Kurz gesagt: Ein Vertrag mit einem IT-Dienstleister sollte die Sicherheit nicht nur nebenbei erwähnen, sondern konkret regeln: wer welche Komponenten aktualisiert, in welcher Frist und mit welchem Nachweis, wie über kritische Lücken informiert wird, wer bei einem Vorfall mitwirkt, wie Logs aufbewahrt und Zugänge verwaltet werden und was beim Ausstieg passiert. Diese Seite gibt allgemeine Hinweise und ist keine Rechtsberatung; Verträge prüft ein Anwalt.
Die Frage, die PHP2Shell gestellt hat: Wer ist zuständig?
Am 21.10.2026 um 16 Uhr deutscher Zeit veröffentlichte das PHP-Projekt die Patches. Das BSI empfahl sofortiges Update oder, wo das nicht ging, die Webserver vorübergehend vom Netz zu nehmen. In vielen Unternehmen begann danach nicht die Arbeit, sondern die Suche nach der Zuständigkeit. Die Agentur verwies auf den Hoster, der Hoster auf den Vertrag, und im Vertrag stand „Wartung nach Aufwand“.
Solche Lücken im Vertrag sind kein Einzelfall. Viele Verträge mit Agenturen und Dienstleistern wurden geschlossen, als es um den Bau einer Website ging, nicht um ihren sicheren Betrieb über Jahre. Eine kritische Lücke in der PHP-Laufzeit, die weder CMS noch Anwendungscode betrifft, fällt dann leicht zwischen alle Stühle.
Was ein IT-Dienstleister-Vertrag zur Sicherheit regeln sollte
Die folgende Übersicht nennt die Punkte, die sich in der Praxis als wichtig erwiesen haben. Sie ersetzt keine juristische Prüfung, hilft aber, Lücken im bestehenden Vertrag zu erkennen.
| Regelungspunkt | Was festgehalten werden sollte | Bezug zu PHP2Shell |
|---|---|---|
| Leistungsumfang | Welche Schichten betreut werden: Betriebssystem, PHP-Laufzeit, Webserver, CMS, