Kurz gesagt: Nach der Warnung vor PHP2Shell wurden in Deutschland Webseiten abgeschaltet, darunter laut Medien das Webportal der Stadt Mainz sowie Seiten der hessischen Landesregierung und des BKA. Es handelte sich um Vorsorge nach BSI-Empfehlung, nicht um bestätigte Angriffe. Unternehmen können daraus lernen: Eine Abschaltung ist eine legitime Option, wenn ein Patch nicht sofort möglich ist, und sie gelingt am besten, wenn sie vorbereitet ist.
Webseiten wegen PHP abgeschaltet: was am 21. Oktober geschah
Am Tag der PHP-Sicherheitsupdates waren in Deutschland zahlreiche öffentliche Websites nicht erreichbar. Laut Medienberichten hat die Stadt Mainz ihr zentrales Webportal vorsorglich abgeschaltet. Ämter blieben telefonisch und per E-Mail erreichbar.
In Hessen waren laut hessenschau unter anderem Seiten der Landesregierung, des Bundeskriminalamts sowie der Städte Kassel und Wiesbaden vorübergehend offline. Die Staatskanzlei sprach von technischen Anpassungen und meldete keinen Angriff. Die Landesseiten waren am Abend wieder erreichbar. Weitere Kommunen, Hochschulen und Kliniken nahmen laut Berichten ebenfalls Angebote vorsorglich vom Netz.
Hintergrund ist die Empfehlung des BSI zu PHP2Shell: sofort aktualisieren und, wenn das nicht sofort geht, betroffene Webserver vorübergehend vom Netz nehmen. Was das BSI im Einzelnen rät, fasst die Seite Was das BSI zu PHP2Shell empfiehlt zusammen.
Abgeschaltet heißt nicht gehackt
In Kommentaren und sozialen Netzwerken wurde aus „offline“ schnell „gehackt“. Das ist nach allem, was bekannt ist, falsch. Die Abschaltungen waren eine Schutzmaßnahme in einem Moment, in dem viele Betreiber den Patchstand ihrer Server noch nicht sicher kannten.
Für Unternehmen ist diese Unterscheidung doppelt wichtig. Erstens nach außen: Wer selbst vorsorglich abschaltet, sollte das so benennen und nicht schweigen. Zweitens nach innen: Eine Abschaltung beantwortet nicht die Frage, ob der Server vorher angegriffen wurde. Sie stoppt nur weitere Versuche. Die Prüfung auf Spuren bleibt nötig.
Ein dritter Punkt wird oft übersehen: Eine Abschaltung darf keine Spuren vernichten. Wer den Server zum Abschalten einfach neu installiert oder Logs löscht, um Platz zu schaffen, nimmt sich die Möglichkeit, später zu klären, was vor der Abschaltung geschah. Besser ist es, den Webserver auf eine Notseite umzuleiten oder den Zugang von außen zu sperren und den Server selbst mit allen Logs unverändert zu lassen.
Warum gerade öffentliche Stellen so reagiert haben
Behörden betreiben oft viele Websites nebeneinander: Hauptportal, Fachportale, Formulardienste, Seiten einzelner Ämter und Einrichtungen. Häufig sind daran mehrere Dienstleister beteiligt. Am Tag der Warnung war es für viele Verwaltungen schlicht nicht möglich, binnen Stunden für jedes System einen belegten Patchstand zu bekommen. Die vorsorgliche Abschaltung war in dieser Lage der schnellste Weg, der BSI-Empfehlung zu folgen.
Für Unternehmen mit gewachsener IT-Landschaft ist die Lage oft ähnlich. Die Frage „Ist alles gepatcht?“ scheitert nicht an der Technik, sondern an der fehlenden Übersicht.
Bemerkenswert ist auch, wie schnell die hessischen Landesseiten laut Berichten zurückkamen: noch am Abend desselben Tages. Das zeigt, dass eine vorsorgliche Abschaltung nicht tagelang dauern muss. Wer seine Systeme kennt und den Update-Weg beherrscht, kann in wenigen Stunden patchen, prüfen und wieder online gehen. Die Abschaltung überbrückt dann nur die Zeit, bis Klarheit herrscht.
Wann eine vorsorgliche Abschaltung für Unternehmen sinnvoll ist
Behörden haben eine besondere Lage: viele Websites, oft verteilt betreut, und hohe öffentliche Sichtbarkeit. Die Abwägung, vor der sie standen, ist aber dieselbe wie in jedem Unternehmen. Die folgende Übersicht hilft bei der Entscheidung:
| Situation | Eher abschalten | Eher online lassen |
|---|---|---|
| Patchstand | unklar oder nicht bestätigt | behoben und belegt, Prozesse neu gestartet |
| PHP-Version | 8.1 oder älter ohne bestätigten Backport | unterstützter Zweig auf aktuellem Stand |
| Betriebsart | Apache mit mod_php | gepatchtes PHP-FPM mit gesetzten Übergangsmaßnahmen |
| Daten auf dem Server | Kundendaten, Logins, Zahlungsdaten | rein statische Inhalte |
| Erreichbarkeit des Dienstleisters | Patch erst in Tagen möglich | Patch in Kürze terminiert |
Die Abwägung zwischen Patchen, Abschalten und Abwarten vertieft der Beitrag Patchen, abschalten oder abwarten?. Was technisch als Übergang möglich ist, wenn das Update noch fehlt, steht unter Sofortmaßnahmen ohne Patch.
