"8 WordPress-Installationen", selbstgehostet. Bekommen wir da auch das Feinkonzept für die Absicherung zu Gesicht (Container, WAF, Plugin-Sicherheitsanalyse)?
Bei der vorgenannten Anzahl an Installationen sollte der Verein doch groß/finanzstark genug sein, um einen spezialisierten Hoster dafür einzuspannen? Das wird für andere Dienste ja auch bereits gemacht. WP ist mit Abstand die größte ABM. Hugo tut's nicht?
Das Konzept zur Absicherung kann ich hier gerne teilen, sobald es vollständig steht bzw. erste Ideen dazu dokumentiert wurden. Das Ganze wird mein „Winter-Projekt“, aber WordFence und manuelle Sicherheitsanpassungen sind auf jeden Fall vorgesehen.
Leider ist im Haushaltsplan für die IT nicht allzu viel vorgesehen, ich bin aktuell froh um die Erhöhung, welche ich für 2025 bekommen habe. Ein spezialisierter Hoster würde für diese Größe dreistellig im Monat kosten, das bringe ich leider nicht unter...
Leider ist Hugo raus. Wir haben uns mehrere Alternativen angeschaut, mussten uns aber aus mehreren Gründen dann doch für WP entscheiden. Leider auch gegen eine Multisite, was die ABM nochmal so richtig abrundet 
-
Backup-Konzept: Wo liegen Sicherungen von was und wie sieht eine Wiederherstellung nach technischen oder menschlichen Fehlern aus? Hierbei auch Generationen, Sicherungen "off site" und die akzeptablen Wiederherstellzeiten berücksichtigen.
-
Deployment-Konzept: Wie bringst Du Änderungen in's System, wie werden Updates getestet? Die Spanne reicht von mehrstufigen Staging-Infrastrukturen bis zu "wir installieren in Prod und restoren im Notfall". Alles eine Frage des Geldes, Aufwandes und der Risikobereitschaft ... wobei Testsysteme die Wirklichkeit immer nur bis zu einem gewissen Grad abbilden können.
Das Thema Backup ist natürlich auf dem Schirm, auch wenn es noch nicht vollständig ausgereift ist, habe ich nur vergessen hier zu erwähnen. Aktuell ist angedacht, alle Backups auf einer StorageBox des roten H zu sammeln, und in der Zukunft dann auch entsprechende Spiegelungen der StorageBox automatisiert auf einem Server in der Geschäftsstelle abzulegen.
Dadurch dass ich mit vorschnellen Updates recht zurückhaltend bin, und eigentlich nur stable- und security-Updates einspiele, habe ich das bisher immer im Live-Betrieb gemacht (Schande über mein Haupt) und bin dabei noch nie auf Probleme gestoßen. Sind es umfassende Updates mit zu erwartenden Problemen, würde ich ein Abbild erstellen und dieses dort testen. Und im Notfall, wie Du schon geschrieben hast, restoren - denn natürlich wird vor jedem Update ein manuelles Backup angestoßen. Aber für mehrstufige Staging-Strukturen fehlt dann doch einfach die Zeit...
Zum Backup-Konzept gehört auch noch was, das gerade bei Vereinen viel zu oft unterlassen wird:
Gibt es auch ein Backup für den Admin, falls der mal ausfällt?
Sehr oft wird sowas von einer Person alleine gestemmt wird und nur die hat dann auch Ahnung von dem Ganzen.
Gerade vor kurzem habe ich das erlebt, dass der Admin eines Vereins dauerhaft ausgefallen ist und wirklich niemand einen Plan hatte. Noch nicht mal Zugangsdaten.
Tatsächlich war das eines der ersten Sachen, die ich umgesetzt habe, denn... „Trommelwirbel“... genau so ging es mir bei der Übernahme des Postens. Weder Dokumentation noch Passwörter oder zumindest eine kleine Liste darüber, welche Accounts bei welchem Anbieter existieren.
Wir haben in der Geschäftsstelle einen Tresor, auf welchen alle Vorstände Zugriff haben. In diesem befindet sich nun ein Umschlag mit dem Ersatzschlüssel zum Serverschrank sowie dem Master-Passwort zum Bitwarden Vault 
Als Mitglied der "Church of Metrics" vermisse ich da noch Informationen zum Monitoring und Alerting.
Das geht beides auf meine Kosten. Ich habe mir für private Zwecke ein redundantes Munin- und UptimeKuma-Netzwerk aufgebaut, welches bei Bedarf via TelegramBots informiert/alarmiert. Ein Bot für den Verein, und entsprechendes Monitoring und Alerting, läuft bereits. Die drei (gleich aufgebauten) Server hierfür stehen in Nürnberg (netcup), Berlin (Strota) und Logrono, Spanien (I0N0S).
Jetzt muss man berücksichtigen, dass bei einem Verband/Verein in Sachen IT i.d.R. meist nur der innere Kern (bspw. geschäftsführender Vorstand) und der daran anschließende "äußere Kern" diese IT-Dinge wirklich nutzt (Schatzmeister, Mitgliederverwaltung,...).
Die eigentliche Problematik ist aber: den ganzen "komplexen" IT-Krempel kann am Schluss nur noch einer beherrschen...nämlich der, der (ggf. über Jahre hinweg) diesen "Moloch" aufgebaut hat. Und alleine damit baue ich mir in den Verein oder Verband einen massiven Single-Point-of-Failure ein....nämlich bei Ausfall des Admins.
