Website-Migration & Härtung: 25+ Seiten auf eine moderne Plattform – und was wir dabei fanden
Im Oktober 2026 haben wir über 25 Websites von zwei veralteten Servern (u. a. CentOS 6, PHP 5.3) auf eine moderne, gehärtete Plattform migriert. Drei von fünf WordPress-Seiten waren kompromittiert – wir haben sauber neu aufgebaut statt kopiert. Ergebnis: sicherer und bis zu 4× schneller.
Ausgangslage
Zwei in die Jahre gekommene Webserver sollten zusammengeführt werden – einer davon mit CentOS 6, PHP 5.3 und MySQL 5.1, also Software, die seit Jahren keine Sicherheitsupdates mehr erhält. Insgesamt ging es um über 25 Websites: WordPress-Seiten, klassische PHP-Anwendungen, statische Auftritte, eine Bildergalerie und Weiterleitungen. Zielplattform: Debian 13, Apache 2.4, PHP 8.4, MariaDB 11.
Der wichtigste Befund
Vor der Migration haben wir jede Seite geprüft – und drei von fünf WordPress-Seiten waren kompromittiert, teils seit Jahren unbemerkt. Die Spuren reichten von 2020 bis in den Herbst 2026:
- mehrere, teils gut getarnte Hintertüren – darunter ein Login-Bypass, der ohne Passwort Admin-Zugang verschaffte, und ein untergeschobenes Administrator-Konto;
- Datei-Zeitstempel waren gefälscht, damit eine Suche nach „kürzlich geänderten Dateien" ins Leere läuft;
- auf dem ältesten Server zusätzlich Webshells in längst stillgelegten Alt-Seiten und ein offenes Upload-Formular aus dem Jahr 2001, das noch öffentlich erreichbar war.
Wahrscheinliches Einfallstor: ein Datei-Manager-Plugin mit bekannten Schwachstellen sowie veraltete Plugins und Kauf-Themes ohne Updates.
Unser Ansatz: neu aufbauen statt kopieren
Eine infizierte Seite eins zu eins umzuziehen, würde den Angreifer mitnehmen. Deshalb haben wir die betroffenen Seiten rund um die bestehenden Inhalte neu aufgebaut: frischer WordPress-Core und Plugins aus offizieller Quelle (mit Prüfsummen-Kontrolle), Medien ohne ausführbare Dateien, neue Passwörter und Sicherheitsschlüssel, bereinigte Benutzerkonten. Verdächtiges wurde nicht gelöscht, sondern in Quarantäne gesichert und analysiert – alles bleibt nachvollziehbar.
Die neue Plattform – mehrstufig gehärtet
- Strikte Trennung: Jede Seite läuft unter einem eigenen Systembenutzer – eine kompromittierte Seite kann die anderen nicht lesen oder verändern.
- Täglicher Integritäts-Check: Abgleich gegen offizielle Prüfsummen und ein eigener Muster-Scanner melden veränderte Website-Dateien sofort.
- Brute-Force-Schutz für Logins und Scanner, lokale Firewall, automatische Sicherheitsupdates inkl. WordPress-Core, Plugins und Themes.
- Verwaltungsbereiche nur aus dem Admin-Netz erreichbar, Uploads ohne Skript-Ausführung, Let's-Encrypt-Zertifikat und http→https für jede Seite.
Unser Scanner wurde an den echten Funden geschärft: Er erkennt alle gefundenen Schaddateien und Hintertüren – ohne Fehlalarm auf den sauberen Live-Seiten.
Schneller obendrein
Mit abgestimmtem PHP-Opcache, angepasster Prozesskonfiguration und Umstellung der Datenbank auf InnoDB antworten die WordPress-Seiten nun bis zu 4× schneller (Zeit bis zum ersten Byte z. B. von 0,65 s auf 0,15 s).
Was Website-Betreiber mitnehmen sollten
- Alte Server sind nicht „stabil", sondern ungeschützt – ohne Sicherheitsupdates bleiben Lücken offen.
- „Läuft doch" heißt nicht „sauber": Hintertüren können jahrelang unbemerkt aktiv sein.
- Eine kompromittierte Seite nicht kopieren, sondern sauber neu aufbauen.
- Datei-Editoren und riskante Plugins deaktivieren, stillgelegte Seiten wirklich entfernen.
- Auf tägliche Integritätsprüfung setzen statt auf Zufallsfunde.
Sie betreiben selbst ältere Websites oder sind unsicher, ob alles sauber ist? Wir prüfen, migrieren und härten Ihre Seiten – sprechen Sie uns an.