WordPress Entwickler in Frankfurt

#Frankfurt am Main: Web-Projekte, die eine Prüfung überstehen müssen

Frankfurt ist keine Stadt, in der eine Website nur gefallen muss. Zwischen Europäischer Zentralbank, Bundesbank, den Türmen im Bankenviertel, den Kanzleien im Westend und den Fintech-Büros in Sachsenhausen arbeitet eine Wirtschaft, deren Prozesse laufend von jemandem angeschaut werden: von der internen Revision, vom Auslagerungsbeauftragten, vom Datenschutzbeauftragten, vom Kunden, der vor Vertragsschluss einen Fragebogen zur Informationssicherheit schickt.

Das verändert die Anforderungen an ein WordPress-Projekt grundlegend. Nicht der Effekt entscheidet, sondern die Frage, ob sich hinterher belegen lässt, wer was wann geändert hat, wo die Daten liegen und was passiert, wenn das System ausfällt. Eine Website, die diese Fragen nicht beantworten kann, wird im Frankfurter Umfeld irgendwann zum Thema, meist im ungünstigsten Moment.

Genau daran scheitern viele gewachsene Auftritte. Sie wurden über Jahre von wechselnden Dienstleistern aufgebaut, laufen auf einem gekauften Theme mit zwanzig Erweiterungen, und niemand im Haus kann sagen, welche davon wofür zuständig ist. Solange nichts passiert, fällt das nicht auf. Sobald ein Sicherheitsfragebogen, ein Auditbericht oder ein Zwischenfall eine Antwort verlangt, fehlt sie.

Wir arbeiten als externes Senior-Entwicklungsteam auf B2B-Basis für Auftraggeber, die diese Antworten brauchen: Banken und Versicherer mit Publikumsauftritten, Fintechs mit Produkt- und Entwicklerseiten, Kanzleien und Wirtschaftsprüfer mit Wissensplattformen, Vermögensverwalter mit Investorenbereichen und Beratungshäuser im gesamten Rhein-Main-Gebiet. Der Code liegt in Git, Abnahmen laufen über eine getrennte Umgebung, jede Entscheidung ist schriftlich festgehalten.

#Wenn die Website Teil des Prüfungsumfangs wird

Für viele Häuser am Finanzplatz ist die Unternehmenswebsite technisch harmlos und organisatorisch trotzdem relevant. Sie liegt bei einem externen Dienstleister, sie verarbeitet Kontaktdaten, sie ist öffentlich erreichbar, und sie trägt den Namen eines beaufsichtigten Unternehmens. Damit landet sie im Dienstleisterverzeichnis, im Verarbeitungsverzeichnis und in den Fragebögen, die vor Vertragsschluss ausgefüllt werden.

Rahmenwerke wie DORA und NIS2 haben diesen Blick verschärft. Sie interessieren sich weniger für einzelne Sicherheitsmerkmale als für die Steuerung: Wer ist Dienstleister, welche Unterauftragnehmer stehen dahinter, wie lange dauert ein Wiederanlauf, wie wird ein Vorfall gemeldet, wie kommt man im Ernstfall aus dem Vertrag heraus. Ob und in welchem Umfang ein solches Rahmenwerk auf Ihr Haus wirkt, entscheidet Ihre Rechts- oder Complianceabteilung. Das ist keine Rechtsberatung, und wir geben auch keine.

Was wir liefern, ist die technische Seite dieser Fragen in einer Form, die Ihr Team weiterreichen kann: eine Systembeschreibung, die Liste der eingesetzten Komponenten samt Herkunft, die Zugriffsmatrix, die Protokollierungskonzepte, die Wiederanlaufzeiten mit dem Datum des letzten Tests und eine benannte Kette an Unterauftragnehmern. Wer das nicht vorbereitet, sammelt es später unter Zeitdruck aus vier E-Mail-Postfächern zusammen.

#Freigaben, Vier-Augen-Prinzip und Nachvollziehbarkeit

In einem regulierten Haus ist der Freigabeweg wichtiger als das Werkzeug. Deshalb legen wir ihn vor der ersten Zeile Code fest, gemeinsam mit den Beteiligten aus Marketing, IT und Compliance.

