Man erkennt eine moderne Webagentur heute nicht mehr an Kreativität, sauberem Code oder guten Ergebnissen, sondern daran, wie viele Kunden-Websites sie in einem einzigen Dashboard als ein ferngesteuertes Risiko-Portfolio verwaltet. Am liebsten natürlich in so etwas elegantem wie ManageWP, MainWP oder WP Umbrella.

Die Idee ist verlockend einfach: ein Login, alle Kunden, alle Systeme, alle Updates. Ein Klick auf „Alles aktualisieren“ und schon fühlt sich IT-Sicherheit nach Fortschritt an.Während die Oberfläche Ruhe ausstrahlt, sieht die Realität oft eher aus wie eine lose gekoppelte Sammlung von WordPress-Installationen, Sicherheitsplugins und gut gemeinten Workflows, die alle auf dem stillen Vertrauen basieren, dass schon nichts passieren wird.

Und genau hier beginnt das eigentliche Dilemma: nicht die Tools selbst, sondern das Gefühl von Sicherheit, das sie erzeugen. Eine Sicherheit, die sich erstaunlich oft weniger aus Architektur als aus Aggregation speist.

Die große Illusion der Kontrolle

Früher wurden Updates einzeln eingespielt und Backups manuell geprüft. Heute dagegen loggt man sich in ein zentrales Panel ein und fühlt sich wie der Kapitän eines Raumschiffs, nur dass das Raumschiff aus 300 völlig unterschiedlichen WordPress-Installationen besteht, die alle irgendwo zwischen „läuft schon“ und „bitte nicht anfassen“ pendeln.

Sicherheit ist nur ein Feature – irgendwo im Menü

Sicherheit in solchen Setups hat einen interessanten Status: Sie wird konsequent wie ein optionales Add-on behandelt. Updates? Klar, werden gesammelt und nachts durchgejagt, weil niemand live sehen möchte, wie 300 Kundenwebsites gleichzeitig an einem „White-Screen-of-Death“ leiden.

Backups? Natürlich vorhanden. Irgendwo. Vermutlich. Vielleicht sogar getestet, aber nur in der Theorie, denn Restore-Szenarien gehören zur Kategorie „unangenehme Überraschungen bewahren wir uns für später auf“.

Und Sicherheitsplugins? Die laufen selbstverständlich auch. Zusammen mit 18 anderen Plugins, die alle „unbedingt notwendig“ waren, aber keiner wirklich weiß, warum eigentlich.

Der Mythos vom zentralen Dashboard

Das Dashboard verspricht Übersicht. In Wahrheit ist es eher ein Kontrollraum mit sehr optimistischem Design.

• Grün bedeutet: „Scheint zu funktionieren“
• Gelb bedeutet: „Wird wahrscheinlich später ein Problem“
• Rot bedeutet: „Kunde hat dich bereits angerufen“

Und trotzdem beruhigt es ungemein, wenn alles in einer Liste steht. Denn nichts schreit so sehr nach Professionalität wie die Fähigkeit 120 Sicherheitswarnungen zentral zu ignorieren.

Multi-Site-Management als Sicherheitsstrategie (oder: das Einfallstor mit Komfortfunktion)

Das Schönste an Tools wie ManageWP ist die stille Annahme, dass Zentralisierung automatisch Sicherheit bedeutet. Schließlich gilt: Wenn alles an einem Ort ist, ist es auch leichter zu kontrollieren. Ja, aber aus der Perspektive eines Angreifers betrachtet ist dann auch leichter zu kompromittieren.

Die Idee, alle Websites über ein zentrales System zu verwalten, klingt aus Gründen der Effizienz erstmal vernünftig – bis man realisiert, dass man damit auch einen zentralen Schlüssel für sehr viele Türen geschaffen hat. Ein einziger kompromittierter Zugang wird dann nicht mehr zum Problem einer Website, sondern zu einem digitalen Dominoeffekt.

