Drupal 7 ablösen, bevor es teuer wird

Am 5. Januar 2025 hat das Drupal-Projekt die Unterstützung für Drupal 7 beendet. Seitdem veröffentlicht es für diese Version keine Sicherheitsupdates mehr. Das betrifft den Kern und die Module, die über drupal.org verteilt werden.

Wird eine neue Lücke bekannt, bleibt sie auf deiner Seite offen, bis jemand sie selbst schließt. Das Risiko wächst mit jedem Monat, in dem die Software unverändert bleibt. Dazu kommt der Server darunter. Hoster stellen alte PHP-Versionen irgendwann ab, und dann muss die Seite ohnehin angefasst werden.

Es gibt kommerzielle Anbieter, die Drupal 7 gegen Bezahlung weiter mit Sicherheitspatches versorgen. Das ist eine brauchbare Brücke, wenn du Zeit für die Planung brauchst. Die Ablösung verschiebt sich damit aber nur nach hinten.

Welcher Weg passt, hängt vor allem davon ab, wie oft auf der Seite etwas geändert wird und wie viel Logik in ihr steckt. Mitgliederbereiche, Formulare mit Freigabeprozessen oder Schnittstellen zu anderen Systemen verändern die Rechnung deutlich.

Upgrade auf Drupal 10 oder 11

Von Drupal 7 auf eine aktuelle Version gibt es keinen Update-Knopf. Technisch ist es ein Neuaufbau. Theme und eigene Module werden neu geschrieben, die Inhalte kommen über die Migrationswerkzeuge von Drupal in die neue Installation.

Spricht dafür

• Inhaltstypen, Kategorien und Benutzerrollen lassen sich ähnlich abbilden wie bisher.
• Die Redaktion arbeitet weiter in einer vertrauten Umgebung.
• Feine Rechtevergabe, Mehrsprachigkeit und viele verschiedene Inhaltstypen kann Drupal weiterhin gut.

Spricht dagegen

• Der Aufwand liegt nahe an dem einer neuen Website.
• Für manche Drupal-7-Module gibt es keinen Nachfolger. Dann braucht es Ersatz oder eigenen Code.

Wechsel auf ein schlankeres CMS

Viele Drupal-7-Seiten nutzen nur einen kleinen Teil dessen, was Drupal kann: ein paar Seiten, News und ein Kontaktformular. Dafür reicht oft ein kleineres Redaktionssystem, entweder klassisch mit eigener Oberfläche oder als Headless-CMS, das nur die Inhalte verwaltet und sie an eine separate Website ausliefert.

Spricht dafür

• Weniger Software auf dem Server, also weniger zu aktualisieren.
• Redakteure finden sich in einer kleineren Oberfläche meist schneller zurecht.

Spricht dagegen

• Das Inhaltsmodell muss neu gedacht werden, weil Felder und Verknüpfungen aus Drupal selten eins zu eins passen.
• Aufwendige Rechtekonzepte oder viele Sprachen bringen kleinere Systeme an ihre Grenzen.
• Updates und Hosting bleiben ein laufendes Thema.

Statische Website

Ändert sich auf der Seite nur ein paar Mal im Jahr etwas, ist eine statische Website oft der einfachste Weg. Die Seiten werden einmal erzeugt und als fertige HTML-Dateien ausgeliefert. Auf dem Server läuft dann nur noch ein Webserver, der diese Dateien verteilt. Ich setze dafür zum Beispiel Next.js mit statischem Export und automatischem Deployment ein.

Spricht dafür

• Sehr wenig Angriffsfläche, weil auf dem Server nur fertige Dateien liegen.
• Kaum Wartung und kurze Ladezeiten.

Spricht dagegen

• Änderungen laufen über mich oder über ein Git-basiertes Redaktionssystem, in dem du Texte über eine Oberfläche bearbeitest und die Seite danach automatisch neu gebaut wird.
• Für Logins, Shops oder Inhalte, die Nutzer selbst anlegen, ist das der falsche Ansatz.

Wie ich Web-Projekte allgemein angehe, steht auf der Seite zur Softwareentwicklung in Fürth, Nürnberg und Erlangen.

Eine Drupal-Seite, die ein paar Jahre online ist, hat Spuren hinterlassen. Google hat ihre Unterseiten im Index, andere Websites verlinken auf einzelne Artikel, und manche Kunden haben Seiten als Lesezeichen gespeichert. Ändern sich die Adressen beim Umzug ohne Weiterleitung, landen all diese Besucher auf einer Fehlerseite.

Eine 301-Weiterleitung teilt Browsern und Suchmaschinen mit, dass eine Seite dauerhaft umgezogen ist. So bleiben Rankings und eingehende Links in aller Regel erhalten. Drupal 7 erreicht viele Inhalte außerdem über zwei Adressen, eine sprechende und eine Systemadresse wie /node/42. Beide bekommen ein Ziel.