Am 21. Oktober 2026 haben viele Unternehmen ihre Website vom Netz genommen. Der Grund war eine Lücke in PHP, der Sprache, in der WordPress, TYPO3, Joomla und Drupal geschrieben sind. Wer eine solche Seite betreibt, hat an diesem Tag gemerkt, woran er hängt: an einem Programm, das bei jedem Seitenaufruf auf dem Server läuft und das jemand von außen dazu bringen kann, etwas anderes zu tun als vorgesehen.
Für die meisten Firmenwebsites ist das ein Risiko ohne Gegenwert. Eine Seite mit Leistungen, Referenzen, Team und Kontaktformular ändert sich ein paarmal im Monat. Dafür läuft rund um die Uhr ein Programm mit Datenbankzugriff, das gepflegt, aktualisiert und überwacht werden muss – und das trotzdem angreifbar bleibt, wenn in einem Baustein eine Lücke steckt.
Eine statische Website kehrt das um. Die Seiten werden einmal fertig erzeugt und liegen danach als Dateien auf dem Server. Kommt ein Besucher, wird nichts berechnet, nichts nachgeschlagen, nichts ausgeführt – die fertige Datei geht raus. Es gibt kein Programm, das man zu etwas überreden könnte.
Was sich für Sie ändert
Für Ihre Besucher sieht die Seite aus wie vorher. Dahinter ändert sich vier Dinge.
- Keine Angriffsfläche im NetzKein PHP, keine Datenbank, keine Verwaltungsoberfläche, die öffentlich erreichbar ist. Lücken wie PHP2Shell laufen ins Leere, weil es nichts gibt, worin sie wirken könnten.
- Keine Update-Pflicht mehrKein Kern, keine Themes, keine Erweiterungen, die wöchentlich aktualisiert werden müssen. Der häufigste Grund für gehackte Firmenwebsites – ein vergessenes Update – entfällt.
- Deutlich schnellerEine fertige Datei auszuliefern dauert einen Bruchteil davon, sie erst zusammenzusetzen. Das merken Besucher, und Google misst es.
- Pflege bleibt bei IhnenInhalte ändern Sie weiterhin selbst – in Leonardos CMS statt im WordPress-Backend. Nach dem Speichern wird die Seite neu erzeugt und ist wenige Minuten später online.
Die 48 Stunden
Die Frist beginnt, wenn uns zwei Dinge vorliegen: Ihre Freigabe und der Zugang zur bestehenden Website. Nicht vorher – ohne Zugang können wir nichts übernehmen.
Stunde 0
Bestandsaufnahme
Wir erfassen jede Seite, jedes Bild, jedes Dokument und jede Adresse. Daraus entsteht eine Liste, gegen die am Ende geprüft wird.
Stunde 1–12
Inhalte übernehmen
Texte, Bilder, Dateien und die Seitenstruktur werden eins zu eins übertragen. Jede bestehende Adresse bleibt erhalten oder bekommt eine dauerhafte Weiterleitung.
Formular und Suche
Kontaktformular und Website-Suche werden auf den neuen Weg umgestellt – für Besucher unverändert bedienbar.
Stunde 12–24
Aufbau und Abgleich
Die statische Fassung wird erzeugt und Seite für Seite gegen das Original gehalten. Abweichungen werden behoben, bevor jemand sie sieht.
Stunde 24–40
Prüfung und Freigabe
Sie sehen die fertige Seite unter einer Vorschauadresse, bevor etwas umgeschaltet wird. Änderungswünsche arbeiten wir in dieser Phase ein.
Stunde 40–48
Umschaltung
Die neue Fassung geht live, die alte Installation bleibt als Sicherung erhalten. Adressen, Weiterleitungen und Suchmaschinen-Einträge werden geprüft.
