WordPress-Website offline: Was tun?

Öffnen Sie die Website auf dem Handy über das Mobilfunknetz, nicht über das WLAN im Büro. So schliessen Sie eine Störung im eigenen Netz aus. Halten Sie dann die genaue Meldung und die Uhrzeit fest, am besten mit einem Bildschirmfoto. Die genaue Fehlermeldung ist der wichtigste Hinweis auf die Ursache.

Am 21. Oktober haben mehrere Hoster ihr Webhosting oder PHP vorsorglich abgeschaltet, laut ihren Statusseiten in der Schweiz etwa cyon, in Deutschland unter anderem netcup, mittwald, Uberspace und Contabo. Andere spielten die Korrektur ohne Abschaltung ein. Die Hoster haben die Websites gestaffelt wieder eingeschaltet, laut ihren Statusseiten bis zum frühen Morgen des 22. Oktober (cyon meldete um 4 Uhr alle Websites wieder erreichbar). Ihre Website kann also ohne Ihr Zutun wieder erreichbar geworden sein.

Wo kein Update möglich ist, kommt laut den Behörden eine Abschaltung in Frage. Das BACS rät, insbesondere bei kritischen Anwendungen zu prüfen, «ob eine vorübergehende Trennung vom Internet oder eine Ausserbetriebnahme erforderlich ist». Das BSI empfiehlt ebenfalls, eine vorübergehende Trennung vom Internet zu erwägen. Selbst die DENIC, die Registrierungsstelle für .de-Domains, hat ausgewählte eigene Webseiten vorübergehend offline genommen.

Eine vorsorgliche Abschaltung erkennen Sie meist an einem dieser Zeichen:

• eine E-Mail Ihres Hosters oder Ihrer Agentur vom 20. oder 21. Oktober, eventuell im Spam-Ordner,
• ein Hinweis im Kundenbereich oder auf der Statusseite des Hosters,
• eine Wartungsseite, die PHP, ein Sicherheitsupdate oder die Lücke nennt,
• mehrere Websites beim selben Hoster sind gleichzeitig nicht erreichbar,
• die Website lässt sich lesen, aber Formulare, Anmeldung oder Bestellung funktionieren nicht.

Finden Sie nichts davon, fragen Sie direkt nach. Kurz und konkret genügt:

Schalten Sie eine vorsorglich abgeschaltete Website nicht selbst wieder ein, solange das PHP-Update nicht bestätigt ist. Sonst steht sie genau dem Risiko offen, vor dem die Abschaltung schützen soll.

Sehen Sie eine Fehlermeldung von WordPress oder eine weisse Seite, ist der Server erreichbar. Das Problem liegt dann in WordPress, einem Plugin, dem Theme oder der Datenbank. Ein möglicher Auslöser in diesen Tagen: Der Hoster hat die PHP-Version gewechselt, und ein älteres Plugin kommt damit nicht zurecht. Das Vorgehen dafür steht im Beitrag WordPress-Website funktioniert nicht mehr.

Meldet der Browser, der Server sei nicht zu finden, liegt das Problem oft vor dem Hosting. Prüfen Sie diese drei Punkte:

• Domain verlängert? Domains müssen regelmässig verlängert werden. Ging die Rechnung an eine alte E-Mail-Adresse, ist die Domain vielleicht abgelaufen. Den Stand zeigt die Stelle, bei der Sie die Domain registriert haben.
• DNS geändert? Hat jemand kürzlich die Einstellungen der Domain angepasst, etwa beim Wechsel des E-Mail-Anbieters, zeigt die Domain vielleicht nicht mehr auf den richtigen Server.
• Zertifikat gültig? Warnt der Browser vor einer unsicheren Verbindung, ist das Zertifikat oft abgelaufen oder falsch eingerichtet. Erneuert der Hoster es nicht automatisch oder schlägt die Erneuerung fehl, muss er eingreifen.

Eine gesperrte Website zeigt oft eine Standardseite des Hosters. Mögliche Gründe sind offene Rechnungen, ein ausgelaufener Vertrag oder ein Konto, das noch auf einen früheren Dienstleister läuft. Klären Sie, auf wen der Hosting-Vertrag lautet und ob die letzte Rechnung bezahlt ist. Liegt der Zugang bei einer Agentur, die nicht mehr antwortet, hilft unser Leitfaden Webdesigner meldet sich nicht mehr? So retten Sie Ihre Website.

