Inhalt
Die Agentur ist weg – die Website ist noch da. Was jetzt?
Ruhe bewahren, dann systematisch vorgehen. In den meisten Fällen reicht ein einziger vorhandener Zugang, um sich den Rest selbst zu erschließen. Die eigentliche Wiederherstellung dauert bei uns erfahrungsgemäß ein bis zwei Stunden, nicht Tage. Danach folgt der wichtigere Teil: alle Passwörter erneuern, den Sicherheitsstand prüfen und die Zugänge so ordnen, dass dieser Fall nie wieder eintritt.
In 17 Jahren haben wir als Webdesign-Agentur diesen Anruf oft bekommen. Ein mittelständisches Unternehmen meldet sich, verständlicherweise aufgebracht: Von einem Tag auf den anderen ist die Ansprechpartnerin oder der Ansprechpartner weg, der die Website aufgebaut und betreut hat. Keine Antwort auf E-Mails, Telefon tot. Agentur oder Freelancer insolvent. Oder einfach verschwunden.
Zugegeben: Meistens trifft das kleine Firmen und Agenturen, bei denen alles auf wenigen Personen oder sogar einem einzigen Entwickler ruht. Das ist ein hohes Risiko, das die Kunden in der Regel gar nicht auf dem Schirm hatten. Manche Agenturen machen sich größer, als sie tatsächlich sind.
Die gute Nachricht vorweg: Bisher konnten wir allen Kunden helfen. Auch denen, die nur wenige Logins besaßen.
Wie sieht so ein Fall in der Praxis aus?
Meist läuft die Website weiter, während intern nichts mehr geht. Drei Beispiele aus der jüngeren Vergangenheit zeigen die Bandbreite: eine Fitnesskette, eine Personalberatung und ein Hotel mit angebundener Buchungsplattform.
Damit das nicht abstrakt bleibt. Das sind Situationen, die wir zuletzt begleitet haben:
Eine Fitnesskette aus München, bei der von einem Tag auf den anderen niemand mehr erreichbar war.
Eine Personalberatung, die komplett ausgesperrt war: kein Zugang zum CMS, keiner zum Server, keiner zu den Google-Konten.
Ein Hotel mit angebundener Buchungsplattform. Der heikelste der drei Fälle, weil hier nicht nur eine Website betroffen war, sondern der laufende Vertrieb: Jede Stunde ohne Zugriff ist potenziell eine Buchung weniger.
Gemeinsam ist allen drei: Die Website lief weiter. Sie war online, sie funktionierte. Nur konnte niemand mehr etwas daran ändern. Genau das macht die Situation so tückisch, denn nach außen sieht alles normal aus, während intern nichts mehr geht.
Welche Zugänge brauche ich für meine Website?
Mindestens sechs, nicht einen. Domain, Hosting, CMS-Administration, Redaktionszugänge, Google Search Console und Analytics. Dazu die Frage, auf wessen Namen Plugin- und Software-Lizenzen laufen. Wer nur den Redaktionszugang besitzt, hat Zugriff auf Inhalte, aber keine Kontrolle über die Website.
Bei einer Website von etwas größerem Umfang hängt nicht ein Zugang dran, sondern viele. Am Beispiel WordPress:
- Redakteurszugänge im System, um Inhalte zu pflegen
- Admin-Login, um Rechte und Personen zu verwalten
- Google-Zugänge: Search Console, Analytics
- Server und Hosting
- Domain und Zertifikate
- Plugin-Lizenzen, die gerade bei kleinen Agenturen oft über eine private Kreditkarte laufen
Genau dieser letzte Punkt sorgt regelmäßig für Überraschungen: Die Website funktioniert, aber die Lizenzen gehören jemand anderem.
Wie bekomme ich wieder Zugriff auf meine Website?
In fünf Schritten. Zuerst den Stand analysieren, statt vorschnell etwas zu ändern. Dann alle vorhandenen Zugänge sichern. Danach lassen sich fehlende Logins in vielen Fällen direkt im System auslesen. Anschließend sämtliche Passwörter erneuern. Zuletzt die Zugänge so ordnen, dass sie euch gehören und übergebbar bleiben.
So sieht das bei uns konkret aus:
Erstens: Ruhe bewahren.
Wir analysieren die Situation und sprechen mit dem Kunden, vor allem, um zu beruhigen. Groll gegenüber der anderen Seite bringt niemandem etwas. Wir arbeiten zielorientiert, und das Ziel heißt: volle Kontrolle über die eigene Website.
Zweitens: das Minimum sichern.
Wir holen die Zugänge ab, die vorhanden sind, verschlüsselt und gesichert. Von dort übernimmt unsere Head of Development mit dem Entwicklungsteam.
Drittens: die Lücken selbst erschließen.
Fehlende Logins lesen wir, wo möglich, direkt im System aus und stellen so den vollständigen Zugriff her.
Viertens: alles erneuern.
Wir empfehlen in diesem Zug immer, sämtliche Zugangsdaten zu überarbeiten. Wir hören regelmäßig, dass Passwörter seit zehn Jahren oder länger nicht geändert wurden. Teils sind das Zugänge, die längst kompromittiert sein könnten. Wie oft wir "Passwort123" oder "admin/admin" gesehen haben, möchte ich gar nicht aufzählen. Solche Kombinationen fallen bei einem Brute-Force-Angriff in Sekunden.
Fünftens: sauber übergeben.