Was mitkommt – und was nicht
Die ehrliche Übersicht. Alles, was auf einer Firmenwebsite üblich ist, lässt sich übernehmen. Drei Dinge nicht – und die sagen wir vorher, nicht im Nachhinein.
| Funktion | Heute in WordPress | Nach der Umstellung |
|---|---|---|
| Seiten, Texte, Bilder, Dokumente | aus der Datenbank erzeugt | eins zu eins übernommen |
| Seitenstruktur und Adressen | WordPress-Permalinks | unverändert oder dauerhaft weitergeleitet |
| Kontaktformular | PHP verschickt die Mail | eigener Dienst im Hintergrund, Bedienung gleich |
| Website-Suche | Datenbankabfrage | Suchindex im Browser, spürbar schneller |
| Mehrsprachigkeit | Umschaltung zur Laufzeit | wird mit erzeugt |
| News und Blog | WordPress-Editor | Leonardos CMS, Veröffentlichung in Minuten |
| Kommentare | Datenbank | entfällt, auf Wunsch über einen Dienst |
| Terminbuchung | Plugin mit Datenbank | nur über einen externen Buchungsdienst |
| Login- oder Kundenbereich | WordPress-Benutzer | nicht statisch abbildbar |
| Onlineshop mit Kasse | Shop-System | nicht statisch abbildbar |
Leonardos CMS: Ihre Inhalte bleiben in Ihrer Hand
Der häufigste Einwand gegen eine statische Website lautet: „Dann kann ich ja nichts mehr selbst ändern.“ Das wäre auch kein gutes Geschäft. Deshalb gehört zur Umstellung ein Redaktionssystem, in dem Sie weiterarbeiten wie bisher – Leonardos CMS.
Der Unterschied zu WordPress liegt nicht in der Bedienung, sondern darin, wo das System steht. Ihre Website selbst besteht nach der Umstellung nur noch aus fertigen Dateien; die Redaktion liegt dahinter und ist nicht Teil der öffentlichen Seite. Der Zugang führt über ein vorgelagertes Zugangssystem, und erst dahinter folgt die eigentliche Anmeldung am Dashboard.
Praktisch heißt das: Was ein Angreifer im Internet findet, sind Ihre Seiten – und sonst nichts. Keine Anmeldemaske, keine Verwaltungsoberfläche, keine Datenbank. Genau das ist der Unterschied, auf den es an Tagen wie dem 21. Oktober ankommt.
Nach dem Speichern wird die betroffene Seite neu erzeugt und ist wenige Minuten später öffentlich. Sie müssen dafür nichts anstoßen und nichts verstehen.
Was das mit dem 21. Oktober zu tun hat
An diesem Tag wurden zwei Lücken in PHP veröffentlicht, die es erlaubten, aus der Ferne eigenen Code auf dem Webserver auszuführen – ohne Anmeldung, ohne Zutun eines Nutzers. Das BSI stufte die Lage in Warnstufe 3 ein und nannte als Maßnahme: sofort patchen oder das System vom Internet trennen. Betroffen waren PHP-Versionen von 2012 bis heute.
Solche Tage kommen wieder. Nicht unbedingt mit PHP, nicht unbedingt mit derselben Lücke – aber überall dort, wo Programme öffentlich erreichbar laufen, wird es irgendwann eine geben. Das ist kein Argument gegen WordPress, sondern eines für die Frage, ob eine Firmenwebsite diese Bauart überhaupt braucht.
Wenn sich Ihre Seite ein paarmal im Monat ändert, lautet die Antwort in aller Regel: nein.
So läuft eine Anfrage ab
Vier Schritte bis zur Entscheidung. Erst danach entsteht Aufwand bei Ihnen.
- Adresse nennenSie schicken uns die Adresse Ihrer Website und sagen, ob es Formulare, geschützte Bereiche oder einen Shop gibt.
- Prüfung durch unsWir sehen uns die Seite von außen an und sagen Ihnen innerhalb eines Arbeitstages, ob sie geeignet ist, was mitkommt und was nicht. Schriftlich.
- Freigabe und ZugangSie entscheiden. Mit Ihrer Freigabe und dem Zugang zur bestehenden Website beginnen die 48 Stunden.
