FS Frank Stuhec · Laravel & Symfony Freelancer | Legacy PHP modernisieren
Teilweise verfügbar · auf Anfrage
Legacy-Audit · PHP · Symfony · Laravel

Deine PHP-Codebase läuft seit Jahren. Aber keiner traut sich mehr ran.

In 1–2 Wochen bekommst du eine klare Karte: welche Risiken sofort, welche Quick Wins in Tagen und welche größeren Schritte realistisch sind. Festpreis, schriftlich, ohne Berater-Sprech.

30-Min-Erstgespräch → Was du bekommst

Frank Stuhec. Du arbeitest direkt mit mir, ohne Junior und ohne Übergabe. Passt es nicht, sag ich dir das im Erstgespräch.

Festpreis
Betrag im Erstgespräch
1–2 Wochen
Kickoff bis Report
25+ Jahre
Web-Entwicklung

Du weißt danach genau, was Nichtstun kostet – und was du als Nächstes tun kannst.

Was ein Audit bei euch konkret sichtbar macht

Kein abstrakter Scan-Report. Eine klare Karte: Was passiert, wenn ihr nichts tut – und welche Schritte realistisch und planbar sind.

Anonymisiertes Beispiel aus einem Mittelstands-Audit.

  1. Betrieb läuft auf unsicherem Fundament

    PHP 7.4 ohne Security-Patches, Hosting-Support wird abgeschaltet.

    Ohne Handlung

    Kein zuverlässiger Betrieb mehr möglich. Steigende Ausfall- und Haftungsrisiken. Jede Änderung wird teurer.

    Mit dem Audit

    Klare Upgrade-Roadmap in 3–4 Wochen.

  2. Bekannte Sicherheitslücken in Abhängigkeiten

    Mehrere Composer-Pakete mit veröffentlichten CVEs, teils seit Jahren ohne Updates – auch in Login- und Zahlungsbereichen.

    Ohne Handlung

    Die Lücken sind öffentlich dokumentiert und werden automatisiert ausgenutzt. Ein Vorfall kostet Ausfallzeit, DSGVO-Meldepflichten und Kundenvertrauen.

    Mit dem Audit

    Die betroffenen Pakete mit Risiko und Update-Pfad, die kritischen zuerst.

  3. Jede Änderung ist aktuell ein Risiko

    Wichtige Geschäftsprozesse ohne automatisierte Tests.

    Ohne Handlung

    Änderungen dauern 2–3× länger und können die Produktion lahmlegen. Kosten steigen, weil alles manuell und an wenigen Personen hängt.

    Mit dem Audit

    Kritische Pfade in ca. 2 Wochen wieder kontrollierbar.

  4. Sofort spürbare Entlastung

    Tote Cronjobs und inaktives OPcache.

    Aufwand: unter einem Tag. Sofort weniger Last und Angriffsfläche.

Danach drei klare Phasen

  1. Betrieb & Sicherheit absichern 2–3 Wochen
  2. Kritische Prozesse wieder kontrollierbar machen ca. 2 Wochen
  3. Schrittweise entflechten und planbar weiterentwickeln Rest der Roadmap

Anonymisiertes Beispiel. Dein Bericht zeigt genauso konkret, was Nichtstun kostet – und was realistisch geht.

Projekte seit 1998
act0
unlimitedsports0
ugwlogo
firstdata
Die Ausgangslage

Du kennst das Muster.

Der Hoster kündigt die alte PHP-Version ab. Die eine Person, die das System wirklich versteht, ist nicht mehr da. Der Security-Scan liefert eine lange Liste, und keiner weiß, wo man anfangen soll.

Das Geschäft läuft, die Codebase verdient Geld. Aber jede Änderung dauert länger als geplant, und jedes Update wird riskanter. Das Risiko ist nicht mehr theoretisch – es kostet euch bereits Zeit und Geld.

Viele raten jetzt zum kompletten Rewrite. Meistens ist das teurer und riskanter als nötig. Was du brauchst, ist jemand, der weiß, wie man eine laufende PHP-Codebase modernisiert, ohne den Betrieb anzuhalten.
  • Der Hoster kündigt die PHP-Version ab
  • Der eine, der es verstand, ist weg
  • Der Security-Scan zeigt eine lange Liste
  • „Warum wurde das so gebaut?“
Das Ergebnis

Was du danach in der Hand hast.

Ein klares, schriftliches Bild deiner Codebase. Genug, um intern zu entscheiden, was als Nächstes passiert, egal ob danach mit mir, mit deinem Team oder mit jemand anderem.

  • Welche Risiken sofort angegangen werden müssen Security-Lücken, ausgelaufene Versionen, End-of-Life-Abhängigkeiten.
  • Welche Quick Wins in einem Tag machbar sind
  • Welche größeren Umbauten sich lohnen und welche nicht
  • Wie lange jeder Schritt realistisch dauert In Wochen, nicht in Story Points.
  • Wo die Stolperfallen liegen Die Stellen, die ein normales Code-Review übersieht.
Ablauf

So läuft das Audit ab.