Praktisch bedeutet das: Jede Änderung entsteht in einem eigenen Zweig und wird von einer zweiten Person geprüft, bevor sie überhaupt in die Abnahmeumgebung gelangt. Fachliche Abnahmen erfolgen auf einer geschützten Staging-Instanz, deren Adresse nicht öffentlich indexiert wird und die mit anonymisierten statt echten Datenbeständen arbeitet. Produktivsetzungen laufen ausschließlich über die Pipeline, niemand lädt Dateien per FTP auf den Server. Zugänge sind persönlich, mit zweitem Faktor und mit Rechten, die dem tatsächlichen Bedarf entsprechen.

Der Nutzen zeigt sich erst später. Wenn nach acht Monaten jemand fragt, warum ein Formularfeld erhoben wird oder wer eine Rechtstextänderung veranlasst hat, steht die Antwort im Verlauf, mit Datum, Autor und dem Ticket, das dahinterhing. Für Redaktionsprozesse mit rechtlicher Endabnahme ergänzen wir das um Freigabestufen direkt im Editor, damit ein Text erst nach Prüfung durch die Fachabteilung veröffentlicht werden kann.

#Datenresidenz: wo die Seite liegt und wer sie erreicht

Frankfurt ist einer der wichtigsten Netzknoten der Welt, und die Rechenzentrumslandschaft rund um den DE-CIX ist der Grund, warum ein großer Teil des europäischen Datenverkehrs hier zusammenläuft. Für Auftraggeber am Finanzplatz ist das mehr als eine Standortanekdote: Kurze Wege zwischen Nutzer, Anwendung und Anbindung sind ein technischer Vorteil, und die Frage nach dem Speicherort ist ein vertraglicher Punkt.

Wir betreiben Projekte deshalb bevorzugt auf Infrastruktur in deutschen Rechenzentren mit belegbarer Zertifizierung, inklusive schriftlichem Auftragsverarbeitungsvertrag und einer namentlichen Liste der Unterauftragnehmer. Backups liegen an einem zweiten, geografisch getrennten Ort, ebenfalls innerhalb Deutschlands, und sind verschlüsselt abgelegt.

Auch der Auslieferungsweg gehört zu dieser Betrachtung. Ein vorgeschaltetes Netzwerk verkürzt Ladezeiten, verarbeitet dabei aber Verbindungsdaten. Wir konfigurieren es so, dass diese Verarbeitung dokumentiert und auf europäische Standorte begrenzt ist, und verzichten darauf, wo der Vorteil den Erklärungsaufwand nicht rechtfertigt. Dieselbe Prüfung gilt für jede eingebundene Fremdressource: Karten, Schriften, Videoeinbettungen, Bewertungsanzeigen. Jede von ihnen ist ein Datenabfluss, der begründet werden muss.

#Datenschutz als Architekturentscheidung, nicht als Banner

Ein Einwilligungsbanner ist das sichtbare Ende einer Kette, nicht ihr Anfang. Wenn die Seite schon vor der Zustimmung Verbindungen zu fremden Servern aufbaut, ändert das schönste Banner daran nichts.

Wir setzen deshalb am Aufbau an. Schriften, Icons und Skripte liegen auf dem eigenen Server. Externe Einbettungen laden erst nach ausdrücklicher Zustimmung und zeigen vorher eine erklärende Vorschau. Formulare erheben nur Felder, die für den jeweiligen Zweck gebraucht werden, und speichern Einsendungen mit einer Löschfrist, die automatisch greift statt in einer Arbeitsanweisung zu stehen. Server-Protokolle kürzen IP-Adressen, bevor sie geschrieben werden.

Für die Auswertung setzen wir auf Verfahren, die ohne personenbezogene Profile auskommen: Matomo auf eigener Infrastruktur oder ein leichtgewichtiges, cookiefreies Messverfahren. Beides zeigt zuverlässig, welche Seiten gelesen und welche Formulare abgeschickt werden. Für Kanzleien und Vermögensverwalter ist der Verzicht auf ein Banner oft zusätzlich ein Argument gegenüber der eigenen Klientel.

Zum Schluss dokumentieren wir, was die Website tatsächlich verarbeitet, in einer Form, die Ihr Datenschutzbeauftragter direkt in das Verarbeitungsverzeichnis übernehmen kann.

#Härtung: die Angriffsfläche verkleinern statt sie zu überwachen

Die meisten erfolgreichen Angriffe auf WordPress-Systeme nutzen keine spektakuläre Lücke im Kern, sondern eine veraltete Erweiterung, ein schwaches Kennwort oder eine Schnittstelle, die niemand gebraucht hat und die trotzdem offen stand.