Ein Shop oder Kundenportal vorübergehend abzuschalten kostet Umsatz. Ein kompromittierter Server mit Kundendaten kann deutlich mehr kosten, bis hin zu Meldepflichten. Treffen Sie die Entscheidung bewusst und halten Sie sie schriftlich fest.
So bereiten Sie eine Abschaltung vor
Mainz zeigte, worauf es ankommt: Die Verwaltung blieb über andere Kanäle erreichbar. Das gelingt nur, wenn es vorbereitet ist. Diese Schritte lohnen sich, bevor der nächste Ernstfall kommt:
- Notseite bereithalten: eine statische HTML-Seite ohne PHP, mit kurzer Erklärung, Telefon- und E-Mail-Kontakt und, falls nötig, Hinweisen zu laufenden Bestellungen oder Terminen.
- Umschaltweg festlegen: Wer kann die Website auf die Notseite umleiten, über Webserver, DNS oder einen vorgeschalteten Dienst? Wie lange dauert das?
- Entscheidungsbefugnis klären: Wer darf eine Abschaltung anordnen, auch außerhalb der Geschäftszeiten?
- Abhängige Dienste kennen: Hängen Schnittstellen, Apps oder Partner an der Website? Wer muss vorab informiert werden?
- Kriterien für die Rückkehr definieren: Patch belegt, Neustart erfolgt, erste Spurenprüfung ohne Befund.
- Botschaft vorformulieren: zwei bis drei Sätze für Kunden, Partner und Presse.
Wie Sie in einer solchen Lage nach außen kommunizieren, beschreibt der Leitfaden zur Krisenkommunikation.
Wie hilft PHP SOS konkret?
- Entscheidungsgrundlage: Wir ermitteln Patchstand, Betriebsart und Datenlage Ihrer Server und geben Ihnen eine klare Einschätzung, ob eine Abschaltung angezeigt ist.
- Geordnete Abschaltung: Wir schalten auf eine statische Notseite um, ohne Logs oder Spuren zu verlieren.
- Patch und Prüfung: Wir aktualisieren PHP, starten alle Prozesse neu und prüfen auf Auffälligkeiten.
- Kontrollierte Rückkehr: Wir nehmen die Website erst wieder online, wenn die vereinbarten Kriterien erfüllt und dokumentiert sind.
Den Ablauf beschreibt die PHP2Shell-Soforthilfe.
Fazit
Die Abschaltungen der Behörden waren kein Zeichen von Kontrollverlust, sondern eine bewusste Vorsichtsmaßnahme. Für Unternehmen ist das die eigentliche Lehre: Offline zu gehen ist eine legitime Entscheidung, wenn der Patchstand unklar ist. Wer Notseite, Zuständigkeit und Rückkehrkriterien vorbereitet hat, trifft sie in Minuten statt in Stunden.
Häufige Fragen
Warum wurden Behörden-Websites wegen PHP abgeschaltet?
Das BSI empfiehlt bei PHP2Shell das sofortige Update und, wenn das nicht sofort möglich ist, die Webserver vorübergehend vom Netz zu nehmen. Mehrere Behörden sind dieser Empfehlung vorsorglich gefolgt, bis ihre Systeme geprüft und aktualisiert waren.
Heißt eine abgeschaltete Website, dass sie gehackt wurde?
Nein. Eine vorsorgliche Abschaltung ist eine Schutzmaßnahme. Die hessische Staatskanzlei etwa meldete laut hessenschau ausdrücklich keinen Angriff. Ob ein Server vor der Abschaltung betroffen war, klärt erst eine Prüfung.
Wie lange sollte eine Website offline bleiben?
So lange, bis PHP auf einem behobenen Stand ist, alle PHP-Prozesse neu gestartet sind und eine erste Prüfung auf Spuren keine Auffälligkeiten ergeben hat. Eine feste Dauer gibt es nicht; die hessischen Landesseiten waren laut Berichten am Abend desselben Tages wieder erreichbar.
Was zeige ich Besuchern, während die Website offline ist?
Am besten eine schlichte, statische Notseite ohne PHP mit kurzer Erklärung und den Kontaktwegen, über die Sie erreichbar bleiben. Sie sollte vorbereitet sein, bevor sie gebraucht wird.