Fallstudie: BüroService Direkt vom alten WordPress zur sicheren Kundenplattform

Eine Website ist irgendwann nicht mehr nur eine Website. Bei BüroService Direkt war der alte WordPress-Auftritt über Jahre gewachsen: Inhalte, Angebotsseiten, News, Kontaktwege und ein historischer Webdiktat-Kontext lagen nebeneinander. Für ein Unternehmen, das mit Kanzleien, vertraulichen Diktaten und administrativer Entlastung arbeitet, war das zu wenig belastbar.

Der Relaunch war deshalb kein reines Designprojekt. Es ging um eine vollständige technische und redaktionelle Neuaufstellung: weg von einem veralteten, schwer kontrollierbaren WordPress-System, hin zu einer wartbaren Plattform mit klarer Informationsarchitektur, sicherem Kundenbereich, nachvollziehbaren Deployments und einer Basis, die später erweitert werden kann.

Ausgangslage

BüroService Direkt ist ein inhabergeführter Büroservice aus Berlin. Die Leistungen reichen von Sekretariatsservice und vorbereitender Buchhaltung über Schreib- und Korrekturservice bis zum Webdiktat für Kanzleien und Unternehmen. Genau diese Breite war auf der alten Seite nicht mehr sauber geführt.

Typische Probleme eines gewachsenen WordPress-Systems kamen zusammen:

• unklare Struktur zwischen Leistungen, Zielgruppen und News
• veraltete technische Basis mit Sicherheits- und Wartungsrisiken
• Inhalte, die nicht mehr konsequent auf Suchintention und Kundennutzen ausgerichtet waren
• ein digitaler Servicebedarf, der über eine klassische Broschürenwebsite hinausging
• fehlende CI- und Deployment-Sicherheit für wiederholbare Änderungen

Die Aufgabe war nicht, das alte System schöner zu machen. Die Aufgabe war, die Website wieder zu einem kontrollierbaren Geschäfts- und Servicekanal zu machen.

Entscheidung gegen den Plugin-Weiterbetrieb

Ein WordPress-Relaunch kann sinnvoll sein, wenn Redaktion, Theme, Plugin-Set und Hosting noch tragfähig sind. In diesem Fall wäre ein weiteres Aufräumen aber nur eine Zwischenlösung gewesen. Die Risiken lagen nicht nur im Aussehen, sondern in der Kombination aus Altlasten, Sicherheitsfläche und fehlender technischer Steuerbarkeit.

Statt ein weiteres Theme auf die alte Struktur zu setzen, wurde die Seite neu aufgebaut:

• Next.js als öffentliches Frontend
• PocketBase für den geschützten Kundenbereich und Webdiktat-Daten
• MDX für fachliche News-Inhalte
• klare öffentliche Routen für Leistungen, Kanzleien, Kontakt, Referenzen, Jobs und rechtliche Pflichtseiten
• serverseitige Aktionen für Kontakt, Konto, Serviceanfragen und Diktat-Workflows
• GitHub Actions als verpflichtender Build- und Deploy-Pfad
• PM2, Caddy, Doppler und ein unprivilegierter VPS-Deploy-User im Betrieb

Das Ergebnis ist keine überladene Plattform. Es ist eine bewusst schmale Website- und Kundenportal-Architektur, bei der jede kritische Funktion einem klaren Pfad folgt.

Wording und Informationsarchitektur

Der Relaunch hat die alte Leistungssammlung in eine verständlichere Struktur gebracht. Besucherinnen und Besucher finden heute schneller, ob sie Schreibservice, Webdiktat, Buchhaltung, Sekretariatsservice oder Kanzlei-Entlastung suchen.

Besonders wichtig war die Trennung zwischen allgemeinen Leistungen und Zielgruppen. Die Kanzlei-Seite ist kein Duplikat des Anwaltssekretariats. Sie erklärt den breiteren Entlastungsbedarf einer Kanzlei: Diktate, Schriftsätze, Korrespondenz, Korrektur, Abläufe und Engpässe. Die Detailseite zum Anwaltssekretariat bleibt dagegen enger an der konkreten Leistung.

Auch die Startseite wurde nicht als austauschbare Marketingfläche behandelt. Sie stellt Nutzen, Zielgruppen, Prozesse und Kontaktwege in den Vordergrund. Die Sprache wurde von “wir bieten alles” auf “welches Problem wird zuverlässig gelöst?” umgestellt.

Kundenbereich und Webdiktat

Der wichtigste Unterschied zu einer reinen Marketingseite ist der geschützte Kundenbereich. Kundinnen und Kunden können Webdiktate erfassen, Audiodateien hochladen, Dokumenttypen, Empfänger, Betreff, Hinweise und Anlagen übergeben und den Verlauf nachvollziehen.