Zugriffskontrolle: Wenn „wer hat Admin-Rechte?“ eine philosophische Frage wird

In vielen Agentur-Setups verschwimmt irgendwann die klare Linie zwischen „Administrator“, „temporärer Zugriff“ und „hatte das Passwort mal für einen Bugfix“. Je mehr Personen Zugriff haben, desto mehr Vertrauen wird implizit in alle Beteiligten gesetzt und in alle Systeme, die dieses Vertrauen nie explizit eingefordert haben.

Das stille Risiko hinter der Effizienz

Der eigentliche Charme solcher Systeme liegt darin, dass sie Komplexität verstecken, ohne sie zu lösen. Statt 300 Websites einzeln zu pflegen, pflegt man jetzt ein System, das alle Websites gleichzeitig pflegt. Das ist wie eine Mutter aller Abhängigkeiten: Wenn das zentrale Tool hustet, bekommen alle Websites gleichzeitig Fieber.

Warum ManageWP das perfekte Tool für Nostalgiker ist (und warum die Alternativen auch kein Allheilmittel sind)

Während die Konkurrenz versucht, mit künstlicher Intelligenz und Echtzeit-Monitoring zu glänzen, beweist ManageWP seit Jahren eine fast schon heroische Standhaftigkeit gegenüber jeglicher Form von Innovation. ManageWP war der unangefochtene König, wenn es darum ging, Dutzende WordPress-Websites von einem einzigen Dashboard aus zu verwalten. Dann kam 2016 die Übernahme durch GoDaddy. Und wie es bei vielen Akquisitionen im Tech-Bereich so schön ist, wurde das Tool danach nicht etwa mit neuen Features überhäuft. Nein, man gönnte ihm stattdessen einen wohlverdienten, dauerhaften Erholungsurlaub.

Wer das Dashboard heute betritt, erlebt eine digitale Zeitkapsel. Das Interface verströmt den unaufgeregten Charme der späten Obama-Amtszeit. Warum auch etwas ändern, das theoretisch noch funktioniert? Diese visuelle Beständigkeit hat fast schon etwas Beruhigendes, sofern man nicht versucht, damit im aktuellen Jahrzehnt eine moderne Webagentur zu führen.

Das Single-Point-of-Failure-Prinzip: Wenn Cybersicherheit kollektiv „hopps“ geht

Das Prinzip einer Multi-Verwaltung ist genial: Ein Klick, und 300 Websites sind aktualisiert. Aus Sicht der Cybersicherheit ist es allerdings der absolute Endgegner. Man legt alle Eier in einen einzigen, ziemlich alten Korb. Wenn dieser Korb aus dem Leim geht, wird es richtig spannend.

Bei einer zentralen Verwaltung reicht ein einziges Leck, eine einzige Schwachstelle im Master-Dashboard oder im allmächtigen „Worker-Plugin“, und das gesamte Kartenhaus bricht synchron zusammen. Es ist der Traum eines jeden Hackers: Warum mühsam 300 Türen einzeln aufbrechen, wenn man mit dem Generalschlüssel von ManageWP die gesamte Nachbarschaft auf einmal plündern kann? Wenn hier die Cybersicherheit „hopps“ geht, dann nicht leise bei einer unbedeutenden Testseite, sondern mit Pauken und Trompeten im kollektiven Domino-Effekt über das gesamte Kundenportfolio hinweg.

Horror-Szenario 1: Der „Freitagabend-Potenzmittel“-Slam (ManageWP)

Es ist Freitag, 16:45 Uhr. Das Bier steht kalt, das Wochenende winkt. Plötzlich meldet sich das Smartphone. Der erste Kunde ruft an, gefolgt von einer Welle von E-Mails. Ein Angreifer hat eine veraltete Schnittstelle im ManageWP-Worker-Plugin ausgenutzt.

Der Hacker hat nicht nur eine Seite gekapert, sondern über das Master-Dashboard einen Schadcode in alle 120 von dir verwalteten Kundenprojekte gleichzeitig injiziert. Innerhalb von fünf Minuten leiten die Webseiten der lokalen Zahnarztpraxis, des Bestatters und der Wirtschaftsprüfungsgesellschaft flächendeckend auf dubiose, osteuropäische Shops für billige Potenzmittel oder illegale Online-Casinos weiter.

