Anlass: Reagiert auf die Sicherheitslücke „PHP2Shell“, deren Details am 20. Oktober 2026 vorzeitig öffentlich wurden und wegen der seitdem viele Webseiten von Behörden, Kommunen und Universitäten vorsorglich offline sind.
Vielleicht haben Sie es in den Nachrichten gehört oder selbst bemerkt: Die Webseite Ihrer Stadt, einer Behörde oder einer Universität ist gerade nicht erreichbar. Der Grund heißt „PHP2Shell“. So nennen Fachleute eine Sicherheitslücke, die als kritisch eingestuft ist.
PHP ist so etwas wie der unsichtbare Motor vieler Webseiten. Es ist eine Programmiersprache, die auf dem Server läuft, also auf dem Rechner, der eine Webseite ausliefert. Sehr viele Seiten, Onlineshops, Foren und Online-Speicher bauen darauf auf. Genau in diesem Motor steckt die Lücke. Mit einer gezielt gebauten Anfrage an die Webseite können Angreifer eigene Befehle auf dem Server ausführen und ihn damit übernehmen. Sie brauchen dafür keine Anmeldung, und niemand muss etwas anklicken. Ein Einfallstor sind Formulare, über die man Dateien hochladen kann.
Am Abend des 20. Oktober 2026 sind die Details vorzeitig öffentlich geworden. Wenn in den Medien von einem „Leak“ die Rede ist, ist genau das gemeint, nicht gestohlene Daten. Seit dem Nachmittag des 21. Oktober gibt es Updates, also Korrekturen, von den PHP-Entwicklern. Sicherheitsbehörden warnen eindringlich und rechnen damit, dass verwundbare Seiten schon bald angegriffen werden. Es gibt Berichte über erste Angriffe. Ob schon welche erfolgreich waren, ist nicht bestätigt. Wer nicht sofort aktualisieren kann, soll die Webseite vom Netz nehmen. Darum sind gerade so viele Seiten von Bundesländern, Kommunen, Behörden, Universitäten und Krankenhäusern offline. Das geschieht vorsorglich. Eine abgeschaltete Seite heißt also nicht, dass dort eingebrochen wurde. Manche Anbieter haben außerdem Online-Speicher pausiert oder das Hochladen von Dateien in Formularen gesperrt.
Für Ihre Familie heißt das: Beim normalen Surfen müssen Sie nichts tun. Die Lücke steckt nicht in Ihrem Handy, Tablet oder PC, sondern auf den Servern der Webseiten. Anders ist es nur bei Geräten zu Hause, die selbst eine Webseite anbieten, etwa einem Netzwerkspeicher. Dazu unten mehr. Für diese Lücke brauchen Sie an Ihrem eigenen Gerät kein Update, das sehen auch Verbraucherschützer so. Und bislang gibt es keine Meldung, dass Daten von Nutzerinnen und Nutzern gestohlen wurden.
Worauf Sie trotzdem achten sollten:
- Rechnen Sie mit Betrugsnachrichten, per Mail, SMS oder Messenger. Betrüger nutzen große Nachrichten gern als Aufhänger, etwa so: „Ihr Konto ist von der Sicherheitslücke betroffen, bitte hier bestätigen.“ Klicken Sie in solchen Nachrichten nichts an und geben Sie dort kein Passwort ein. Wollen Sie etwas prüfen, öffnen Sie die App oder die Webseite des Dienstes selbst, nicht über den Link in der Nachricht.
- Meldet ein Dienst später, dass bei ihm Daten abgeflossen sind, ändern Sie dort Ihr Passwort. Und überall sonst, wo Sie dasselbe Passwort benutzt haben. Ein gutes Passwort hat mindestens 12 Zeichen und gilt nur für einen Dienst.
- Übernommene Webseiten können Schadsoftware verteilen oder auf Betrugsseiten umleiten. Das ist ein bekanntes Muster, eine konkrete Meldung dazu gibt es bisher nicht. Verlangt eine vertraute Seite plötzlich, dass Sie etwas herunterladen oder Ihre Zugangsdaten neu eingeben, brechen Sie ab.
Wer doch handeln muss: Betreiben Sie selbst etwas im Netz, etwa eine eigene Webseite, die Seite Ihres Vereins, einen Blog oder einen eigenen Online-Speicher wie Nextcloud, dann betrifft Sie die Lücke direkt. Bei einer gemieteten Webseite kümmert sich meist der Anbieter um das Update. Fragen Sie dort nach, ob es schon eingespielt ist und ob Ihre Seite noch eine alte PHP-Fassung nutzt, die Sie im Kundenbereich oft selbst umstellen müssen. Läuft etwas bei Ihnen zu Hause, spielen Sie die Updates selbst ein. Das gilt auch für einen Netzwerkspeicher, ein sogenanntes NAS, mit eigener Weboberfläche. Nach Berichten können auch solche Geräte betroffen sein. Schauen Sie beim Hersteller nach Updates. Für ältere PHP-Fassungen, 8.1 und älter, kommt nach bisherigem Stand wohl keine Korrektur mehr. Wer nicht aktualisieren kann, nimmt die Seite besser vom Netz, so raten auch die Sicherheitsbehörden.
Für heute: Schauen Sie, welches Passwort Ihr E-Mail-Postfach schützt. Über dieses Postfach lassen sich viele andere Passwörter zurücksetzen. Hat es weniger als 12 Zeichen oder benutzen Sie es auch anderswo, ändern Sie es heute. Und sagen Sie Ihrem Kind den einen Satz: „Kommt eine Nachricht, die dir Angst macht oder Eile verlangt, zeigst du sie mir, bevor du etwas anklickst.“ Die Lücke sitzt im Server. Die Falle kommt per Nachricht.
Und falls du das als Kind liest: Die Lücke steckt nicht in deinem Handy oder deinem PC, sondern in großen Computern, auf denen Webseiten laufen. Wenn eine Webseite gerade nicht geht, wurde sie oft mit Absicht abgeschaltet, zur Vorsicht. Bekommst du eine Nachricht, die sagt, du musst wegen der Lücke schnell etwas anklicken oder dein Passwort eingeben, mach das nicht. Zeig sie deinen Eltern, du bekommst keinen Ärger.
Passend dazu aus der Lernwelt: „Gefälschte Bank- und Paket-Mails“, „Phishing, der Trick mit dem Köder“, „Starke Passwörter bauen“.