Unsere Härtung beginnt deshalb beim Weglassen: Jede Erweiterung, deren Nutzen sich nicht benennen lässt, fliegt raus. Was bleibt, wird auf Herkunft, Pflegezustand und Update-Historie geprüft. Der Dateieditor im Administrationsbereich ist deaktiviert, XML-RPC geschlossen, Verzeichnislisten unterbunden, die Ausführung von PHP in Upload-Ordnern unterbunden.

Darüber liegt die Zugangsebene: Anmeldungen ausschließlich mit zweitem Faktor, Begrenzung fehlgeschlagener Versuche, Administrationsbereich auf definierte Netze eingeschränkt, sofern der Arbeitsalltag das zulässt. Eine Content Security Policy legt fest, welche Quellen überhaupt Code ausführen dürfen, ergänzt um die üblichen Sicherheits-Header.

Und darüber liegt die Nachweisebene: Anmeldungen, Rechteänderungen, Plugin-Installationen und Rechtstextänderungen werden protokolliert und an einen Ort geschrieben, an dem ein Angreifer sie nicht nachträglich bereinigen kann. Ein Angriff, den man erst aus dem Backup rekonstruieren muss, kostet in einem beaufsichtigten Haus deutlich mehr Zeit als die Einrichtung der Protokollierung.

#Technische Schulden als Risikoposition im Code

Technische Schulden werden gern als Geschmacksfrage von Entwicklern abgetan. In einem regulierten Umfeld sind sie eine Risikoposition: Je unübersichtlicher ein System ist, desto länger dauert jede Änderung, desto schwerer ist eine Sicherheitslücke zu bewerten und desto größer ist die Abhängigkeit von einzelnen Personen.

Wir machen diese Schulden messbar, statt sie zu beklagen. PHP_CodeSniffer prüft jeden Commit gegen die WordPress Coding Standards, PHPStan sucht auf hoher Stufe nach Typfehlern und toten Pfaden, bevor irgendetwas produktiv geht. Eine Übersicht der eingesetzten Fremdkomponenten hält fest, welche Version läuft, wann sie zuletzt gepflegt wurde und wer sie herausgibt.

Bei einer Übernahme aus fremder Hand entsteht daraus eine nach Risiko sortierte Liste: Was muss sofort weg, was kann bei nächster Gelegenheit ersetzt werden, was ist zwar unschön, aber unkritisch. Diese Liste ist die Grundlage für Ihre Budgetplanung und für die Frage, welche Altlast die nächste Störung verursacht. Abgearbeitet wird sie in kleinen Schritten mit Rückweg, nicht in einem großen Umbau, nach dem niemand mehr sagen kann, welche Änderung die Nebenwirkung ausgelöst hat.

#Was Banken, Versicherer, Fintechs und Kanzleien bauen lassen

Die Aufgaben unterscheiden sich stärker, als der gemeinsame Nenner Website vermuten lässt.

Bei Banken, Versicherern und Vermögensverwaltern geht es meist um Publikums- und Investorenauftritte mit strengen Freigabewegen: Produkt- und Fondsseiten, deren Pflichtangaben aus einer gepflegten Quelle kommen statt aus abgetippten Tabellen, geschützte Bereiche für institutionelle Interessenten mit rollenbasiertem Zugriff auf Dokumente, Karriereseiten mit Anbindung an das Bewerbermanagement.

Fintechs brauchen etwas anderes: schnelle Produktseiten, verständliche Preis- und Funktionsübersichten, eine gepflegte Entwicklerdokumentation neben der Marketingseite und Kampagnenseiten, die das Marketingteam ohne Entwicklungsaufwand selbst bauen kann, ohne dass dabei jedes Mal ein neues Skript in die Seite wandert.

Kanzleien und Wirtschaftsprüfer wiederum leben von ihrer Wissensplattform: Fachbeiträge, Mandanteninformationen und Newsletter, die nach Rechtsgebiet, Autor und Datum auffindbar sein müssen, mit einer Suche, die auch bei Tippfehlern und juristischen Wortungetümen brauchbare Treffer liefert, und mit Autorenprofilen, die Zuständigkeit und Qualifikation belegen.

