WordPress – Plugins vs. Datensicherheit

WordPress ist ein tolles CMS mit dem ich sehr gerne arbeite. Einer der großen Vorteile: Die einfache Erweiterung durch Plugins. So lässt sich die Basis schnell um Kontaktformulare, Newsletter-Listen oder Besucherstatistiken erweitern. Mit WooCommerce kann man aus WordPress einen professionellen Onlineshop machen. Aber wann geht der Einsatz von Plugins zu weit?

Mich hat vor kurzem eine Bekannte angesprochen und gefragt, welches CRM-Plugin ich empfehlen würde. CRM steht für Customer-Relationship-Management, also das Management von Kundenbeziehungen. Zu Kundenbeziehungen zählen sämtliche Interaktionen zwischen dem Unternehmen und den Kunden. Also alle klassischen Kundendaten, wie Telefonnummer und Adresse usw., aber auch Gesprächsprotokolle sind denkbar und – wenn man sein CRM-Tool ausführlich nutzt – persönliche Notizen, wie das Geburtsdatum, der geplante Urlaubszeitraum oder der Name des Hundes.

Bei der Frage musste ich erst einmal schlucken. WordPress an sich ist ein recht sicheres System – wenn man es pflegt und Updates regelmäßig installiert. Thomas Brühl hat zu diesem Thema auf dem WordCamp Würzburg eine gute Session gehalten. Aber 100%ige Sicherheit gibt es im Web nicht und jedes weitere Plugin erhöht die Wahrscheinlichkeit für Sicherheitslücken. Daher überlege ich sehr genau, bevor ich ein Plugin installiere: Brauche ich das Plugin? Oder gibt es eine kleinere Lösung?

Für mich ist WordPress in erster Linie das System hinter meinem Webauftritt. Das heißt für mich auch, dass alles was mit dem Webauftritt zu tun hat, in meiner WordPress-Installation willkommen ist. Das fängt an mit Kontaktformularen. Für Contact Form 7 gibt es z.B. die Erweiterung Flamingo, die über das Formular versendete Nachrichten zusätzlich in der Datenbank speichert. So gehen keine Nachrichten verloren, selbst wenn der Mail-Server mal nicht verfügbar ist. Allerdings werden alle personenbezogenen Daten, die Besucher in die Nachrichten schreiben, mitsamt ihrer E-Mail-Adressen in der WordPress-Datenbank gespeichert. Bei E-Mail-Adressen habe ich persönlich kein großes Problem mit der Speicherung. Daher habe ich zum Beispiel nichts gegen ein Newsletter-Plugin; bei Telefonnummern und Kundenandressen bin ich schon kritischer.

Was ist, wenn ein Angreifer Zugriff auf das System erlangt, sei es durch ein erratenes Passwort oder eine Sicherheitslücke in einem Plugin?

Meine Website kann ich aus dem Backup schnell wiederherstellen. Wenn der Eindringling aber personenbezogene Daten der Kunden (Privatadressen, Telefonnummern, usw.) einsackt, haben wir ein viel größeres Problem. In den letzten Jahren gab es einige Leaks von Influencer- und Politikeradressen mit recht großen Konsequenzen. Und das betrifft nicht nur Menschen, die in der Öffentlichkeit stehen. Wer genügend Daten über eine Person gesammelt hat, kann sich im Web als diese ausgeben und in ihrem Namen online shoppen oder Straftaten begehen.

Nachrichten des Kontaktformulars zu speichern bietet viele Vorteile, ohne Frage. Ich empfehle allerdings, die Dauer der Speicherung so stark zu reduzieren wie möglich. Wenn ich die Nachricht als E-Mail erhalten oder schon längst beantwortet habe, kann ich sie in WordPress löschen. Wie wäre es also mit einer Beschränkung auf Nachrichten der letzten 7 Tage?

Ein komplettes CRM-System in mein WordPress einzubinden, halte ich aber für keine sinnvolle Idee. Hier werden noch mehr und noch detaillierter personenbezogene Daten gespeichert, die mit dem Webauftritt selbst nicht mehr viel zu tun haben. Klar, die Integration eines solchen Tools kann auch Vorteile mit sich bringen. So kann man die ersten Kontakte eines potentiellen Kunden gleich ins System einpflegen. Das ist aber nur mit ausführlichem Tracking möglich – und wir lieben doch alle die Cookie-Banner ...? Entscheidet man sich dennoch für den Einsatz eines solchen CRM-Tools, gibt es hier auch Möglichkeiten, eine externe Software mit den Daten zu füttern. Ich würde für diesen Anwendungsfall also eher eine andere Lösung bevorzugen.

Moment, WooCommerce speichert doch auch viele Daten? Richtig. Ein Onlineshop erfüllt aber aus meiner Sicht an sich schon ganz andere Anforderungen als eine Firmenwebsite, daher ist das für mich nochmal ein eigenes Thema. Auch ein CRM-System lässt sich sicher und stabil mit WordPress betreiben. Man muss bei der Konzeption aber die oben genannten Aspekte bedenken und Vorsorge für die Sicherheit der Daten treffen. Plug & Play ist zwar einfach, aber nicht immer safe.

WordPress ist ein cooles System und mit über 58.000 Plugins, die im offiziellen Repository zur Verfügung stehen, eine echte eierlegende Wollmilchsau. Ich persönlich würde mich dabei in den meisten Fällen aber mit Plugins begnügen, die dem Besucher der Website einen echten Mehrwert bieten und bei denen das Risiko minimiert wird. Für einiges gibt es andere, oft auch bessere Lösungen.