Ein Ausfall allein ist kein Beleg für einen Angriff. Ernst nehmen sollten Sie dagegen diese Zeichen:

• fremde Inhalte, Spam-Seiten oder Weiterleitungen auf fremde Websites,
• eine Warnung des Browsers oder von Google vor einer gefährlichen Website,
• unbekannte Administratorkonten in WordPress,
• ein Hinweis Ihres Hosters auf Schadsoftware oder verdächtige Prozesse.

Trifft etwas davon zu, lassen Sie die Website offline. Informieren Sie Hoster und Dienstleister sofort und lassen Sie die Protokolle sichern, bevor jemand aufräumt. Ein PHP-Update allein entfernt keine Schadsoftware. Das BACS hält fest: «Ein Update beseitigt keine bereits erfolgte Kompromittierung.» Sind Kundendaten betroffen, klären Sie zusätzlich, ob Sie den Vorfall der Datenschutzbehörde melden müssen: in der Schweiz dem EDÖB, in Deutschland der Aufsichtsbehörde Ihres Bundeslands.

Eine vorsorglich abgeschaltete Website kann zurück ins Netz, sobald der Hoster das PHP-Update bestätigt hat und die Protokolle unauffällig sind. Testen Sie danach selbst: Startseite, Kontaktformular, Anmeldung und bei Shops eine Testbestellung. Hakt ein Formular, kann eine Übergangsmassnahme des Hosters dahinterstecken. Fragen Sie in diesem Fall zuerst dort nach.

Muss die Website länger vom Netz, zeigt der Server statt der Website besser eine einfache Hinweisseite mit Kontaktangaben. Am sichersten ist eine Hinweisseite, die ganz ohne PHP auskommt. Ein Wartungsmodus-Plugin genügt dafür nicht, wie die Fragen unten erklären.

Die Frascati GmbH aus Allschwil bei Basel unterstützt KMU in der Schweiz und in Deutschland, wenn die eigene Website ausfällt. Wir finden heraus, wo Domain und Hosting liegen, wer Zugang hat und warum die Website nicht erreichbar ist. Danach wissen Sie, ob ein Anruf beim Hoster genügt oder ob mehr nötig ist.

Ist meine Website gehackt, weil sie offline ist?

Nein, ein Ausfall allein beweist keinen Angriff. Rund um den 21. Oktober haben viele Betreiber ihre Websites vorsorglich abgeschaltet, und auch Domain, Zertifikat oder Hosting-Konto kommen als Ursache in Frage. Auf einen Angriff deuten nur konkrete Spuren hin, etwa fremde Inhalte, unbekannte Administratorkonten oder Warnungen des Browsers. Fehlen solche Spuren, ist das beruhigend, aber kein Beweis. Die Protokolle prüft Ihr Hoster.

Wie lange bleibt eine vorsorglich abgeschaltete Website offline?

Bis Hoster oder Dienstleister die korrigierte PHP-Version eingespielt und geprüft haben. Läuft die Website auf PHP 8.1 oder älter, kann es länger dauern, weil zuerst ein Weg zu einer unterstützten Version gefunden werden muss. Fragen Sie nach einem konkreten Termin.

Verliere ich Google-Platzierungen, wenn die Website ein paar Tage offline ist?

Ausschliessen lässt sich das nicht, Sie können das Risiko aber begrenzen. Google rät grundsätzlich davon ab, eine ganze Website abzuschalten. Muss sie dringend vom Netz, empfiehlt Google für ein bis zwei Tage eine Hinweisseite mit dem Statuscode 503. Schon wenige Wochen ohne Website können laut Google der Indexierung schaden. Für längere Pausen rät Google zu einer Startseite als Platzhalter, die für Suchmaschinen erreichbar bleibt.

Hilft ein Wartungsmodus-Plugin als Schutz?

Nein. Bei manchen Server-Konfigurationen greift der Angriff laut PHP-Projekt, bevor WordPress überhaupt startet. Ein Plugin kann dann nichts abfangen. Wirksam ist bis zum Update nur, PHP für die Website abzuschalten oder die Website auf Ebene des Servers vom Netz zu nehmen. Das übernimmt Ihr Hoster oder Dienstleister.

Bleibt die Ursache unklar, oder fehlt Ihnen der Zugang zur eigenen Website? Vereinbaren Sie einen Termin, wir grenzen die Ursache gemeinsam ein.