600 WordPress-Seiten in vier Wochen auf neue Technik umgestellt – ohne dass sich die Website fremd anfühlt

Ausgangslage: Eine gewachsene Website ist kein Wegwerfprodukt

Rund 600 Seiten entstehen nicht in einem Projekt. Sie wachsen über Jahre: Leistungsseiten, Fachbeiträge, Erklärseiten, Unterseiten, die irgendwann jemand gebraucht hat. Jede davon hat eine Adresse, auf die verlinkt wird, und viele haben eine Geschichte in der Suchmaschine. Zusammen sind sie ein Bestand, den man nicht einfach neu aufbaut.

Die Website lief auf WordPress, und sie lief. Das ist der Punkt, an dem viele Unternehmen stehen: Am Auftritt selbst gibt es wenig auszusetzen, am Unterbau schon. Jedes Update, jede Erweiterung und jede neue Sicherheitsmeldung bedeutet Arbeit – und ein Restrisiko, solange ein Server für jeden Besucher PHP-Code ausführt.

Genau dieses Restrisiko wollte unser Auftraggeber nicht länger tragen – nicht wegen eines Vorfalls, sondern vorsorglich. Die Umstellung war beschlossen und lief bereits, als im Oktober 2026 mit PHP2Shell eine Sicherheitslücke bekannt wurde, die genau diesen Unterbau betraf: Über PHP ließ sich unter bestimmten Bedingungen Code auf dem Webserver ausführen. Die Website unseres Auftraggebers war davon nicht betroffen. Bestätigt hat die Lücke trotzdem etwas – dass die Entscheidung richtig war.

Die Vorgabe war eindeutig: kein Redesign. Ein üblicher Relaunch ändert vieles gleichzeitig – Design, Texte, Seitenstruktur, Adressen und Technik. Geht danach etwas schief, weiß niemand, welche Änderung es war. Hier sollte sich nur eines ändern: die Technik. Für die Besucher bleibt das Vertraute. Hinter den Kulissen verändert sich nahezu alles.

Eine neue Website, die gut aussieht, ist noch keine gelungene Umstellung. Gelungen ist sie, wenn das erhalten bleibt, was über Jahre funktioniert hat.

Sicherheit: weniger, das angegriffen werden kann

WordPress ist nicht unsicher. Aber eine WordPress-Website ist ein Programm, das auf dem Server läuft: Bei jedem Aufruf führt PHP Code aus, fragt die Datenbank ab und lädt Erweiterungen. Jede dieser Stellen muss gepflegt werden, und jede Sicherheitslücke in einer davon betrifft potenziell die ganze Website.

Eine statische Website liefert fertige Dateien aus. Für die öffentlich erreichbaren Seiten muss kein PHP laufen, kein WordPress-Kern und keine Erweiterung. Damit fällt genau die Art von Angriff weg, die PHP2Shell möglich gemacht hat: Wo kein Code ausgeführt wird, lässt sich auch keiner einschleusen.

Unangreifbar ist die Website damit nicht. Der Webserver selbst, die Zugänge zur Pflege und die Formulare brauchen weiterhin Aufmerksamkeit. Die Angriffsfläche ist kleiner geworden, nicht verschwunden.

Die Messwerte: Was 100 und 96 im Alltag bedeuten

Gemessen haben wir mit Google PageSpeed Insights die Startseite – die umfangreichste Seite des Auftritts. Am Desktop erreicht sie in der Leistung 100 Punkte, mobil 96. Best Practices und SEO stehen auf beiden Geräten bei 100, die Barrierefreiheit bei 97.

Die Ladewerte am Desktop: erster sichtbarer Inhalt nach 0,6 Sekunden, größtes Element nach 0,7 Sekunden, Blockierzeit 20 Millisekunden, keine Layoutverschiebung. Mobil: 1,2 Sekunden, 2,7 Sekunden, 30 Millisekunden, ebenfalls keine Verschiebung.

Alle übrigen Seiten bauen auf denselben Vorlagen, Schriften, Stildateien und Skripten auf wie die Startseite, haben aber weniger Inhalt zu laden. Sie sind deshalb mindestens so schnell.

Was die Zahlen bedeuten: Eine Blockierzeit von 20 bis 30 Millisekunden heißt, dass der Browser praktisch sofort auf Eingaben reagiert – Google wertet alles unter 200 Millisekunden als gut. Keine Layoutverschiebung heißt, dass nichts nachrutscht, während die Seite lädt: Wer tippen will, trifft, worauf er zielt. Der Messwert selbst ist kein Ziel. Er zeigt, dass Besucher nicht warten.

PageSpeed-Werte sind Labormessungen; sie schwanken von Lauf zu Lauf um einige Punkte. Wir nennen sie, wie sie gemessen wurden – mobil 96, nicht „überall 100“.

212 Stunden in vier Wochen

Auf 600 Seiten gerechnet sind 212 Stunden gut 20 Minuten je Seite – für Übernahme, Vergleich, Korrektur und Nachkontrolle, alles eingerechnet. Das ist wenig für eine Seite, die man von Grund auf neu baut. Es ist viel für eine Seite, die man nur kopiert.

Der Unterschied ist die Prüfung. Ein Export braucht Minuten. Die Gewissheit, dass alle 600 Seiten stimmen, braucht den Rest.

Davon zu unterscheiden ist unsere 48-Stunden-Umstellung: Sie ist für den Notfall gebaut – für Websites mit bis zu zehn Unterseiten, die nach einem Angriff vom Netz genommen wurden und sofort wieder erreichbar sein müssen. Ein Auftritt mit 600 Seiten ist ein geplantes Projekt mit eigenem Zeitplan.

Was wir nicht behaupten

Wie sich Platzierungen und Anfragen nach der Umstellung entwickeln, lässt sich erst nach einigen Wochen sagen – und nur mit Zahlen von vorher und nachher. Die Umstellung schützt das, was eine Website in der Suche ausmacht: dieselben Adressen, dieselben Inhalte, dieselbe Struktur, dazu eindeutige kanonische Adressen. Eine Garantie für Platzierungen ist sie nicht, und die gibt niemand seriös.

Ergebnis: Vertrautes Erscheinungsbild, neue Grundlage

Die Website sieht aus wie vorher, unter denselben Adressen, mit denselben Inhalten und denselben Formularen.

Sie läuft ohne WordPress, ohne PHP im öffentlichen Auslieferungspfad und ohne die Erweiterungen, deren Zweck niemand mehr kannte. Jede Seite hat genau eine kanonische Adresse.

Die Startseite – die umfangreichste Seite des Auftritts – erreicht in PageSpeed Insights am Desktop 100 Punkte in der Leistung und mobil 96.

Gepflegt wird sie in Leonardos CMS.