Die Anfrage klingt fast immer gleich: Es gibt eine Website oder ein kleines System, es läuft, aber der Entwickler ist nicht mehr erreichbar. Etwas soll geändert werden, und niemand traut sich.
Wir übernehmen solche Systeme — es ist eine unserer Auftragsarten. Aber nicht blind. Eine Übernahme ohne vorherige Prüfung ist die Zusage, für etwas geradezustehen, das man nicht kennt.
Warum die Prüfung vor der Zusage kommt
Bei einem Neubau kennt man das Risiko: die eigene Arbeit. Bei einer Übernahme erbt man die Entscheidungen von jemandem, den man nicht fragen kann — samt allem, was seit Jahren nicht aktualisiert wurde.
Wer ohne Prüfung „ja” sagt, hat zwei Möglichkeiten: Er kalkuliert einen Risikoaufschlag, der das Angebot unnötig teuer macht. Oder er kalkuliert ihn nicht und trägt das Risiko selbst, bis es teuer wird. Beides ist schlechter, als zwei Tage in eine Bestandsaufnahme zu stecken.
Was wir uns ansehen
Kommt man überhaupt heran? Zugang zu Quellcode, Server, Domain, DNS und Zertifikaten. Fehlt einer dieser Zugänge, ist das nicht Kleinkram — ohne Domainzugang kann niemand etwas umziehen. Die häufigste Lücke ist der DNS-Zugang, weil den oft ein früherer Dienstleister hält.
Worauf läuft es? Sprache, Framework, Datenbank — und vor allem: Werden die eingesetzten Versionen noch mit Sicherheitsaktualisierungen versorgt? Eine Laufzeitumgebung ohne Aktualisierungen ist ein Ablaufdatum, das schon überschritten ist.
Wie viele fremde Erweiterungen? Jede ist eine Abhängigkeit, die aufgegeben werden kann. Bei zwanzig Erweiterungen ist die Frage nicht ob eine bricht, sondern wann. Das Open Web Application Security Project führt veraltete Komponenten seit Jahren unter den häufigsten Schwachstellenklassen (OWASP Top 10).
Gibt es Daten, und wessen? Sobald personenbezogene Daten im Spiel sind, braucht die Übernahme einen Auftragsverarbeitungsvertrag und eine Klärung, was bisher eigentlich verarbeitet wurde. Unser Muster steht offen unter Auftragsverarbeitung.
Lässt sich der Stand sichern und wiederherstellen? Eine Sicherung, die noch nie zurückgespielt wurde, ist eine Hoffnung. Das prüfen wir, bevor wir irgendetwas verändern.
Drei mögliche Antworten
Nach der Bestandsaufnahme gibt es genau drei ehrliche Ergebnisse:
Übernehmen. Das System ist verstehbar, die Abhängigkeiten sind gepflegt, die Zugänge vollständig. Wir übernehmen Betrieb und Weiterentwicklung.
Übernehmen und schrittweise ablösen. Es läuft, aber es trägt nicht mehr weit. Dann betreiben wir es weiter und ersetzen Teile, solange der Betrieb läuft — statt eines großen Umstiegs, der ein Risiko an einem einzigen Tag bündelt.
Ablösen statt übernehmen. Manchmal ist der Neubau günstiger als die Einarbeitung. Bei kleineren Websites ist das häufiger, als man denkt: Was aus vielen Erweiterungen zusammengesteckt ist, kostet mehr Zeit im Verstehen als im Neubauen.
Die dritte Antwort ist die unbequemste, weil sie nach Verkaufsargument klingt. Deshalb belegen wir sie mit Stunden statt mit Meinung — und sagen sie, bevor jemand bezahlt hat.
Was wir dabei nicht tun
Wir übernehmen nichts, das wir nicht betreiben können. Ein System auf einer Technologie, die wir nicht beherrschen, könnten wir vielleicht am Laufen halten — aber nicht verantworten. Was wir bewusst nicht anfassen, steht auf Technologien.
Und wir übernehmen nichts, ohne dass klar ist, wem es gehört. Quellcode, Inhalte und Domain müssen dem Auftraggeber gehören, bevor wir zuständig werden. Sonst tauschen wir nur eine Abhängigkeit gegen eine andere.
Was Sie vorbereiten können
Wenn Sie so ein System haben, hilft für die erste Einschätzung schon wenig:
- Wo läuft es (Anbieter, Serveradresse)?
- Wer hält Domain und DNS?
- Gibt es Quellcode, und wo?
- Gibt es Zugangsdaten — und wer hat sie zuletzt benutzt?
- Werden personenbezogene Daten verarbeitet?
Fünf Antworten genügen für die Frage, ob eine Bestandsaufnahme überhaupt sinnvoll ist. Die kostet nichts — und wenn wir zum Ergebnis kommen, dass sich eine Übernahme nicht rechnet, sagen wir das. Wie wir rechnen, steht auf Preise.