Während du panisch versuchst, das Problem zu isolieren, crasht das veraltete ManageWP-Backup-System, weil 40 Wiederherstellungsprozesse gleichzeitig die Server-Infrastruktur komplett lahmlegen. Das Wochenende ist gestrichen. Die nächsten 72 Stunden verbringst du ohne Schlaf, mit zitternden Händen und dem süßlichen Geschmack von billigem Energy-Drink auf der Zunge, während du händisch bereinigte Datenbanken einspielst.

Das Domino-Spiel: Wie man als Agentur das Vertrauen der Unternehmenskunden rasiert

Für die Webagentur, die ihren Unternehmenskunden stolz teure „Wartungsverträge“ verkauft hat, wird der Tag des Master-Hacks zum absoluten Karriere-Highlight. Statt der üblichen, langweiligen Quartalsberichte darf die Agentur nun Dutzende panische Geschäftsführer anrufen und erklären, warum ihre digitale Existenz gerade kollektiv baden gegangen ist. Nichts schweißt eine Geschäftsbeziehung so sehr zusammen wie die gemeinsame Erfahrung eines totalen Datenverlusts, während der Support des Tools kryptische Fehlermeldungen ausspuckt.

Der Endgegner: Wenn Endkunden und die DSGVO anklopfen

Aber die Kette des Grauens hört hier natürlich nicht auf. Am Ende der Nahrungskette steht der ahnungslose Endkunde, der Verbraucher, der im Online-Shop des Unternehmenskunden eigentlich nur ein paar Socken bestellen wollte. Dank des kollektiven Blackouts wandern dessen Name, Adresse und Kreditkartendaten nun direkt ins Darknet. Ein toller Service: Datentransfer im Express-Tempo!

Das wiederum ruft die Landesdatenschutzbeauftragten auf den Plan. Die DSGVO versteht bei solchen kollektiven Daten-Partys bekanntlich überhaupt keinen Spaß. Während der Unternehmenskunde sich also mit existenzbedrohenden Bußgeldern und Schadensersatzforderungen der Endkunden herumschlägt, kann er die Schuldfrage direkt an die Agentur weiterreichen. Ein juristisches Ringelreihen, das ohne die charmante Ignoranz gegenüber modernen Sicherheitsstandards niemals möglich gewesen wäre.

Rettung in Sicht? Der Blick auf die hippen Alternativen

Wer genervt von ManageWP die Flucht ergreift, landet meistens bei den beiden großen Heilsbringern der Moderne. Doch Vorsicht: Wer glaubt, hier im digitalen Paradies zu landen, hat die Rechnung ohne die ganz eigenen Horror-Szenarien der Konkurrenz gemacht.

1. MainWP: Das „Do-it-yourself“-Fort Knox für Kontrollfreaks

MainWP wirbt damit, die ultimative, selbstgehostete Open-Source-Alternative zu sein. Kein Cloud-Zwang! Keine gierigen Großkonzerne, die deine Daten mitlesen! Das klingt fantastisch, bis man merkt, was das in der Praxis bedeutet. Bei MainWP bist du nicht mehr nur Webdesigner, sondern plötzlich Administrator einer eigenen, hochsensiblen Kommandozentrale auf deinem eigenen Server.

Horror-Szenario 2: Die PHP-Selbstzerstörung (MainWP)

Du hast brav das wöchentliche Sicherheits-Update für deine MainWP-Masterseite angestoßen. Was du nicht wusstest: Auf deinem Server lief im Hintergrund ein automatisiertes Update auf eine neue PHP-Version, die sich absolut nicht mit dem neuesten MainWP-Core versteht.

