Wie Be API seine Reaktion auf WordPress-Sicherheitslücken beschleunigte, indem es sein hauseigenes Tool gegen die API von WP Umbrellaaustauschte

Be API ist eine WordPress-Agentur mit 38 Mitarbeitern, die seit 2009 anspruchsvolle Websites für große Unternehmen, Institutionen und Medien entwickelt und betreibt. Das größte Problem bei der Wartung waren nicht Updates oder die Verfügbarkeit, sondern die Notwendigkeit, schnell zu erkennen, welche Websites betroffen waren, sobald eine Plugin-Sicherheitslücke bekannt wurde. Dies ist die Geschichte darüber, wie die Agentur die Pflege ihres eigenen Erkennungstools einstellte und stattdessen WP Umbrella in ihren Sicherheits-Workflow integrierte.

---

Firmenkarte

„WP Umbrella “ ist zu einem zuverlässigen Baustein in unserer RUN-Kette geworden: Es erkennt Probleme, gibt Warnmeldungen aus, und unsere Tools erledigen den Rest.“

Amaury Balmer, Geschäftsführer von Be API

---

Auf einen Blick

• Sobald eine Sicherheitslücke bekannt wird, werden die betroffenen Websites automatisch identifiziert, und das Team macht sich sofort an die Behebung.
• Die Behörde unterhält kein eigenes Tool zur Erfassung von Sicherheitslücken mehr. Dieser Teil der Kette wird von einem spezialisierten Anbieter betreut.
• WP Umbrella läuft innerhalb des bestehenden Prozesses von Be API: Die Installation erfolgt über Composer, Updates werden über die CI der Agentur durchgeführt, die Plattform erkennt dies und gibt eine Benachrichtigung aus.

Die entscheidende Frage lautete: Welche Websites sind betroffen, und wie schnell werden die Probleme behoben?

Be API betreut komplexe WordPress-Projekte für Kunden, deren IT-Abteilungen eng eingebunden sind: Design, Entwicklung, Hosting und Wartung – ein Bereich, den die Agentur als „RUN“ bezeichnet. Jede von ihr fertiggestellte Website wird in den Wartungsbetrieb überführt, sodass der Bestand im Gleichschritt mit den Projekten wächst. Es sind weniger als hundert Websites, doch fast alle davon sind hochkritische Plattformen für Großkunden.

Die Wartung ist eine Teamleistung. Die Projektmanager von RUN sind für die Kundenbeziehung und eingehende Anfragen zuständig, das DevOps-Team kümmert sich um die Infrastruktur, die Überwachung und die Sicherheit, und die Entwickler übernehmen Fehlerbehebungen und Updates.

Vor der Einführung von „ WP Umbrella “ stützte sich die Agentur auf eigene Tools. Die Websites werden mit Composer auf Bedrock verwaltet und über CI/CD mit Buddy.works sowie mithilfe von WP-CLI und internen Skripten bereitgestellt. Aus Sicherheitsgründen hatte das Team ein internes Tool entwickelt, das die von Patchstack veröffentlichten Sicherheitslücken mit der eigenen Codebasis abglich. Die Überwachung erfolgte über mehrere Systeme hinweg: Verfügbarkeitsprüfungen, Sentry, Serverprotokolle. Bei einigen Kunden wurden Backups über ein spezielles Plugin erstellt.

Der Schmerz war nicht gleichmäßig verteilt. Ein Problem stand im Vordergrund.

„Wenn eine Sicherheitslücke in einem Plugin bekannt wird, ist die einzige Frage, die zählt: Welche Websites sind davon betroffen, und wie schnell werden die Probleme behoben? Unser hauseigenes Tool lieferte die Antwort auf den ersten Teil, musste jedoch gewartet und auf Zuverlässigkeit gebracht werden – und diese Zeit konnte nicht für die Behebung der Probleme genutzt werden.“

Amaury Balmer, Geschäftsführer von Be API

Die Behörde möchte keine konkreten Angaben zum Zeitaufwand machen. Das Problem war nicht die durchschnittliche Arbeitsbelastung, sondern die Spitzenauslastung. Jede Welle von Sicherheitslücken zwang das Team dazu, andere Aufgaben zurückzustellen, um die Anfälligkeit der Flotte zu überprüfen und Prioritäten für die Behebung festzulegen.