- Vorschau, Umschaltung, EinweisungSie sehen die fertige Seite vor dem Umschalten. Danach zeigen wir Ihnen Leonardos CMS, damit Sie ab dem ersten Tag selbst arbeiten können.
Zum Weiterlesen
Die fachliche Grundlage zu diesem Angebot – ohne Verkaufstext.
- WordPress-Alternative: wann sich der Umstieg lohntDie nüchterne Abwägung: Welche Seiten profitieren, welche nicht.Ansehen →
- Was eine statische Website kann – und was nichtDie Grenzen im Einzelnen, ohne Beschönigung.Ansehen →
- Website-Relaunch ohne RankingverlustWarum Umstellungen Sichtbarkeit kosten und wie man das vermeidet.Ansehen →
- WordPress-Wartung: was dazugehörtWenn Sie bei WordPress bleiben: Das muss ein Wartungsvertrag leisten.Ansehen →
- PHP-Sicherheitslücke PHP2ShellDer Vorfall vom 21. Oktober 2026 und was jetzt zu tun ist.Ansehen →
- Onlineshop: warum statisch hier nicht gehtUnd welcher Weg für Shops stattdessen sinnvoll ist.Ansehen →
Häufige Fragen
- Bleiben meine Google-Platzierungen erhalten?
- Das ist das erklärte Ziel der Umstellung. Jede bestehende Adresse bleibt entweder gleich oder bekommt eine dauerhafte Weiterleitung, Titel und Beschreibungen werden übernommen, die Sitemap wird neu eingereicht. Kurzfristige Schwankungen nach einer Umstellung sind normal; dauerhafte Verluste entstehen, wenn Adressen verloren gehen – und genau das wird abgeglichen.
- Kann ich danach noch selbst Texte ändern?
- Ja. Dafür gibt es Leonardos CMS. Sie melden sich an, ändern den Text, speichern – die Seite wird neu erzeugt und ist wenige Minuten später online. Sie brauchen dafür keine technischen Kenntnisse.
- Was passiert mit dem Kontaktformular?
- Das bleibt. Statt über PHP läuft es über einen eigenen Dienst im Hintergrund. Für den Besucher ändert sich nichts: ausfüllen, absenden, Bestätigung. Die Nachrichten kommen weiterhin bei Ihnen an.
- Wir haben einen Onlineshop. Geht das auch?
- Nicht mit diesem Angebot. Ein Shop braucht Warenkorb, Kasse, Zahlung und Lagerbestand – das sind Vorgänge, die beim Aufruf stattfinden, und die kann eine fertige Datei nicht leisten. Für Shops gibt es andere Wege; sprechen Sie uns darauf an, dann sehen wir uns das gesondert an.
- Was kostet das?
- Das hängt vom Umfang ab: Seitenzahl, Sprachen, Formulare und davon, in welchem Zustand die bestehende Seite ist. Nach der Prüfung bekommen Sie einen festen Preis, bevor Sie sich entscheiden müssen.
- Was passiert mit der alten WordPress-Installation?
- Sie bleibt zunächst als Sicherung erhalten, aber vom Internet getrennt. So lässt sich im Zweifel nachsehen, ohne dass sie weiter angreifbar wäre. Wann sie endgültig abgebaut wird, entscheiden Sie.
- Gelten die 48 Stunden für jede Website?
- Die Frist gilt für übliche Firmenwebsites, wie sie der Mittelstand betreibt. Bei sehr umfangreichen Seiten, vielen Sprachen oder Sonderfunktionen nennen wir Ihnen nach der Prüfung einen eigenen Termin – vorher, nicht hinterher.
- Ist eine statische Website wirklich sicher?
- Sicherer, nicht unverwundbar. Es gibt kein Programm und keine Datenbank, die angegriffen werden könnten, und damit entfällt die häufigste Ursache für gehackte Firmenwebsites. Der Webserver selbst, die Domain und Ihre Zugänge wollen weiterhin gepflegt werden.