.png)
Ihre Website ist die Visitenkarte im Internet für all Ihre Kunden und Gäste.
Damit diese digitale Visitenkarte stabil läuft, müssen auch Sicherheitsthemen – selbst wenn sie lästig sind – immer wieder berücksichtigt werden.
IT-Sicherheit befasst sich jedoch nicht nur mit dem Schutz sensibler Daten, sondern auch mit dem möglichen Missbrauch des Servers. Die Übernahme des Servers durch einen ungebetenen Gast kann für den Serverbetreiber schwerwiegende strafrechtliche Folgen haben (im schlimmsten Fall).
Um die Risiken besser zu verstehen, ist es wichtig, die verschiedenen Arten schädlicher Software sowie die Methoden zu kennen, mit denen Angreifer versuchen, an vertrauliche Informationen zu gelangen. Die folgende Übersicht erläutert zunächst die wichtigsten Definitionen der verschiedenen Kategorien und Begriffe.
(1) Wer ist für das PHP-Update zuständig?
Der Administrator auf Serverebene
Der ISP (Internet Service Provider) wird Ihnen in aller Regel ein Sicherheitspatch für PHP aufspielen. Und bei PHP2Shell wird das bereits der Fall gewesen sein. Beachten Sie: Der Provider ist nicht gleich der Programmierer oder der Webdesigner. Der Begriff Administrieren kann hin und wieder zu Verwechslungen führen.
(2) Was ist PHP2Shell für eine Sicherheitslücke?
PHP ist eine Programmiersprache die auf dem Webserver dynamische Seiten ermöglicht.
Mit PHP2Shell sind zwei kritische Lücken im PHP Interpreter selbst gemeint, über die Angreifer ohne Login Code auf Webservern ausführen könnten, teils bevor die eigentliche Anwendung überhaupt läuft. Indem sie eine Lücke in der Uploadfunktion geschickt nutzen. Selbst dann, wenn die Seite nur aus /Hallo Welt/ besteht und überhaupt nichts dynamisches anbietet.
Es genügt, wenn PHP installiert und aktiviert ist.
Heißt: Der Webserver wird gekapert und möglicherweise sensible Kundendaten abgeschorchelt oder in Ihrem Namen Straftaten begangen.
Das Problem ist seit 20 Jahren bekannt, es wurde aber (in Zeiten ohne Ai) als zu komplex betrachtet um ausführbar zu sein.
Wer sich im Detail dafür interessiert, hier ist ein gelungenes Video dazu - leicht verständlich:
Video ansehen: IT
PHP2Shell: Wie ein Speicherfehler zur Shell wird (https://youtu.be/qXv8NAIFm9o)
(3) Kompatibilität vs. Sicherheit - ein Dilemma
Was einmal programmiert wurde, muss auch hin und wieder betreut werden.
Auch wenn Ihre Websites bspw. unabhängig von Wordpress und Co sind (sog. CMS Systeme), sind sie nicht statisch und benötigen deshalb PHP. Nur mit /PHP/ ist es möglich Seiten dynamisch erstellen zu lassen (Bilder und Inhalte sind getrennt vom HTML), ansonsten wäre der Erstell-Aufwand um ein Vielfaches höher und die Pflege erst recht.
PHP ist übrigens ein Opensource Projekt (Foundation) und entand auf Grund der fleißigen Arbeit von wenigen Freiwilligen. PHP ist nutzbar ohne Lizenzgebühr.
Es ist so, dass momentan noch viele PHP-Skripte auf einer teils veralteten PHP-Version (7 und älter) laufen. Die wenigen Freiwilligen kümmern sich um die Sicherheitsupdates. Eine aktuelle PHP-Version (8.5 - in 2026) ist aber nicht die Garantie dafür, dass alles auf der Website weiterhin funktioniert. Das ist ein Dilemma. Denn mit jedem Update nach oben gibt es neben den Sicherheitspatches auch hin und wieder gravierende Änderungen in der Funktion (bspw. Befehle funktionieren nicht mehr und müssen umgeschrieben werden). D. h. nicht alles was wir vielleicht vor fünf oder zehn Jahren für Sie programmiert haben, läuft dann noch.
Deshalb müssen mittelfristig gelegentlich mehr oder weniger viele Anpassungen in der Programmierung bedeuten, was leider auch Kosten verursacht, damit Ihre Kunden und Gäste eine funktionierende Seite erleben. D. h. nur Seiten die in reinem HTML als statische Seite vielleicht vor 20 Jahren programmiert wurden, laufen auch heute noch (siehe oben), die sehen dann aber auch aus /wie vor 20 Jahren/ (das möchte ja niemand). Auch eine dynamische Website sollte jedoch ohne großartige Anpassungen fünf Jahre halten. Danach entweder anpassen oder komplett neu. So ist der Lauf der Dinge.
(4) Beobachtung und Pflege der Seite
Ihre Website ist Ihre Visitenkarte im Internet für all Ihre Kunden und Gäste.
Um zu hohe Kosten* zu vermeiden und um die Website auf Laufen zu halten ist es also wichtig, dass Sie selbst gelegentlich (am besten 1 bis 2 mal im Monat) auf Ihre eigene Firmen-Website schauen, um zu überprüfen, ob noch alles so wie vorgesehen funktioniert. Falls das nicht so ist, dann genügt eine Email mit Beschreibung des Problems und ein Anruf, damit die Email nicht untergeht. Wir werden dann gemeinsam besprechen welche Lösung am besten ist.
(* für den deutschen Markt würde kann man in 2026 bei Jahresverträgen etwa 600 bis 900 € netto pro Monat und Website ansetzen, die lediglich eine echte 24/7-Bereitschaft mit verbindlicher Reaktionszeit umfasst. Zuzüglich jeweilige Projektarbeit usw. ähnlich wie Pflegeaufwand!)
Wir hoffen das wir mit denen gegebenen Infos ein wenig aufklären und Beruhigung rein bringen konnte. Melden Sie sich bitte, falls Sie nähere Infos benötigen.