Für diesen Bereich wurden mehrere technische Entscheidungen getroffen:

• Sitzungen werden serverseitig über verschlüsselte Cookies abgesichert.
• PocketBase-Tokens werden nicht lesbar im Browser-Cookie gespeichert.
• Gesperrte Konten verlieren Zugriff auf bestehende Sitzungen.
• Passwort- und E-Mail-Änderungen können bestehende Sessions invalidieren.
• Kundendateien werden nicht direkt öffentlich verlinkt.
• Medienabrufe laufen über authentifizierte App-Routen mit Range-Support, privaten Cache-Headern und nosniff-Schutz.
• Audio-Uploads, Anlagen und Verarbeitungspfade haben Größen- und Missbrauchsgrenzen.

Gerade bei Diktaten ist dieser Punkt zentral. Eine Audiodatei ist nicht irgendein Upload. Sie kann Mandats-, Personal-, Praxis- oder Geschäftsinformationen enthalten. Deshalb reicht es nicht, das Formular optisch modern wirken zu lassen. Der Zugriffspfad selbst muss stimmen.

Kontakt und Missbrauchsschutz

Auch öffentliche Formulare wurden nicht als Nebensache behandelt. Der Kontaktpfad kombiniert mehrere Schutzmaßnahmen: signierte Formular-Tokens, Honeypot, Mindestalter, Link- und Inhaltsprüfung sowie serverseitige Ratenbegrenzung. Die Ratenbegrenzung greift vor dem Schreiben in die Datenbank und vor dem Versand von E-Mails.

Das ist ein kleiner, aber wichtiger Unterschied. Viele Websites schützen nur die Oberfläche. In der Praxis muss der teure Teil geschützt werden: Datenbankwachstum, SMTP-Versand, Postfachrauschen und Reputation beim Mailprovider.

CI, Deployment und Betrieb

Ein Relaunch ist erst dann stabil, wenn Änderungen wiederholbar ausgeliefert werden können. Für BüroService Direkt wurde deshalb ein klarer Deployment-Pfad eingerichtet:

• GitHub Actions installiert Abhängigkeiten, führt Lint und Build aus und erstellt ein Release-Artefakt.
• Das Artefakt wird per SSH auf den VPS übertragen.
• Deployments laufen nicht über root, sondern über einen eigenen unprivilegierten Deploy-User.
• PM2 betreibt Web-App und PocketBase unter diesem Nutzer.
• Doppler liefert Produktionskonfiguration, ohne Secrets ins Repository zu schreiben.
• PocketBase-Migrationen laufen während des Deployments explizit.
• Releases liegen versioniert unter einem gemeinsamen App-Verzeichnis und können zurückgerollt werden.

Damit wurde aus einem alten “Website ist online”-Zustand ein kontrollierter Release-Prozess. Änderungen an Navigation, Inhalten, Sessions, Uploads oder Migrationslogik laufen durch denselben reproduzierbaren Pfad.

SEO, Struktur und Auffindbarkeit

Die neue Seite enthält nicht nur neue Texte. Sie enthält technische Signale, die Suchmaschinen und AI-Suchsysteme auswerten können:

• kanonische Metadaten pro Seite
• Open-Graph- und Twitter-Metadaten
• LocalBusiness- und ProfessionalService-JSON-LD
• Service- und FAQ-JSON-LD auf passenden Leistungsseiten
• Sitemap mit öffentlichen Seiten und News-Artikeln
• Robots-Regeln, die private Bereiche ausschließen
• Redirects von alten WordPress-Service-URLs auf neue Next.js-Routen

Damit bleiben alte Signale nicht einfach liegen, sondern werden in die neue Struktur überführt. Gleichzeitig sind private Bereiche wie Dashboard, Login und Passwortflüsse nicht Teil der öffentlichen Sitemap.

Ergebnis

Der Relaunch hat BüroService Direkt von einem veralteten WordPress-Auftritt auf eine kontrollierte technische Plattform gehoben. Sichtbare Verbesserungen sind die modernisierte Website, klarere Leistungsseiten, ein besserer Kanzlei-Fokus, neue News-Struktur und ein integrierter Kundenbereich.

Wichtiger sind jedoch die unsichtbaren Verbesserungen:

• weniger Plugin- und Theme-Abhängigkeit
• klare CI- und Build-Prüfungen
• versionierte Deployments
• geschütztere Kundendatenpfade
• bessere Kontrolle über Sessions, Uploads und E-Mail-Versand
• strukturiertes SEO-Fundament für bestehende und neue Inhalte
• eine Architektur, die Erweiterungen zulässt, ohne wieder in Altlasten zu kippen

Was andere Website-Betreiber daraus lernen können

Nicht jede alte WordPress-Seite braucht sofort einen kompletten Neubau. Aber wenn eine Website gleichzeitig veraltet, sicherheitskritisch, inhaltlich unklar und operativ schwer wartbar ist, reicht ein kosmetischer Relaunch nicht aus.

Die entscheidende Frage lautet dann nicht: Welches neue Design sieht besser aus? Sondern: Welche technischen und organisatorischen Pfade müssen kontrollierbar werden?

Bei BüroService Direkt waren das vor allem Kundenzugang, Webdiktat, Dateizugriff, Kontaktformular, Suchstruktur und Deployment. Erst als diese Pfade sauber neu gebaut waren, wurde aus dem Relaunch ein tragfähiger Neustart.