In der Regel 1–2 Wochen, je nach Größe der Codebase. Du brauchst dafür nichts anzuhalten.

  1. Kickoff

    90 Minuten

    90 Minuten mit dir durch Codebase, Pain Points und Geschäftsziele. Ich bekomme Lesezugriff auf Repository, CI und, wenn möglich, eine Staging-Umgebung.

  2. Statische Analyse

    1–2 Tage

    PHPStan, Rector im Dry-Run, PHPCompatibility und composer audit über den gesamten Code. Dazu manuelle Prüfung der kritischen Pfade: Zahlung, Auth, Datenzugriff.

  3. Abhängigkeiten & Infrastruktur

    1 Tag

    Alle Pakete mit End-of-Life-Daten und bekannten CVEs, dazu PHP-Version, Framework, Datenbank, Caching und externe Dienste.

  4. Risiko & Roadmap

    1 Tag

    Findings priorisiert: Quick Wins (unter 1 Tag), mittlere Umbauten (1–4 Wochen) und größere Modernisierungen. Jeder Punkt mit Aufwand in Wochen.

  5. Walkthrough

    60–90 Minuten

    Wir gehen den Report gemeinsam durch, mit Team, CTO oder Geschäftsführung. Danach hast du ihn als PDF und Markdown.

Referenzen

Woran ich vorher gearbeitet habe.

25 Jahre Web-Entwicklung, Rhein-Main.

Mittelstand, E-Commerce

PHP 7.4 → klare 14-Wochen-Roadmap

Quick Wins in der ersten Woche umgesetzt

Internes Tool, 8 Jahre alt

Sicherheitsrisiken priorisiert

Kritische Pfade in 2 Wochen testbar gemacht

SaaS, Symfony 3.x

Hosting-Abkündigung abgefangen

Upgrade-Pfad ohne Rewrite definiert

Leistungsumfang

Was enthalten ist.

Ein Paket, ein Preis. Ohne Stundenzettel und ohne Nachverhandlung.

Festpreis, keine Stundenabrechnung. Den Betrag nenne ich dir nach dem Erstgespräch, wenn ich Umfang und Größe der Codebase kenne. Kein Scope-Creep, keine Überraschungen.

  • Kickoff und Walkthrough Kickoff 90 Minuten, Walkthrough 60–90 Minuten, remote oder vor Ort.
  • Statische Analyse PHPStan, Rector, PHPCompatibility, composer audit.
  • Manuelle Prüfung kritischer Pfade Zahlung, Auth, Datenzugriff.
  • Abhängigkeits-Inventur Mit End-of-Life-Daten und bekannten CVEs.
  • Priorisierte Roadmap Aufwände in Wochen, Quick Wins zuerst.
  • Schriftlicher Report Als PDF und Markdown.
  • NDA auf Wunsch AV-Vertrag nach DSGVO ebenfalls möglich.
Nach dem Audit

Wie es weitergehen kann.

Der Report gehört dir. Wenn du mit mir weitermachst, sind das die üblichen nächsten Schritte.

PHP 5.6 / 7.x → 8.x

PHP-Upgrades

Auf eine unterstützte PHP-Version, ohne Feature-Stopp.

Mehr erfahren
Symfony · Laravel · Laminas

Framework-Upgrades

Major für Major statt Big Bang.

Mehr erfahren
Ohne Framework · ohne Doku

Legacy-Übernahme

Übernehmen, stabilisieren, Wissen sichern.

Mehr erfahren
FAQ

Häufige Fragen.

Was, wenn unsere Codebase sehr klein ist?

Dann reicht oft ein kürzerer Check. Das klären wir im Erstgespräch.

Geht das komplett remote?

Ja, das ist der Normalfall. Kickoff oder Walkthrough vor Ort im Rhein-Main-Gebiet sind möglich.

Was passiert nach dem Audit?

Der Report gehört dir. Du kannst mit mir weitermachen, mit deinem Team oder mit jemand anderem.

Unterschreibst du ein NDA?

Ja. Ein AV-Vertrag nach DSGVO ist ebenfalls möglich.

Wer hat Zugriff auf den Code?

Nur ich. Keine Subunternehmer, Lesezugriff reicht. Mit Projektende entziehe ich alle Zugänge, lokale Kopien lösche ich innerhalb von 30 Tagen.

Muss das System dafür angehalten werden?

Nein. Das Audit läuft nur lesend gegen Repository und Staging.

Nächster Schritt

30 Minuten, dann weißt du mehr.

Teilweise verfügbar · auf Anfrage

Wir prüfen gemeinsam, ob das Audit zu deiner Situation passt. Wenn nicht, sag ich dir das und nenne dir jemanden, der besser passt.

30-Min-Erstgespräch → oder projekte@stuhec.de
Antwort in 48 h · AV nach DSGVO möglich · Teilweise verfügbar · auf Anfrage