Symbolbild: Serverraum, kein Bild eines betroffenen Betreibers. Foto: Brett Sayles / Pexels, Foto 4508751. Lizenzhinweis: Pexels-Lizenz (keine CC0-Lizenz).
Behörden-Websites gehen nach der PHP-Sicherheitswarnung wieder ans Netz. In Niedersachsen sind unter anderem die Seiten von Ministerien, Staatskanzlei, Staatsanwaltschaft und Polizei wieder erreichbar, berichtet der NDR. Auch einzelne Klinik- und Universitätsseiten sind zurück. Für Unternehmen mit eigenen Webangeboten stellt sich damit eine praktische Frage: Welche Prüfung gehört vor die erneute Freigabe?
Eine neue Analyse von Amazon liefert dafür einen wichtigen Zeitpunkt. Der Anbieter hat in seinem Beobachtungsnetz Angriffsversuche gefunden, die bereits vor der öffentlichen Bekanntgabe der PHP-Lücken liegen. Wer einen betroffenen Server untersucht, sollte deshalb auch die Tage vor der Warnung einbeziehen. Ein heute eingespieltes Update beantwortet noch nicht, was vorher auf dem System passiert ist.
Was über die Angriffsversuche bekannt ist
Nach Angaben von Amazon Threat Intelligence reicht der früheste beobachtete Versuch bis zum 17. Oktober zurück. Er richtete sich gegen MadPot, ein Netz absichtlich angebotener Ködersysteme, mit denen Amazon Angriffe beobachtet. Die Sicherheitslücken wurden am 21. Oktober öffentlich bekannt. Die Analyse erschien nach Berliner Zeit am 22. Oktober.
Amazon ordnet die Versuche den unter dem Namen PHP2Shell diskutierten Schwachstellen zu. Ob diese Versuche auf realen Systemen erfolgreich gewesen wären, bezeichnet das Unternehmen ausdrücklich als ungeklärt. Daraus lässt sich weder ein erfolgreicher Einbruch bei einer deutschen Behörde noch ein Abfluss von Patientendaten ableiten. Der NDR berichtet seinerseits über vorsorgliche Abschaltungen und den schrittweisen Wiederanlauf. Diese Angaben beschreiben einen anderen Sachverhalt als einen bestätigten Datendiebstahl.
PHP läuft auf vielen Webservern und verarbeitet dort etwa Formulare oder Inhalte von Websites. Eine Lücke in dieser Software betrifft deshalb zunächst den Serverbetrieb. Für Besucher entsteht daraus kein allgemeiner Auftrag, ihr Smartphone oder ihren Browser wegen PHP zu aktualisieren. Betreiber müssen dagegen klären, welche ihrer Anwendungen eine betroffene PHP-Version verwenden.
Vor dem Wiederanlauf die Spuren sichern
Amazon empfiehlt, die Untersuchung mindestens ab dem 17. Oktober anzusetzen. Für die interne Prüfung heißt das: Zugriffs- und Fehlerprotokolle sichern, bevor sie durch Aufbewahrungsfristen oder den laufenden Betrieb überschrieben werden. Auffällige Dateiänderungen und unerwartet gestartete Prozesse gehören ebenfalls in die Untersuchung. Ein unauffälliger Aufruf der Startseite ersetzt diese Prüfung nicht.
Der Hostinganbieter sollte schriftlich benennen, welche PHP-Version auf welcher Anwendung lief, wann das Update eingespielt wurde und welche Protokolle noch verfügbar sind. Läuft die Website bei einem Dienstleister, braucht der Verantwortliche einen erreichbaren Ansprechpartner für mögliche Sicherheitsvorfälle. Die Auskunft „alles aktualisiert“ reicht für die Bewertung eines zurückliegenden Zugriffs nicht aus.
Auch die Datenwege verdienen einen Blick: Speichert ein Formular Anfragen lokal? Kann die Webanwendung auf eine Kundendatenbank zugreifen? Liegen Zugangsdaten zu weiteren Diensten auf dem Server? Solche Fragen grenzen ein, welche personenbezogenen Daten bei einem erfolgreichen Angriff erreichbar gewesen wären. Sie behaupten keinen Angriff, helfen aber, einen konkreten Befund später einzuordnen.
Wann aus dem Sicherheitsbefund eine Datenschutzmeldung wird
Eine bekannte Schwachstelle allein beweist noch keine Verletzung des Schutzes personenbezogener Daten. Sobald es Hinweise auf eine solche Verletzung gibt, müssen IT und Datenschutzverantwortliche den Sachverhalt gemeinsam bewerten. Dabei zählt auch, ob personenbezogene Daten verändert, verloren oder unzulässig offengelegt wurden. Die Prüfung darf sich nicht ausschließlich auf einen nachgewiesenen Download durch Angreifer verengen.
Artikel 33 DSGVO verlangt bei einer meldepflichtigen Verletzung eine unverzügliche Meldung, möglichst binnen 72 Stunden ab Bekanntwerden. Die Ausnahme greift, wenn die Verletzung voraussichtlich kein Risiko für die Rechte und Freiheiten natürlicher Personen verursacht. Fehlende Einzelheiten können schrittweise nachgereicht werden. Ein Unternehmen sollte deshalb bei einem meldepflichtigen Vorfall nicht auf den Abschluss jeder technischen Untersuchung warten.
Für die Freigabe des Webangebots gehört ein kurzer Entscheidungsvermerk in die Vorfallsakte: betroffene Anwendung, Update-Nachweis, untersuchter Zeitraum, vorhandene Spuren und noch offene Fragen. Eine verbleibende Unsicherheit muss erkennbar bleiben. So können IT und Datenschutz auch nach dem Wiederanlauf nachvollziehen, welche Aussage tatsächlich belegt war und welche weitere Prüfung noch ausstand.
Stand: 22.10.2026. Die genannten Abschaltungen sind keine Bestätigung eines Datenabflusses.
