitiges Backup, einmal wöchentlich, an einem separaten Standort. Das ist bei Hetzner gegen einen Aufpreis direkt implementiert, ohne mein wirkliches Zutun. Dann gibt es Backups auf Server-Ebene der einzelnen WordPress-Instanzen selbst.
Zusätzlich sichere ich täglich die WordPress-Dateien inkrementell, und die Datenbank noch häufiger, weil dort die eigentlichen Nutzerdaten liegen, nicht nur Bilder und Core-Dateien, die ohnehin noch woanders liegen.
Was ich am Anfang komplett übersehen hatte: Ein Backup, das man nie wiederhergestellt hat, ist nur eine Vermutung. Ich habe das einmal auf einer Testseite ausprobiert und musste feststellen, ob mein eigener Wiederherstellungsprozess überhaupt so funktioniert, wie ich mir das vorgestellt hatte. Und mit einer Testinstallation kann man das relativ zügig durchtesten.
Mein Tipp: Stell dir bewusst die Frage, wie lange du bräuchtest, um dein System nach einem Totalausfall wiederherzustellen – und probier es einmal aus, bevor der Ernstfall entscheidet, ob deine Antwort stimmt.
Der erste Eindruck, den ich unterschätzt habe
Für wen baue ich diese Seite eigentlich? Diese Frage habe ich mir am Anfang zu spät gestellt. Ich hatte ein Layout, akribisch auch darauf geachtet, dass es für Desktop und Handy passt, um dann selbst festzustellen, dass die Durchführung des Kurses niemand wirklich auf dem Handy machen würde. Der Blog wird aber mit hoher Wahrscheinlichkeit eher über das Handy besucht. Also geht es hier, die Prioritäten zu setzen und seine Zielgruppe bzw. auch das eigene Ausspielformat zu analysieren und darauf die Entscheidung zu treffen.
Noch unangenehmer wird es beim Kaufprozess selbst. Jemand hat sich entschieden, dein Angebot zu kaufen, und genau in diesem Moment blockiert ein technischer Fehler den Abschluss. Das Problem dabei ist nicht nur der eine verlorene Verkauf. Derjenige hat deinen Content noch gar nicht gesehen, für den er bezahlt hat, und du musst ihn jetzt überzeugen, es erneut zu versuchen, obwohl der erste Eindruck schon beschädigt ist. Vertrauen, das an dieser Stelle verloren geht, ist ungleich schwerer zurückzugewinnen als am Anfang aufzubauen. Also gilt es hier ebenfalls: testen, testen und testen.
Der Admin-Alltag, an den ich nicht gedacht hatte
Sobald eine Plattform läuft, bin ich nicht mehr nur derjenige, der Kursinhalte erstellt. Ich bin Betreiber eines Systems, das jemand anderes gerade nutzt, während ich etwas daran ändere. Ein Update, das ich einfach mal eben einspiele, kann für einen aktiven Kursteilnehmer im ungünstigsten Moment die Seite lahmlegen.
Deshalb teste ich Updates inzwischen erst auf einer separaten Testseite, bevor sie live gehen. Und ein Kontaktformular oder eine FAQ, die wiederkehrende Fragen direkt beantwortet, spart am Ende mehr Zeit, als ich am Anfang gedacht hätte, weil dieselbe Frage sonst gerne mehrfach am Tag ankommt.
Die rechtlichen Punkte, die ich vor mir hergeschoben habe
Impressum, Datenschutzerklärung, Cookie-Consent, rechtskonforme Rechnungsstellung – diese vier Punkte habe ich bei meinen Anfängen lange vor mir hergeschoben, weil sie sich nicht nach Technik anfühlen, sondern nach Papierkram. Am Ende war genau das der Punkt, der meine Wahl beim Shop-Tool entschieden hat. Viele der bekannten, oft aus den USA oder Indien stammenden Shop-Plugins halten sich schlicht nicht an deutsches Recht … warum auch? Der deutsche Markt ist dann eher nicht deren Kerngeschäft. Also brauchst du dann einen Workaround, der mit dem nächsten Update wieder kaputtgehen kann. Ich bin deshalb bei WooCommerce gelandet, kombiniert mit einem Add-on für deutsches Recht.
Ich bin kein Rechtsanwalt und will das hier auch nicht ersetzen. Wer sich einlesen will, findet bei e-recht24.de eine praxisnahe erste Anlaufstelle für WordPress-Betreiber. Was ich aus eigener Erfahrung sagen kann: Ich halte mich an diese Punkte, weil ich selbst auf der sicheren Seite stehen will, und weil ich weiß, wie es sich anfühlt, als Kunde einer fremden Seite die eigenen Daten anzuvertrauen.
WordPress Kursplattform Aufbauphase: Was daraus geworden ist
Diese fünf Punkte gehören für mich zu einem vollständigen Stack dazu, den eine WordPress-Kursplattform braucht. Daher stammt übrigens auch der Name meines Kursprogramms, der WPCourseStack: ein kompletter Stack, aber bewusst fokussiert auf das, was eine Kursplattform tatsächlich trägt. Die Themen aus der Miniserie, Cache, Statistik, SEO, die Entscheidung zwischen Kurs und Community, gehören nicht dazu. Sie können warten, deshalb tauchen sie im Kursprogramm selbst nicht auf.
Wie ich am Ende auf genau diese Aufteilung gekommen bin und was für mich persönlich den Ausschlag gegeben hat, erzähle ich in der Podcast-Folge zu dieser Miniserie.
