Betrug unter Ihrem Namen
Auf Ihrer Domain erscheinen gefälschte Zahlungs- oder Anmeldeseiten, oder Besucher laden Schadsoftware herunter. Ihre Kunden vertrauen Ihrer Adresse. Genau das wird ausgenutzt.
Sicherheitshinweis · Stand 28.10.2026
Ihre Website läuft mit WordPress? Dann läuft sie mit PHP.
Und genau in PHP steckt die neue Sicherheitslücke. In 15 Minuten wissen Sie, ob Sie handeln müssen.
15-Minuten-Check buchen →
kostenlos · unverbindlich · telefonisch oder online
Lieber erst selbst einschätzen?
Zum 1-Minuten-Schnelltest
Warum Sie betroffen sind
Die Lücke sitzt nicht in WordPress. Sie sitzt eine Etage tiefer.
WordPress ist in PHP geschrieben. PHP läuft auf dem Server Ihres Hosters und beantwortet jeden Seitenaufruf. Deshalb ist praktisch jede WordPress-Website betroffen, egal wie modern sie aussieht.
Wichtig: Ein Update von WordPress, Theme oder Plugins schließt diese Lücke nicht. Helfen kann nur eine bereinigte PHP-Version auf dem Server.
Quelle: BSI-Sicherheitshinweis ↗Ihre Website Texte, Bilder, Formulare
WordPress Updates im Dashboard
PHP Hier sitzt PHP2Shell
nur Server-Update hilft
nur Server-Update hilft
Server beim Hoster
Einstufung
9,2 von 10. Das ist die Kategorie „kritisch“.
Sicherheitslücken werden international auf der CVSS-Skala bewertet. Ab 9,0 gilt eine Lücke als kritisch. Das BSI hat die zweithöchste Warnstufe ausgerufen und rät, betroffene Server notfalls vorübergehend vom Netz zu nehmen, bis das Update eingespielt ist.
9,2/10
CVSS 4.0 · Bewertung PHP-Sicherheitsteam
Kein Passwort nötig
Angreifer brauchen keinen Zugang zu Ihrer Website und kein Benutzerkonto.
Aus der Ferne
Es genügt, dass Ihre Website im Internet erreichbar ist. Niemand muss etwas anklicken.
Eigener Code auf Ihrem Server
Wer die Lücke ausnutzt, kann auf dem Server eigene Programme starten. Erste Angriffsversuche wurden bereits beobachtet.
Was daraus werden kann
Ein gekaperter Server ist kein IT-Problem. Er wird ein Geschäftsproblem.
Ihre E-Mails kommen nicht mehr an
Verschickt Ihr Server Spam, landet Ihre Domain auf Sperrlisten. Dann gehen auch Angebote und Rechnungen im Spam-Ordner Ihrer Kunden unter.
Meldepflichtige Datenpanne
Kontaktanfragen, Bestellungen, Kundenkonten: Gelangen personenbezogene Daten in fremde Hände, ist in der Regel binnen 72 Stunden eine Meldung an die Datenschutz-Aufsichtsbehörde fällig (Art. 33 DSGVO).
Als externer Datenschutzbeauftragter begleite ich solche Meldungen seit 2013. Besser ist, es gar nicht so weit kommen zu lassen.
Website gesperrt oder verschlüsselt
Inhalte werden verändert oder verschlüsselt, Google zeigt Warnhinweise, der Hoster sperrt das Paket. Bis alles bereinigt ist, können Tage vergehen.
Nichts davon muss passieren. Ob Sie etwas tun sollten, klären wir in 15 Minuten.
Termin buchen →
Heute selbst erledigen
Drei Schritte, die Sie ohne Technikwissen gehen können
Hoster fragen
Fragen Sie schriftlich nach, welche PHP-Version Ihre Website nutzt und ob das Update schon eingespielt ist. Die fertige Nachricht steht rechts.
Alte PHP-Version ablösen
Läuft noch PHP 8.1 oder älter, kommt kein Update mehr. Bei vielen Hostern stellen Sie die Version im Kundenmenü selbst um. Vorher ein Backup machen: Ältere Plugins vertragen neue PHP-Versionen nicht immer.
Zuständigkeit klären
Wer kümmert sich bei der nächsten Lücke? Das BSI rechnet mit weiteren Funden in PHP. Ohne festen Ansprechpartner bleibt das Thema an Ihnen hängen.
1-Minuten-Schnelltest
Müssen Sie handeln?
Sechs kurze Fragen, kein Technikwissen nötig. „Weiß ich nicht“ ist eine gültige Antwort.
Der Test läuft komplett in Ihrem Browser. Es werden keine Antworten gespeichert oder übertragen.
Das Gespräch
15 Minuten. Danach wissen Sie, woran Sie sind.
Schritt 1
Termin wählen
Sie suchen sich im Kalender einen Termin aus, der Ihnen passt.
Schritt 2
Kurz sprechen
Wer betreut Ihre Website, wo liegt sie, welche Daten laufen darüber, wie wichtig ist sie für Ihr Geschäft?