Alle neuen Passwörter gehen an den Kunden. Auf Wunsch richten wir ein Tool wie 1Password ein, bei dem der Kunde selbst den Hauptzugang besitzt. Damit kann er die Zugänge bei einem künftigen Agenturwechsel problemlos weitergeben, und es entsteht kein neuer Lock-in, diesmal bei uns.
In welchem Zustand ist eine Website nach so einem Fall?
Fast immer schlechter als erwartet. Offene Updates, ungepatchte Sicherheitslücken, veraltete Erweiterungen. Das liegt selten am plötzlichen Ausfall, sondern daran, dass solche Websites meist schon vorher über Monate nicht gepflegt wurden.
Einen erheblichen Beratungsstau. Ich habe, ehrlich gesagt, noch nie eine solche Website übernommen, die keine offenen Updates hatte, sauber gewartet war und keine Sicherheitslücken aufwies.
Man merkt, dass die Agentur oder der Entwickler nicht von heute auf morgen in einen Engpass geraten ist. Diese Websites wurden meist über längere Zeit stiefmütterlich behandelt: keine Wartung, relevante Sicherheitslücken, und bei Tracking-Konzepten oder laufenden Sichtbarkeitsverträgen lässt sich häufig nachvollziehen, dass seit einem halben Jahr oder länger niemand mehr eingeloggt war, obwohl ein monatlicher Retainer lief.
Wir sichten alles objektiv und klassifizieren nach Relevanz, meist in einem dreistufigen Ampelsystem:
Danach besprechen wir gemeinsam, welche To-dos wirklich wichtig sind. Kosten nennen wir vorab; erst mit Freigabe bringen wir die Website wieder auf einen aktuellen, sicheren und stabilen Stand.
Was kostet eine Wiederherstellung?
Die Ersteinschätzung ist bei uns kostenfrei. Die eigentliche Wiederherstellung des Zugriffs dauert in vielen Fällen ein bis zwei Stunden. Alles Weitere, also Updates, Sicherheit und Wartung, wird danach separat kalkuliert und lässt sich dann meist zum Festpreis anbieten.
Das hängt vom System und von der Ausgangslage ab. Wer noch mehrere Logins hat und eine überschaubare Website betreibt, verursacht deutlich weniger Aufwand als ein komplexes Konstrukt mit mehreren Unternehmensauftritten in einer Installation.
Was wir jedem anbieten: Wir schauen uns die Seite kostenfrei an, sprechen über den Stand und geben eine grobe Schätzung ab. Weil wir das System noch nicht kennen, ist das zunächst eine Spanne und kein Festpreis. Bis dahin entstehen aber keine Kosten.
Und die Realität ist meist unspektakulärer, als die Aufregung vermuten lässt: In vielen Fällen hat die Wiederherstellung ein bis zwei Stunden gedauert. Zwei volle Tage waren die absolute Ausnahme. Alles Weitere, also Updates, Sicherheit und Wartung, besprechen wir danach gezielt. Dafür können wir in der Regel feste Preise kalkulieren und garantieren.
Was tun, wenn die alte Agentur blockiert?
Nicht eskalieren. In den meisten Fällen erreicht eine neutrale dritte Partei mehr als Druck oder Anwaltsschreiben. Parallel prüfen, was sich auch ohne Mitwirkung der Gegenseite technisch erschließen lässt.
Wir haben mehrfach erlebt, dass Agenturen oder Freelancer sich nach einer Kündigung querstellen, Daten zurückhalten oder die Zusammenarbeit boykottieren.
In solchen Fällen verstehen wir uns als deeskalierende Partei. Wir arbeiten zielorientiert und versuchen, die relevanten Zugänge vermittelnd zu bekommen. Manchmal ist die Beziehung so eingefahren, dass die Beteiligten allein nicht mehr weiterkommen. Dann wirkt eine dritte, neutrale Partei erstaunlich oft Wunder. Auch wenn wir das Geschäft übernehmen.
Wir wissen, welchen Ton es braucht. Wir verstehen ein Stück weit auch die Seite des Entwicklers, und wir verstehen unsere Kunden. Nennen wir es Agentur-Mediation.
Häufige Fragen
Meine Agentur antwortet nicht mehr – komme ich überhaupt noch an meine Website?
In aller Regel ja. Oft reicht ein einziger vorhandener Zugang, um die übrigen im System auszulesen. Wichtig ist, nichts überstürzt zu ändern, bevor der Stand analysiert ist.
Was kostet es, wieder Zugriff zu bekommen?
Die Ersteinschätzung ist bei uns kostenfrei. Die Wiederherstellung selbst dauert in vielen Fällen ein bis zwei Stunden; erst danach lässt sich seriös über Updates und Wartung sprechen.
Welche Zugänge sollte ich als Kunde immer selbst besitzen?
Domain, Hosting, CMS-Administration, Google Search Console und Analytics. Dazu Klarheit darüber, auf wessen Namen Plugin-Lizenzen laufen.
Die alte Agentur blockiert. Was tun?
Nicht eskalieren. In den meisten Fällen lässt sich über eine neutrale dritte Partei mehr erreichen als über Druck. Parallel prüfen wir, was sich auch ohne Mitwirkung erschließen lässt.
Wie verhindere ich, dass das noch einmal passiert?
Eigene Zugänge, eigener Passwortmanager mit eurem Hauptzugang, und ein System, das euer Team selbst pflegen kann. Wir bauen Websites bewusst so, dass ihr sie mitnehmen könnt.
