Die Anfrage klingt fast immer gleich: Es gibt eine Website oder ein kleines System, es läuft, aber der Entwickler ist nicht mehr erreichbar. Etwas soll geändert werden, und niemand traut sich.
Wir übernehmen solche Systeme — es ist eine unserer Auftragsarten. Aber nicht blind. Eine Übernahme ohne vorherige Prüfung ist die Zusage, für etwas geradezustehen, das man nicht kennt.
Warum die Prüfung vor der Zusage kommt
Bei einem Neubau kennt man das Risiko: die eigene Arbeit. Bei einer Übernahme erbt man die Entscheidungen von jemandem, den man nicht fragen kann — samt allem, was seit Jahren nicht aktualisiert wurde.
Wer ohne Prüfung „ja” sagt, hat zwei Möglichkeiten: Er kalkuliert einen Risikoaufschlag, der das Angebot unnötig teuer macht. Oder er kalkuliert ihn nicht und trägt das Risiko selbst, bis es teuer wird. Beides ist schlechter, als zwei Tage in eine Bestandsaufnahme zu stecken.
Was wir uns ansehen
Kommt man überhaupt heran? Zugang zu Quellcode, Server, Domain, DNS und Zertifikaten. Fehlt einer dieser Zugänge, ist das nicht Kleinkram — ohne Domainzugang kann niemand etwas umziehen. Die häufigste Lücke ist der DNS-Zugang, weil den oft ein früherer Dienstleister hält.
Worauf läuft es? Sprache, Framework, Datenbank — und vor allem: Werden die eingesetzten Versionen noch mit Sicherheitsaktualisierungen versorgt? Eine Laufzeitumgebung ohne Aktualisierungen ist ein Ablaufdatum, das schon überschritten ist.
Wie viele fremde Erweiterungen? Jede ist eine Abhängigkeit, die aufgegeben werden kann. Bei zwanzig Erweiterungen ist die Frage nicht ob eine bricht, sondern wann. Das Open Web Application Security Project führt veraltete Komponenten seit Jahren unter den häufigsten Schwachstellenklassen (OWASP Top 10).
Gibt es Daten, und wessen? Bei personenbezogenen Daten klären wir zuerst Verarbeitung, Rechtsgrundlagen und Rollen. Werden wir als Auftragsverarbeiter tätig, muss die Vereinbarung vor Beginn dieser Verarbeitung stehen. Unser Muster steht offen unter Auftragsverarbeitung.
Lässt sich der Stand sichern und wiederherstellen? Eine Sicherung, die noch nie zurückgespielt wurde, ist eine Hoffnung. Das prüfen wir, bevor wir irgendetwas verändern.
Drei mögliche Antworten
Nach der Bestandsaufnahme gibt es genau drei ehrliche Ergebnisse:
Übernehmen. Das System ist verstehbar, die Abhängigkeiten sind gepflegt, die Zugänge vollständig. Wir übernehmen Betrieb und Weiterentwicklung.
Übernehmen und schrittweise ablösen. Es läuft, aber es trägt nicht mehr weit. Dann betreiben wir es weiter und ersetzen Teile, solange der Betrieb läuft — statt eines großen Umstiegs, der ein Risiko an einem einzigen Tag bündelt.
Ablösen statt übernehmen. Manchmal ist der Neubau günstiger als die Einarbeitung. Bei kleineren Websites ist das häufiger, als man denkt: Was aus vielen Erweiterungen zusammengesteckt ist, kostet mehr Zeit im Verstehen als im Neubauen.
Die dritte Antwort ist die unbequemste, weil sie nach Verkaufsargument klingt. Deshalb belegen wir sie mit Stunden statt mit Meinung — mit Annahmen und einem Vergleich der möglichen Wege. Die vertiefte Bestandsaufnahme ist dabei eine beauftragte Leistung.
Was wir dabei nicht tun
Wir übernehmen nichts, das wir nicht betreiben können. Ein System auf einer Technologie, die wir nicht beherrschen, könnten wir vielleicht am Laufen halten — aber nicht verantworten. Was wir bewusst nicht anfassen, steht auf Technologien.
Und wir übernehmen nichts, ohne dass klar ist, wem es gehört. Für Quellcode, Inhalte und Domain müssen die nötigen Zugänge und Nutzungsrechte vorliegen. Fremdkomponenten bleiben an ihre jeweiligen Lizenzen gebunden. Sonst tauschen wir nur eine Abhängigkeit gegen eine andere.
Was Sie vorbereiten können
Wenn Sie so ein System haben, hilft für die erste Einschätzung schon wenig:
- Wo läuft es (Anbieter, Serveradresse)?
- Wer hält Domain und DNS?
- Gibt es Quellcode, und wo?
- Gibt es Zugangsdaten — und wer hat sie zuletzt benutzt?
- Werden personenbezogene Daten verarbeitet?
Diese Antworten helfen im kostenlosen Erstgespräch zu entscheiden, ob eine Bestandsaufnahme sinnvoll ist. Die technische Prüfung wird mit Ergebnis, Umfang und Aufwand separat angeboten. Ergibt sie, dass sich eine Übernahme nicht rechnet, halten wir auch das fest. Wie wir rechnen, steht auf Preise.