Mal ehrlich: So langsam nervt die Sicherheitsdiskussion rund um WordPress. Eigentlich nicht wegen der (mangelnden) Sicherheit, sondern eher die Tatsache wie substanzlos die Diskussion geführt wird. Vorab: Ich bin wie die meisten zu wenig in Sachen PHP bewandert um die grundlegenden Sicherheitsprobleme von WordPress beurteilen zu können. Das ist aber auch gar nicht das Problem an der Diskussion. Das Problem ist vielmehr der Anspruch der erhoben wird. Dieser Anspruch richtet sich – für mich unverständlich – in letzer Zeit immer mehr gegen Automattic, den Betreiber von WordPress.com.
WordPress (die Software selbst) ist ein OpenSource-Projekt an dem sich grundsätzlich jeder beteiligen kann und an dem erst einmal keiner direkt Geld verdient bzw. direkt dafür verantwortlich ist. Es gibt eine Hand voll Personen die das Softwaretechnische Herz von WordPress „verwalten“ und z.B. darüber entscheiden welche Entwicklungen der Community in zukünftige Versionen einfließen. Das sind neben Matt Mullenweg, dem „Erschaffer“ von WordPress auch aber nicht nur ein paar weitere Angestellte von Automattic (nähere Infos dazu hier in der Sidebar). Mag man deren Produkt- und Entwicklungspolitik bzgl. WordPress nun gut finden oder nicht, aber für Forderungen wie sie Robert in seinem Beitrag ausgesprochen hat, ist da meines Erachtens keine Grundlage vorhanden:
Was kann also Automattic tun, die für WordPress verantwortlich sind? Es ist unabdingbar, dass man über ein automatisiertes Updateverfahren nachdenkt, das zudem eine Abwärtskompatibilität zu eingesetzen und “zertifizierten” Plugin gewährleistet.
Sorry Robert, aber das ist Unsinn. Dass Automattic nicht verantwortlich ist, ist das eine. Dass es nicht ihre Aufgabe ist die Infrastruktur für zertifizierte Plugins zur Verfügung zu stellen ist das andere. Wer bitte soll das leisten? Hast Du Dich mal ne halbe Stunde damit beschäftigt wie es hinter der Downloadseite von WordPress aussieht? Zum Beispiel auf der Tester-Mailingliste oder im Forum? Wenn man bedenkt wie viele Menschen WordPress einsetzen ist es gar jämmerlich zu sehen wie wenige sich in irgend einer Form aktiv beteiligen (und damit ist nicht nur die Programmierung gemeint). OpenSource funktioniert eben nicht nur durch nutzen + Ansprüche stellen. Der offensichtlichste Weg für jeden der der Meinung ist, dass bestimmte Absicherungsmaßnahmen für WordPress zu viel Aufwand wären, ist der zu einer anderen Software. Es gibt schließlich im OpenSource-Bereich jede Menge Alternativen die genauso kostenlos und mindestens genauso einfach zu installieren sind wie WordPress.
Andererseits wäre es aber eventuell auch ein Gedankengang selbst die Finger von Dingen zu lassen, von denen man keine Ahnung hat. Wenn meine Waschmaschine kaputt ist, repariere ich sie ja auch nicht einfach selbst obwohl ich von tuten und blasen keine Ahnung habe. Und wenn hier eine Steckdose zu setzten ist, hole ich dafür auch jemanden der sich damit auskennt. Erst die Dinge selbst in die Hand nehmen, weil ja alles so offensichtlich einfach ist und hinterher schimpfen, dass die nötigen Schritte um das ganze handfest zu haben doch schwieriger sind als gedacht zählt also nicht. Zugegebenermaßen ist das vielleicht auch ein Marketingproblem weil WordPress (übrigens nicht als einzige Software) immer mehr darauf abzielt quick & easy zu sein und das Gefühl zu vermitteln, dass es ein Klacks ist ein Blog zu installieren und alles sowieso bedenkenlos selbst gemacht werden kann. Vielleicht sollte da auch an den entsprechenden Stellen darauf hingewiesen werden, dass ein Webhoster mit PHP und MySQL doch nicht die einzigen Voraussetzungen sind. Ein bisschen KnowHow und der Wille sich mit der Sache intensiver auseinanderzusetzen gehören eben auch dazu.
On this site you can download and install a software script called WordPress. To do this you need a web host who meets the minimum requirements and a little time. WordPress is completely customizable and can be used for almost anything. Quelle
Am Ende steht aber doch jeder selbst in der Verantwortung und sollte spätestens nachdem er Kenntnis davon hat nach entsprechenden Alternativen suchen. Das ganze ist analog anwendbar auf Root-Server. Jedermann kann heute für unter 50 € im Monat irgendwo einen dedizierten Server mieten. Sogar Plesk ist dabei, was das Anlegen von Domains, Mail-Accounts etc. zum Kinderspiel macht. Die Tatsache, dass vermutlich mindestens die Hälfte aller Root-Server-Kunden (wahrscheinlich sogar noch mehr) nicht in der Lage ist das System halbwegs abzusichern stört dabei keinen. Das gleiche gilt übrigens auch für die typischen Schüler-Produkte vServer. Eine nicht unerhebliche Zahl dieser Dinger sind Spamschleudern, weil sie nach allen Seiten hin offen sind.
Und so ist das eben auch bei WordPress. Und bevor man als derjenige, der keine Ahnung hat auf professionelle Betreuung zurückgreift oder alternativ als kostengünstigere/kostenlose Alternative auf eine Software die weniger bunt und umfangreich, dafür aber sicherer ist, beschwert man sich, dass andere einem die Arbeit nicht durch eigenen Einsatz abnehmen. Selbst aktiv beteiligen wäre hier die Devise.
Schreibe einen Kommentar