Aus eigener Erfahrung kann ich (auch wenn jetzt der ein oder andere "Blasphemie!!!!" in der Raum wirft), nur empfehlen das Ganze nicht alles selbst zu machen sondern primäre managed einzukaufen.
Das hat zunächst den Vorteil, dass man sich im Verein/Verband auf das wesentliche konzentrieren kann und ein Anbieter sich um den Unterbau kümmert.
Zumal Non-Profit-Organizations überall massive Rabatte erhalten und die Produkte und Services teilweise echt nachgeschmissen bekommen.
Auch über "Stifter-Helfen" bekommt man unglaublich viel Services extrem günstig für Vereine/Verbände als Non-Profit.
Alles anzeigen
Willkommen im Forum! Ich habe deinen Beitrag - da sehr lang - im Zitat ein wenig eingekürzt, versuche aber dennoch auf alles Bezug zu nehmen.
Da gebe ich Dir recht, allerdings ist unserer Meinung nach, für die Personen die das bei uns nutzen (ca. 200), eine enorme Erleichterung. Alleine der WireGuard-Server wird extrem viel Zeit und KM sparen.
Auch diesen Punkt kann ich verstehen, und reiche bei der Gelegenheit ein paar Hintergrundinformationen nach. Unser Verein hat ein paar Tausend Mitglieder und wurde in den letzten Jahrzehnten (!) extrem schlecht geführt. Dies hatte sehr viele Gründe, welches ein eigenes Thema wert wären, aber bestimm nicht in einem IT-Forum
Wir haben nun nicht nur eine neue Satzung, sondern auch eine neue Struktur und Strategien den Verein aufzubauen, und die Führungsstrukturen breitgefächerter zu streuen. So gibt es bei uns mehrere Arbeitskreise, und einer davon ist der Arbeitskreis IT. Dieser besteht aktuell aus 4 Personen, hat aber noch nicht oft getagt und ist eher noch im Aufbau. Was ich damit sagen will: Es wird nicht „einen Bud“ geben, der bei einem Autounfall stirbt und sämtliches IT-Wissen eines Vereins mit ins Grab nimmt 
Managed einzukaufen hört sich traumhaft an, ist aber leider einfach zu viel Geld. Wie bereits erwähnt wurde die letzten Jahre schlecht gewirtschaftet, und das Geld wird an anderen Stellen leider viel nötiger gebraucht...
Stifter-Helfen kennen und nutzen wir. Kurz noch zu "Wiso Mein Verein": Das ist für unseren Verein bedauerlicherweise unbrauchbar, weswegen wir auf eine andere Software zurückgreifen müssen.
Und wenn man es trotzdem macht, dann muss man zumindest ALLES so gut dokumentieren, inklusive konkreten Anweisungen für alle anfallenden Arbeiten (Updates, Backup einspielen, Änderungen von Inhalten, und und und...), dass notfalls auch ein Laie die Geschichte eine Zeit lang am laufen halten kann. Entweder bis ein adäquater Nachfolger gefunden ist oder bis sie auf externe Dienste umgestellt ist.
Die Doku sollte man dann von Laien auch mal durchschauen und die wichtigsten Vorgänge am Besten sogar (unter Aufsicht
) durchspielen lassen, als Entwickler kann man sich die vermeintlich trivialen Dinge, an denen ein Außenstehender dann oft scheitert, meist gar nicht vorstellen.
Jemand der sich trotz mangelnden Wissens zur Nachfolge hat breitschlagen lassen, damit die sich endlos ziehende Hauptversammlung oder Ausschusssitzung noch vor der Morgendämmerung beendet werden kann
, wird mit der Bedienung und Verwaltung z.B. einer Nextcloud-Instanz hinterher mehr als genug zu tun haben und auf die technischen Aspekte wie Versionsupdates, Linux Dateirechte, htaccess-Dateien, Konfig-Dateien oder gar OS-Updates notfalls sicher gern verzichten.
Auch vielen Dank für diesen Input
Wie oben schon angedeutet: Wissen wir und haben wir auf dem Schirm. Wiki.js für den Verein läuft aktuell auf einem meiner Server und wird schon gut genutzt, und das nicht nur für die IT. Von der Dokumentation ist hier jeder begeistert. Unser Hauptkassier hat schon ein halbes Buch geschrieben, mit welchem ich mich schon fast die Finanzen anschauen traue 
Ich bin verwundert, dass du das alles selbst machen willst.
Das ganze wordpress würde ich zumindest einfach in einen Webspace werfen.
Von wollen kann nicht ganz die Rede sein...
Für KeyHelp und somit gegen ein Webhosting 8000 haben wir uns entschieden, da wir uns von einem VPS 1000 ARM G11 wesentlich schnellere Ladezeiten erwarten.
Ich denke, dass Bud schon (noch) einiges mehr bereits im Hinterkopf hat als er im Eingangsbeitrag geschrieben hat. 
Das wollt ihr gar nicht alles wissen
Freut euch auf den Tag, wenn ich den Inhalt des aktuellen Serverschranks präsentiere und dort aufräumen will...
Vielen Dank für den ganzen Input und die Meinungen
Gerne mehr davon 