Es kommt zum gefürchteten „White Screen of Death“. Deine eigene Kommandozentrale ist komplett tot und schlimmer noch: Der unfertige Update-Befehl ist auf halbem Weg zu all deinen Kundenseiten steckengeblieben. Die Hälfte der Kunden-Websites befindet sich nun in einer permanenten Wartungsschleife, während die andere Hälfte Fehlermeldungen ausgibt, die sensible Server-Pfade für jedermann sichtbar im Browser anzeigen.

Da du keine externe Cloud nutzt, hängen die Backups auf genau demselben abgestürzten Server fest. Du hast dich erfolgreich selbst ausgesperrt. Während die Telefone heißlaufen, musst du per FTP und SSH-Konsole im Blindflug versuchen, PHP-Konfigurationen zu patchen, während dir bewusst wird: Bei MainWP gibt es keinen GoDaddy-Support, den man beschimpfen kann.

2. WP Umbrella: Das schicke Cloud-Startup mit dem „Abo-Regenschirm“

Wer es moderner mag, greift zu WP Umbrella. Die Oberfläche ist so clean und hip, dass man sich direkt wie in einem Silicon-Valley-Café fühlt. Es trackt PHP-Fehler in Echtzeit und glänzt mit automatischen Cloud-Backups. Das Problem? Das Tool ist eine klassische Cloud-Anwendung (SaaS) und zieht bei großen Portfolios ein tiefes Loch in die Agentur-Marge.

Horror-Szenario 3: Der API-Super-GAU im API-Paradies (WP Umbrella)

Es ist Dienstagmorgen. Ein hochinnovatives europäisches Hackerkollektiv findet eine Zero-Day-Schachstelle in der zentralen API-Infrastruktur von WP Umbrella. Da alle deine Kunden-Websites permanent verschlüsselte Signale an diese eine Cloud senden, reicht den Angreifern ein einziger Hebel am Hauptserver in Frankreich.

Über die infizierte API-Schnittstelle wird ein Ransomware-Skript an sämtliche verbundenen WordPress-Instanzen weltweit ausgerollt. Binnen Sekunden verschlüsseln sich die Datenbanken all deiner Kunden. Wenn der Werkzeughersteller oder die Anwaltskanzlei nun ihre Website aufrufen, sehen sie kein Hammer-Angebot oder Impressum mehr, sondern eine fette rote Warnmeldung mit einer Bitcoin-Adresse.

Das Absurde: Da die automatisierten Cloud-Backups von WP Umbrella logischerweise auch über genau diese kompromittierte API liefen, wurden die infizierten, verschlüsselten Datenbanken sofort als „aktuellster Stand“ in die Cloud geladen und haben die sauberen Backups des Vortrags überschrieben. Das hippe, minimalistische Dashboard zeigt dir in Echtzeit mit einem wunderschönen, modernen Ladebalken an, dass 100 % deiner Seiten erfolgreich unbrauchbar gemacht wurden.

Die Qual der Wahl

Am Ende zeigt sich: Das Prinzip der Multi-Verwaltung bleibt ein Tanz auf dem Vulkan:

• ManageWP ist der rostige Oldtimer, bei dem man während der Fahrt betet, dass die Achse nicht bricht, während hinten die Potenzmittel aus dem Kofferraum fliegen.
• MainWP ist der Bausatz für einen Panzer, den man aber komplett selbst zusammenschrauben muss, nur um sich am Ende mit der eigenen Munition selbst in die Luft zu sprengen.
• WP Umbrella ist der geleaste Sportwagen, der fantastisch aussieht, dich monatlich arm macht und bei einem Systemcrash die Luxus-Backups gleich mit verbrennt.

Wer für seine Unternehmenskunden maximale Cybersicherheit gewährleisten möchte, müsste im Grunde jede Website vollständig isoliert betreiben, ohne gemeinsame Infrastruktur und ohne jede Verbindung nach außen. Doch wer möchte im Jahr 2026 noch arbeiten wie 2004? Also bleibt nur, die Risiken bewusst abzuwägen und die passende Balance zwischen Sicherheit, Effizienz und Praktikabilität zu finden.

;-)