#Beratungshäuser, Verbände und B2B-Dienstleister im Rhein-Main-Gebiet

Rund um den Finanzplatz arbeitet eine breite Schicht von Dienstleistern: Unternehmensberatungen, Personalberater, Wirtschaftsprüfungsgesellschaften, IT-Häuser, Verbände und Fachverlage, dazu die Industrie- und Chemieunternehmen zwischen Höchst, Rüsselsheim, Hanau und Darmstadt.

Sie stehen vor einer eigenen Aufgabe: Ihre Kunden sind selbst reguliert und geben ihre Anforderungen weiter. Wer eine Bank berät, bekommt deren Sicherheitsfragebogen auf den Tisch und muss ihn beantworten, auch wenn das eigene Haus nicht der Aufsicht unterliegt. Eine Website, die auf gepflegter Infrastruktur mit dokumentierten Prozessen läuft, ist in solchen Auswahlverfahren ein Argument.

Fachlich geht es dabei häufig um Publikationsplattformen, Veranstaltungs- und Anmeldeseiten, Mitgliederbereiche mit gestuften Zugriffsrechten und mehrsprachige Auftritte für internationale Mandate. Buchhaltungsnahe Schnittstellen richten wir dabei als schlanken Standardexport ein und machen daraus kein eigenes Integrationsprojekt.

#Zwei typische Projektzuschnitte aus Frankfurt

Damit die Arbeitsweise greifbar wird, hier zwei Zuschnitte, wie sie uns im Rhein-Main-Gebiet regelmäßig begegnen. Beide beschreiben typische Ausgangslagen, keine bestimmten Auftraggeber.

#Ein typisches Projekt für einen Vermögensverwalter im Westend

Ausgangslage: ein zweisprachiger Auftritt mit Fondsdaten und Factsheets, gewachsen über mehrere Dienstleister, Pflichtangaben werden von Hand gepflegt, ein geschützter Bereich für institutionelle Interessenten existiert als Passwortseite ohne Rollen.

Der Fahrplan: zuerst die Bestandsaufnahme mit Sicherheitsdurchsicht und Sichtung der Datenquellen. Dann ein Rollen- und Freigabekonzept, damit Compliance Texte vor Veröffentlichung prüfen kann. Danach die Ablösung der Handpflege durch eine Anbindung an die vorhandene Datenquelle, sodass Factsheets und Kennzahlen aus einer Stelle kommen. Zuletzt der geschützte Bereich mit persönlichen Zugängen, zweitem Faktor und protokollierten Downloads. Als Ziele halten wir vorab schriftlich fest: Hauptinhalt sichtbar in deutlich unter einer Sekunde, vollständige Tastaturbedienbarkeit der Dokumentstrecke, kein manuelles Nachtragen von Pflichtangaben mehr, Wiederanlauf aus dem Backup nachweislich unter einer Viertelstunde.

#Ein typisches Projekt für ein Payment-Fintech in Sachsenhausen

Ausgangslage: schnelle Produktseiten, aber ein über die Jahre gewachsener Tag-Manager, der vor jeder Einwilligung Verbindungen zu einer zweistelligen Zahl externer Dienste aufbaut, dazu eine Entwicklerdokumentation, die getrennt vom Marketingauftritt lebt und beim Rollout regelmäßig hinterherhinkt.

Der Fahrplan: Bestandsaufnahme aller ausgehenden Verbindungen und Abgleich mit dem Verarbeitungsverzeichnis. Anschließend die Neuordnung der Einwilligungslogik, sodass vor Zustimmung nichts lädt, und die Verlagerung der verbleibenden Messung auf ein cookiefreies Verfahren. Parallel die Zusammenführung von Produktseiten und Entwicklerdokumentation in ein gemeinsames Redaktionssystem mit getrennten Freigabewegen. Vereinbarte Ziele: keine Fremdverbindung vor Einwilligung, Content Security Policy ohne pauschale Ausnahmen, dokumentierte Herkunft jedes verbleibenden Skripts.

#Betrieb, Wiederanlauf und Erreichbarkeit

Ein System, das niemand beobachtet, meldet seinen Ausfall über den Vertrieb. Für unternehmenskritische Auftritte richten wir deshalb eine Überwachung ein, die Erreichbarkeit, Zertifikatslaufzeiten, Antwortzeiten und auffällige Fehlerraten prüft und im Ernstfall an einen benannten Bereitschaftsweg meldet.

