In Angeboten stehen sie in getrennten Zeilen, in der Realität sind sie dasselbe Thema. Wer eine Anwendung schnell macht, räumt dabei fast zwangsläufig Dinge auf, die sie auch angreifbar gemacht haben – und umgekehrt.
Warum langsam oft unsicher heißt
Die Ursachen überschneiden sich. Ein veraltetes Framework ist langsamer als seine aktuelle Fassung und bekommt keine Sicherheitsupdates mehr. Ein Plugin, das bei jedem Aufruf unnötige Abfragen absetzt, ist oft dasselbe Plugin, dessen Eingaben niemand prüft. Eine Datenbankabfrage ohne Index ist langsam – und eine Abfrage, in die Benutzereingaben ungeprüft einfließen, ist beides.
Umgekehrt gilt genauso: Ein Server, der unter Last zusammenbricht, ist mit erstaunlich wenig Aufwand lahmzulegen. Verfügbarkeit ist ein Sicherheitsziel, kein Komfortmerkmal.
Die vier Stellschrauben
In der Reihenfolge, in der sie sich fast immer lohnen:
- Aktuelle Versionen. PHP, Framework, Abhängigkeiten. Der größte Einzelsprung bei der Geschwindigkeit ist regelmäßig ein PHP-Update, und er kostet nichts außer der Prüfung, ob danach alles läuft.
- Datenbank. Fehlende Indizes und Abfragen in Schleifen sind die häufigste Ursache für Seiten, die unter Last einbrechen. Beides ist messbar und beides ist reparierbar.
- Caching an der richtigen Stelle. Ein Cache, der ein Problem verdeckt, statt es zu lösen, macht die Fehlersuche später schwerer. Erst messen, dann cachen.
- Bilder und Auslieferung. Oft der schnellste sichtbare Gewinn, und der einzige Punkt in dieser Liste, der mit Sicherheit nichts zu tun hat.
Was Monitoring zeigen muss
Ein Monitoring, das nur meldet, ob der Server antwortet, meldet zu spät. Nützlich wird es, wenn es drei Dinge zeigt: die Antwortzeiten der wichtigsten Seiten über die Zeit, die Fehlerrate, und ob die Backups tatsächlich gelaufen sind.
Der Wert liegt nicht im Alarm, sondern im Verlauf. Eine Seite, die über sechs Monate von 300 auf 900 Millisekunden gewandert ist, hat kein akutes Problem – aber ein wachsendes. Ohne Verlauf sieht das niemand, weil jede einzelne Messung für sich noch in Ordnung aussieht.
Was einmal im Jahr gehört
Manche Dinge lassen sich nicht überwachen, sondern nur nachsehen. Einmal jährlich: Wer hat noch Zugänge, die er nicht mehr braucht? Welche Abhängigkeiten werden nicht mehr gepflegt? Läuft die Wiederherstellung eines Backups tatsächlich durch – nicht theoretisch, sondern einmal wirklich ausprobiert? Sind die Zertifikate und ihre Erneuerung in Ordnung?
Das ist ein halber Tag. Er verhindert die Art von Problemen, die sonst zu einem ungünstigen Zeitpunkt auf einmal alle zusammen auftreten.