Testumgebung und Freigabe: Entweder prüft der Betrieb vorher oder der Kunde nachher

Am Live-System übernimmt der Besucher die Rolle des Testers

Das Live-System ist die öffentlich erreichbare Fassung der Website, die Kunden, Interessenten und Suchmaschinen sehen. Wird dort unmittelbar gearbeitet, ist jeder Zwischenstand sofort öffentlich. Ein halb umgestelltes Menü, eine Seite ohne Formatierung oder ein Formular mit Fehlermeldung nach dem Absenden erreicht in dieser Zeit reale Besucher.

Der schwerere Fall zeigt sich gar nicht auf dem Bildschirm. Die folgenden Störungen laufen still weiter, bis jemand sie meldet, und das ist in der Regel ein Kunde und kein Kollege:

• eine Bestellbestätigung, die seit dem Eingriff nicht mehr verschickt wird,
• ein Kontaktformular, das dem Absender Erfolg meldet und die Nachricht nirgends ablegt,
• eine Preisregel, die für eine Kundengruppe seit der Umstellung nicht mehr greift,
• eine Adresse, die ins Leere führt, während Suchmaschinen und fremde Seiten weiter darauf verweisen.

Solche Punkte sammelt eine technische Prüfung ein. Welche davon am häufigsten auftreten und in welcher Reihenfolge sie sich abarbeiten lassen, ordnet der Beitrag zu den Befunden aus einem technischen Website-Audit.

Hinzu kommt der Zeitdruck. Wer am Live-System einen Fehler entdeckt, korrigiert ihn, während das Telefon klingelt. Unter diesen Bedingungen entstehen der zweite und der dritte Fehler, und der Stand, auf den man zurückwill, ist bereits überschrieben.

Die zweite Umgebung bildet das Live-System bis in die Konfiguration nach

Eine Testumgebung ist eine zweite, vollständige Installation derselben Website unter einer eigenen Adresse, die weder für das Publikum noch für Suchmaschinen erreichbar ist. Sie enthält denselben Programmstand, dieselben Erweiterungen und einen Datenbestand, der dem echten in Struktur und Größenordnung gleicht.

Der Wert dieser Kopie hängt daran, wie genau sie dem Original entspricht. Weicht die Version einer Komponente ab, laufen die Servereinstellungen auseinander oder enthält die Kopie zehn Artikel, wo das Original zehntausend führt, dann wird unter Bedingungen geprüft, die im Betrieb nicht gelten. Ein Befund aus einer solchen Umgebung hat wenig Aussagekraft: Er belegt, dass es dort funktioniert hat.

Welche Systeme in die Kopie gehören, ergibt sich aus der Systemarchitektur, also aus der Festlegung, welches Programm welche Aufgabe übernimmt und welche Angabe es führt. Hängen an der Website eine Warenwirtschaft, ein Zahlungsdienstleister oder ein Versanddienst, ist für jedes dieser Systeme zu klären, ob die Testumgebung mit einem eigenen Testzugang arbeitet oder die Verbindung dort abgeschaltet bleibt.

Drei Leistungen rechtfertigen den Aufwand:

• Fehler treffen niemanden. Ein fehlgeschlagener Versuch kostet eine Wiederholung, keine Anfrage und keinen Auftrag.
• Der Auftraggeber sieht vor dem Publikum. Inhalte, Gestaltung und Abläufe lassen sich in Ruhe durchgehen, bevor eine Freigabe fällt.
• Der Live-Gang wird zum Kopiervorgang. Veröffentlicht wird genau der Stand, der geprüft wurde, und keine nachträglich zusammengesetzte Fassung.

Die zweite Umgebung muss selbst gepflegt werden

Die Kopie ist ein zweites System und verlangt, was ein System verlangt: Aktualisierungen, gültige Zertifikate, Zugriffsschutz, Sicherungen und eine Person, die sich zuständig fühlt. Bleibt das aus, altert die Kopie.

Dieses Altern hat zwei Richtungen. Der Programmstand der Kopie fällt hinter den Live-Stand zurück, weil dort seit Wochen Korrekturen eingespielt wurden. Der Datenbestand wiederum entfernt sich vom echten, weil im Betrieb täglich Bestellungen, Artikel und Kundenkonten dazukommen. Nach einigen Monaten wird auf einem Stand geprüft, den es so nie gegeben hat.

Zur Einrichtung gehört deshalb die Festlegung, in welchem Rhythmus die Kopie vom Live-Stand aufgefrischt wird und wer das übernimmt. Wie aufwendig das ausfällt, entscheidet die geforderte Nähe zum Original: Eine Umgebung, die nur den Programmstand abbildet, ist schnell erneuert; eine, die auch den Datenbestand und die angebundenen Systeme mitführt, verlangt einen eigenen, wiederholbaren Ablauf.

Ein Teil dieses Aufwands fällt ohnehin an. Wer eine Website im Betrieb hat, spielt Aktualisierungen ein, prüft Sicherungen und beobachtet die Erreichbarkeit. Die zweite Umgebung verdoppelt davon den technischen Teil und erspart im Gegenzug die Nacharbeit, die ein fehlgeschlagener Eingriff auf der öffentlichen Fassung auslöst.

Echte Kundendaten haben in der Testumgebung nichts zu suchen

Der bequeme Weg ist, den Datenbestand des Live-Systems eins zu eins in die Kopie zu übernehmen. Damit stehen Namen, Anschriften, Bestellhistorien und Zahlungsangaben in einem System, das genau die Schutzmaßnahmen lockert, die im Betrieb gelten.

