Bestehende PHP-Software übernehmen: So beginnt die Prüfung

Der typische Anlass

Die Anlässe wiederholen sich: Der Entwickler ist nicht mehr erreichbar. Die Anwendung läuft auf einer PHP-Version, die keine Sicherheitsaktualisierungen mehr erhält, und der Hoster kündigt die Abschaltung an. Eine Änderung ist nötig, aber niemand traut sich. Oder die Anwendung funktioniert, nur weiß niemand, wie.

In allen Fällen ist die erste Frage dieselbe und sie ist nicht „was kostet die Weiterentwicklung“, sondern „was ist da eigentlich“. Jede Aussage über Aufwand vor dieser Antwort ist geraten.

Was geprüft wird

Eine Bestandsaufnahme sieht sich fünf Dinge an:

• Die technische Grundlage: PHP-Version, Datenbank, verwendete Bibliotheken und deren Pflegezustand.
• Den Aufbau: Gibt es eine erkennbare Struktur, oder liegt die Fachlogik verstreut? Danach richtet sich, wie teuer jede Änderung wird.
• Die Datenhaltung: Aufbau der Datenbank, Beziehungen, Datenqualität — und ob die Daten das sind, was die Oberfläche behauptet.
• Sicherheitsrelevante Stellen: Anmeldung, Rechteprüfung, Umgang mit Eingaben, Datenbankabfragen, Dateiuploads.
• Den Betrieb: Wo läuft die Anwendung, wie wird sie aktualisiert, gibt es Sicherungen, und wurde eine Wiederherstellung schon einmal geprobt?

Das Ergebnis ist ein schriftlicher Befund mit konkreten Fundstellen — keine Note. „Veralteter Code“ ist keine Aussage; „die Anmeldung prüft die Rechte erst nach dem Schreiben“ ist eine.

Was wir dafür brauchen

• Den Quelltext, am besten mit seiner Versionsgeschichte. Einen Zugang zu einer Umgebung, in der wir die Anwendung starten können — nicht unbedingt die Produktivumgebung. Den Aufbau der Datenbank. Für die Prüfung des Aufbaus genügt in der Regel ein Auszug der Struktur. Für die Prüfung der Datenqualität brauchen wir zusätzlich eine Stichprobe oder anonymisierte Daten, die die Realität abbilden. Ansprechpartner für die Fachfragen: Was soll die Anwendung tun? Oft steht das nirgends geschrieben.

Was wir ausdrücklich nicht brauchen, sind Zugangsdaten zu Produktivsystemen per Mail. Für Zugänge gibt es sichere Wege, und wir fragen nur das ab, was für die Prüfung nötig ist.

Drei mögliche Ergebnisse

Nach der Prüfung laufen die Antworten meist auf eine von drei Richtungen hinaus: weiterentwickeln, schrittweise erneuern oder neu bauen. In manchen Fällen ist auch das Ablösen durch Standardsoftware oder das Stilllegen die ehrliche Antwort.

• Weiterentwickeln. Der Aufbau trägt, die Grundlage lässt sich aktualisieren, Änderungen sind zu überschaubaren Kosten möglich.
• Schrittweise erneuern. Die Anwendung bleibt in Betrieb, einzelne Bereiche werden abgelöst, bis am Ende kaum noch Altbestand übrig ist. Das ist der häufigste Weg bei Anwendungen, die im Tagesgeschäft gebraucht werden.
• Neu bauen. Wenn Aufbau und Datenhaltung so beschaffen sind, dass jede Änderung mehr Risiko als Nutzen bringt. Diese Antwort braucht eine Begründung mit Fundstellen, keine Geschmacksfrage.

Was es nicht gibt: ein pauschales „das muss neu“. Wer das ohne Prüfung sagt, verkauft ein Projekt, nicht eine Lösung.

Woran eine Übernahme scheitert

• Fehlender Zugang: ohne lauffähige Umgebung bleibt jede Aussage Vermutung.
• Kein Ansprechpartner für die Fachfragen: Code zeigt, was passiert, nicht warum.
• Keine Versionsgeschichte: dann fehlt die Antwort, warum etwas so gebaut wurde.
• Die Erwartung, dass die Prüfung nichts kostet. Sie ist die Arbeit, die alle späteren Entscheidungen tragfähig macht.