Schritt 3
Klare Einschätzung
Entweder ist alles in Ordnung, oder Sie wissen, was zu tun ist. Auf Wunsch bekommen Sie danach ein Festpreis-Angebot.
Das bekommen Sie
- Ein Gespräch über Ihre Situation, in normaler Sprache
- Eine ehrliche Einschätzung, wie dringend das Thema für Sie ist
- Eine klare Empfehlung: was jetzt sinnvoll ist und was nicht
- Den Blick auf den Datenschutz gleich mit dazu
Das ist es nicht
- Kein technischer Scan Ihrer Website
- Keine Zugangsdaten nötig
- Keine Verpflichtung, egal was herauskommt
15-Minuten-Check buchen →
Sie müssen nichts vorbereiten.
Ihr Ansprechpartner
Jörg Pfeiffer, Pfeiffer-IT
„Ich sage Ihnen in 15 Minuten, ob Sie handeln müssen. Und wenn nicht, sage ich Ihnen auch das.“
Seit 2013Professioneller Webdesigner
Externer DatenschutzbeauftragterMit geprüfter Fachkunde (2013), Weiterbildung TÜV SÜD (2018)
Referenzen
Diese Websites haben das Problem nicht. Sie laufen ohne PHP.
Statische Websites bestehen aus fertigen HTML-Seiten. Auf dem Server läuft keine PHP-Software, es gibt keine Plugins und keine Datenbank, die man angreifen könnte.
gross-mulks-sanierung.de
Gross & Mulks
Meisterbetrieb für Sanierung und Renovierung in Ofterdingen
wolf-optik.com
Ludwig Wolf GmbH
Präzisionsoptik aus Oberbayern, zwischen Chiemsee und Rosenheim
rammert.datenschutz-suedwesten.de
Naturforum Rammert
Informationsseite rund um den Rammert bei Tübingen
Sie überlegen, ganz von WordPress wegzugehen? So läuft der Umstieg auf eine statische Website
0 €15 Minuten · unverbindlich
Der Check kostet Sie nichts.
Gibt es danach etwas zu tun, bekommen Sie ein Angebot zum Festpreis. Gibt es nichts zu tun, haben Sie Gewissheit.
Häufige Fragen
Was Sie sich vielleicht fragen
Kümmert sich mein Hoster nicht automatisch darum?
Bei klassischem Webhosting spielt meist der Hoster die bereinigten PHP-Versionen ein. Zwei Haken gibt es trotzdem: Läuft Ihre Website noch auf PHP 8.1 oder älter, gibt es vom PHP-Projekt keine Updates mehr. Und bei einem eigenen Server sind Sie oder Ihr Dienstleister selbst zuständig.
Gewissheit bringt nur eine Nachfrage. Die Vorlage dafür finden Sie weiter oben.
Reicht es, WordPress zu aktualisieren?
Nein. Die Lücke steckt in PHP, nicht in WordPress. Updates von WordPress, Theme oder Plugins schließen sie nicht.
Wurde meine Website schon angegriffen?
Das lässt sich nur auf dem Server selbst prüfen, zum Beispiel anhand von Protokolldateien und veränderten Dateien. Im Gespräch machen wir das nicht, klären aber, ob eine solche Prüfung bei Ihnen sinnvoll ist.
Ich habe gar kein WordPress. Betrifft mich das trotzdem?
Möglicherweise. Auch Joomla, TYPO3, Drupal und viele Onlineshops laufen mit PHP. Bei Baukästen wie Wix oder Jimdo ist der Anbieter zuständig. Rein statische Websites sind nicht betroffen.
Ist das Thema in ein paar Wochen erledigt?
Diese Lücke wird nicht die letzte sein. Das BSI rechnet mit weiteren Funden in PHP. Die eigentliche Frage ist, wer sich bei Ihnen dauerhaft um die Technik kümmert.
Muss ich jetzt eine neue Website haben?
Nein, nicht zwingend. Oft reicht es, wenn sich jemand verlässlich um Updates kümmert. Für viele kleinere Websites ist eine statische Seite auf Dauer allerdings einfacher und günstiger. Für Shops oder Mitgliederbereiche passt sie dagegen oft nicht. Was bei Ihnen sinnvoll ist, klären wir gemeinsam.
Was, wenn wirklich Kundendaten abgeflossen sind?
Dann ist in der Regel innerhalb von 72 Stunden eine Meldung an die Aufsichtsbehörde nötig, in Baden-Württemberg an den Landesbeauftragten für den Datenschutz. Als Datenschutzbeauftragter begleite ich Sie dabei.
Wie läuft der Termin ab?
Sie wählen im Kalender einen freien Termin. Wir sprechen 15 Minuten, telefonisch oder online. Vorbereiten müssen Sie nichts.
Damit die Tür zu bleibt
Lieber jetzt 15 Minuten als später einen ganzen Tag.
Finden Sie heraus, was PHP2Shell für Ihre Website bedeutet. Klar, ehrlich und ohne Fachchinesisch.
15-Minuten-Check buchen →
oder direkt anrufen: 07071 85 94 001