Vier Unterschiede erklären das Risiko:

1. Der Zugriff ist breiter. In der Testumgebung arbeiten Entwicklung, Dienstleister und Fachbereich gemeinsam, oft mit weitreichenden Rechten, die auf dem Live-System niemand von ihnen hätte.
2. Die Absicherung ist schwächer. Testzugänge werden geteilt, Passwörter seltener gewechselt, Zugriffsprotokolle selten ausgewertet.
3. Ausgehende Nachrichten erreichen echte Empfänger. Ein Testlauf der Bestellstrecke verschickt Bestätigungen an die Adressen, die im kopierten Datenbestand stehen.
4. Die Kopie wird vergessen. Sicherungen der Testumgebung liegen an anderen Orten und bleiben bei einer Löschanfrage unbeachtet.

Die Datenschutz-Grundverordnung bindet jede Verarbeitung an einen Zweck und an das, was für diesen Zweck erforderlich ist. Für die Prüfung einer Funktion genügt ein Datensatz, der Form und Menge des echten abbildet; der Name eines realen Kunden trägt dazu nichts bei.

Brauchbare Testdaten erfüllen drei Anforderungen: Sie haben keinen Personenbezug, sie decken die Fälle ab, die im Alltag vorkommen, einschließlich der unangenehmen, und sie erreichen die Größenordnung des echten Bestands. Der übliche Weg dorthin ist die Anonymisierung, also das Ersetzen personenbezogener Felder durch erfundene Werte, ohne dass sich die ursprüngliche Angabe zurückrechnen lässt.

Die Abnahme erteilt eine namentlich benannte Person

Mit der Abnahme erklärt der Besteller, dass das Gelieferte dem entspricht, was vereinbart war. An diese Erklärung knüpfen sich Rechtsfolgen, und deshalb gehört sie in die Hand einer Person mit Entscheidungsbefugnis und nicht in eine Gesprächsrunde ohne Protokoll.

Ein belastbarer Ablauf hat vier Bestandteile.

Wer prüft, richtet sich nach der Änderung. Der Fachbereich beurteilt, ob ein Vorgang so funktioniert, wie er im Alltag gebraucht wird. Die IT beurteilt Zugriffsrechte, Datenflüsse und Betrieb. Die Geschäftsführung beurteilt die Wirkung nach außen. Die Freigabe selbst bleibt bei einer Person, die im Zweifel auch eine Verzögerung verantwortet.

In der Praxis scheitert die Abnahme selten an der Technik. Sie scheitert daran, dass niemand benannt ist, der sie erteilen darf, und der geprüfte Stand deshalb entweder wochenlang liegen bleibt oder ohne Freigabe veröffentlicht wird.

Der Rückweg funktioniert in Minuten, wenn er vorher geprobt wurde

Der Rückweg ist die geordnete Rückkehr zu dem Stand, der nachweislich lief. Er ist die letzte Sicherung des Verfahrens: Die Prüfung findet die Fehler, nach denen gesucht wurde, und der Rückweg deckt jene ab, die erst unter echter Last auftreten.

Vier Voraussetzungen entscheiden, ob er in Minuten oder in Stunden abläuft:

1. Der vorherige Stand existiert vollständig. Dazu gehören Programmstand, Konfiguration und Datenbestand zum selben Zeitpunkt. Eine Sicherung, die allein Dateien enthält, reicht nicht, sobald die Änderung die Datenbank berührt hat.
2. Datenänderungen sind getrennt betrachtet. Programmstände lassen sich zurücktauschen. Daten, die seit der Veröffentlichung entstanden sind, gehen bei einem vollständigen Rückschritt verloren, und deshalb muss vorher feststehen, was mit Bestellungen und Nachrichten aus diesem Zeitraum geschieht.
3. Eine Person darf allein auslösen. Der Rückweg wird ausgelöst, während der Schaden läuft. Eine Abstimmungsrunde kostet genau die Zeit, die das Verfahren sparen soll.
4. Der Ablauf wurde einmal durchgespielt. Erst der Probelauf zeigt, wie lange er wirklich dauert und an welcher Stelle eine Zugangsberechtigung fehlt.

Dazu kommt der Zeitpunkt der Veröffentlichung. Ein Live-Gang am späten Freitagnachmittag verlegt die Fehlersuche ins Wochenende, wenn die Personen, die den Rückweg auslösen dürfen, schwer erreichbar sind. Ein Termin am Vormittag eines Arbeitstags lässt genug Zeit, das Ergebnis unter echtem Verkehr zu beobachten und bei Bedarf noch am selben Tag zurückzugehen.

Jede Änderung an Technik, Daten oder Prozessen gehört zuerst in die Testumgebung

Der Weg über Testumgebung und Abnahme gilt nicht für jede Korrektur. Eine Telefonnummer im Impressum zu berichtigen, dauert im Content-Management-System, also im Redaktionswerkzeug der Website, eine Minute und lässt sich in derselben Minute zurücknehmen.

Die Trennlinie verläuft entlang der Frage, ob ein Fehler auf dem Bildschirm sichtbar wird oder erst in einem Vorgang auffällt. Sichtbare Fehler im redaktionellen Inhalt werden korrigiert, sobald sie jemand bemerkt. Stille Fehler in Formularen, Bestellstrecken, Preisen oder Anbindungen bemerkt zuerst der Kunde, dessen Vorgang abbricht.

Zwei Sonderfälle fallen aus diesem Raster. Ein Eingriff, der eine bekannte Sicherheitslücke schließt, verträgt keine wochenlange Abnahme; er wird geprüft, aber in einem verkürzten Verfahren mit vorbereitetem Rückweg. Die erste Änderung nach einer längeren Pause gehört ebenfalls in die Testumgebung, auch wenn sie klein ausfällt, weil in der Zwischenzeit Aktualisierungen aufgelaufen sind, deren Zusammenspiel noch niemand geprüft hat.