Backups laufen täglich, verschlüsselt und auf getrennte Systeme. Wichtiger als ihre Existenz ist der Nachweis, dass sie funktionieren: Wir spielen sie in festen Abständen in eine separate Umgebung zurück und halten Datum und Dauer fest. Diese Angabe ist genau die, nach der ein Prüfer fragt, und sie lässt sich nicht rückwirkend erfinden.

Für den Fall eines Sicherheitsvorfalls existiert ein schriftlicher Ablauf: wer informiert wird, wie das System isoliert wird, welche Protokolle gesichert werden und in welcher Reihenfolge der Betrieb wieder aufgenommen wird. Ihre Meldepflichten bleiben dabei Ihre Entscheidung, wir liefern die technischen Fakten dafür.

#Sichtbarkeit im Rhein-Main-Gebiet und in KI-gestützten Antworten

Für Anbieter mit regionalem Einzugsgebiet zählt die lokale Auffindbarkeit: strukturierte Angaben zu Name, Adresse und Leistungen, die überall im Netz gleich lauten, eigene Seiten für die relevanten Standorte zwischen Bankenviertel, Westend, Sachsenhausen, Eschborn und Offenbach sowie kurze mobile Ladezeiten.

Dazu kommt eine zweite Ebene, die im B2B-Geschäft schnell an Gewicht gewinnt: KI-gestützte Antwortsysteme geben Leistungen und Zuständigkeiten wieder, ohne dass jemand die Seite aufruft. Damit sie richtig zitieren, brauchen sie eindeutige Angaben statt Marketingprosa: klar benannte Leistungen, nachvollziehbare Autorenprofile mit Qualifikation, beantwortete Fachfragen und eine saubere Auszeichnung mit Schema.org. Fachbeiträge, die eine Frage tatsächlich beantworten, werden dabei zuverlässiger aufgegriffen als Seiten, die nur Schlagworte aufzählen.

#Grenzen der Individualentwicklung

Nicht jede Aufgabe rechtfertigt ein eigenes Entwicklungsprojekt, und wir sagen das im Erstgespräch. Eine kleine Kanzlei oder Praxis, die eine ruhige Visitenkarten-Website braucht, fährt mit einem gut konfigurierten Standard-Theme und einem verlässlichen Wartungsvertrag besser. Auch ein Auftritt, der ohnehin in zwölf Monaten in einem Konzernbaukasten aufgehen soll, ist kein Fall für eine Individualentwicklung.

Anders liegt es, sobald Freigabewege dokumentiert werden müssen, Systeme miteinander sprechen sollen, geschützte Bereiche echte Rollen brauchen oder ein über Jahre gewachsenes Konstrukt aus mehreren Dienstleister-Generationen zu einer Risikoposition geworden ist. Dann entscheidet Erfahrung darüber, ob die Sanierung Wochen oder Quartale dauert.

#Weitere Standorte im Rhein-Main-Gebiet und bundesweit

Über Frankfurt hinaus betreuen wir Auftraggeber in ganz Hessen und bundesweit:

• WordPress Entwickler Wiesbaden
• WordPress Entwickler Wiesbaden
• WordPress Entwickler Mannheim
• WordPress Entwickler Karlsruhe
• WordPress Entwickler Berlin
• WordPress Entwickler München

#Vertrag, Quellcode und laufende Betreuung

Verträge schließen wir auf B2B-Basis mit benannten Abnahmekriterien, festgelegten Reaktionszeiten und einer klaren Regelung für den Fall, dass Sie den Dienstleister wechseln wollen. Während des Projekts sehen Sie jeden Stand auf der Abnahmeumgebung. Nach Abschluss gehören Ihnen Quellcode, Nutzungsrechte, Zugänge und Dokumentation vollständig, ohne Abhängigkeit von einem Lizenzmodell auf unserer Seite.

Wer den Betrieb danach nicht selbst übernehmen will, bucht unseren Wartungsservice für Frankfurt dazu: Updates mit vorheriger Prüfung auf der Staging-Umgebung, Überwachung, Backup-Tests und ein fester Ansprechpartner.

Schreiben Sie uns, wenn Sie für Ihr Frankfurter WordPress-Vorhaben eine belastbare technische Einschätzung brauchen.