Selbst entwickeln oder kaufen: Die Entscheidung, die Wartung eines hauseigenen Tools einzustellen

Auslöser war die Bedrohung selbst. Die Zahl der im gesamten WordPress-Ökosystem – insbesondere bei Plugins – veröffentlichten Sicherheitslücken ist in den letzten Jahren deutlich gestiegen. Be API benötigte eine schnellere und zuverlässigere Reaktion, ohne die Sicherheitsüberwachung zu einem zweiten Geschäftsbereich zu machen.

Die Agentur hat keinen klassischen Vergleich von Verwaltungsplattformen durchgeführt. Die eigentliche Entscheidung fiel zwischen „ WP Umbrella “ und der nächsten Version ihres eigenen Tools.

„Technisch gesehen war es machbar. Aber die Pflege eines Bestands- und Überwachungstools gehört nicht zu unserem Kerngeschäft, und die damit verbundenen Kosten rechtfertigten sich auf lange Sicht nicht im Vergleich zu einem spezialisierten Tool.“

Amaury Balmer, Geschäftsführer von Be API

Vier Gründe gaben den Ausschlag für die Entscheidung zugunsten von „ WP Umbrella “:

1. Schwachstellenerkennung, bei der der Bestandsbestand der Geräteflotte automatisch mit einer Schwachstellendatenbank abgeglichen wird.
2. Eine offene API, die es dem Team ermöglichte, „ WP Umbrella “ in seinen Sicherheitsüberwachungs-Bot zu integrieren, der mit Redmine und Buddy.works verbunden ist.
3. Ein unkompliziertes Modell und ein überschaubarer Preis.
4. Ein französischer Anbieter, der Nähe und reaktionsschnellen Support bietet.

Die Bedenken waren ebenso konkret, und jede Agentur, die Unternehmenskunden betreut, wird sie wiedererkennen: das Hinzufügen eines Plugins eines Drittanbieters zu sensiblen Websites, die Einräumung von Einblicksmöglichkeiten für einen SaaS-Anbieter in die Websites der Kunden sowie die Kompatibilität mit Composer-verwalteten Installationen.

Be API hat dies in drei Schritten umgesetzt: Direkte Gespräche mit dem „ WP Umbrella “-Team. Ein durch die eigenen Prozesse der Agentur festgelegtes Nutzungsframework: Das Plugin wird über Composer installiert, Updates laufen stets über die CI der Agentur, und die Aufgabe von „ WP Umbrella“ besteht darin, die Vorgänge zu überwachen und bei Bedarf zu warnen. Hinzu kam eine Validierungsrunde mit den IT-Abteilungen der betroffenen Kunden.

Zuerst ein Pilotprojekt, dann die gesamte Flotte

Die Einführung erfolgte nach dem gleichen Schema. Im Rahmen eines Pilotprojekts an einigen wenigen Standorten wurden die technische Integration und das Sicherheitskonzept validiert. Anschließend weitete die Behörde „ WP Umbrella “ auf ihre gesamte Wartungsflotte aus.

Zwei Aufgaben, die über die API erledigt wurden

Die Be-API nutzt „ WP Umbrella “ für zwei Zwecke. Erstens zur Erkennung von Sicherheitslücken und zur Bestandsaufnahme der Geräteflotte, wobei beide Funktionen über die API vom Sicherheitsüberwachungsbot der Behörde genutzt werden. Zweitens zur Überwachung der Verfügbarkeit.

Die Agentur nutzt keine Massenaktualisierungen. Auf den von Composer verwalteten Websites durchlaufen Aktualisierungen die CI/CD-Pipeline, und dort bleiben sie auch. „ WP Umbrella “ erkennt sie und gibt eine Benachrichtigung aus. Den Rest erledigt das agentureigene Tooling.

Auf die Frage, ob sie eine bestimmte Funktion überrascht habe, sagt die Antwort viel über ein Team aus, das „ WP Umbrella “ als Produktionsinfrastruktur betrachtet:

„Das ist keine Überraschung, und das ist eine ziemlich gute Nachricht: Es erfüllt zuverlässig die Erwartungen, die wir daran gestellt haben. Für eine Produktionskomponente ist das das entscheidende Kriterium.“

Amaury Balmer, Geschäftsführer von Be API

🖼 SCREENSHOT: Die Seite mit der öffentlichen API-Dokumentation. Keine rohen API-Antworten: Konto- und Website-Identifikatoren werden nicht angezeigt. (Platzhalter, bitte durch das Bild ersetzen)

Die Verstärkung wird in Verzögerung gemessen, nicht in Stunden.

Be API beziffert das Ergebnis nicht in eingesparten Stunden.

„Wir denken nicht in eingesparten Stunden. Der eigentliche Gewinn liegt in der Zeitersparnis: Sobald eine Sicherheitslücke bekannt wird, werden die betroffenen Websites automatisch identifiziert, und das Team macht sich sofort an die Behebung.“

Amaury Balmer, Geschäftsführer von Be API

Der zweite Vorteil ist struktureller Natur. Anstatt ihr hauseigenes Tool weiterzuentwickeln, greift die Agentur nun auf eine Komponente zurück, die von einem spezialisierten Anbieter gepflegt wird.

Zwei Dinge haben sich nicht geändert, und Be API macht in beiden Punkten deutlich: Für die Kunden gibt es keinen Unterschied: „ WP Umbrella “ ist ein internes System, das für sie transparent ist, und dessen Wirkung sich indirekt auf die Zuverlässigkeit der Sicherheitsüberwachung und -kontrolle der Agentur auswirkt. Außerdem wurden keine zusätzlichen Wartungsverträge verkauft, was auch nie das Ziel war. Für Be API ist „ WP Umbrella “ ein Produktionssystem, das der Qualität der Wartungsarbeiten dient und nicht deren Verkauf.

Ratschläge für Agenturen, die einen Umzug in Erwägung ziehen

Der Rat von Be API an Agenturen, die noch zögern, besteht aus zwei Teilen. Der erste betrifft die Versuchung, etwas aufzubauen.

„Glauben Sie nicht der Illusion, dass Sie es selbst schaffen können, indem Sie ein internes Tool nach Gefühl programmieren: Es zu entwickeln ist einfach, es zu warten und langfristig zuverlässig zu halten, ist viel schwieriger.“

Amaury Balmer, Geschäftsführer von Be API

Der zweite Punkt betrifft die Vorgehensweise: Führen Sie an einigen Standorten ein Pilotprojekt durch, validieren Sie das Sicherheitskonzept gemeinsam mit Ihren Kunden und lassen Sie es anschließend allgemein gelten. Genau das hat Be API getan.

Zusammenfassung

• Das größte Problem bei der Wartung von Be API war die Reaktion auf Sicherheitslücken: Welche Websites sind betroffen, und wie schnell werden die Probleme behoben?
• Die Behörde entschied sich für „ WP Umbrella “ anstelle der nächsten Version ihres eigenen Erkennungstools, da die Wartung dieses Tools nicht zu ihrem Kerngeschäft gehörte.
• Einwände auf Unternehmensebene wurden durch Gespräche mit den Anbietern, ein strenges Nutzungsreglement und eine IT-Validierung durch den Kunden ausgeräumt.
• WP Umbrella versorgt nun den Sicherheitsbot der Agentur über die API mit Daten und überwacht die Verfügbarkeit. Die Updates werden in die CI/CD-Umgebung der Agentur integriert.

Möchten Sie Ihre Flotte nicht mehr jedes Mal manuell überprüfen müssen, wenn eine Sicherheitslücke veröffentlicht wird? Starten Sie Ihre kostenlose 14-tägige Testphase – ganz ohne Kreditkarte. → Kostenlos loslegen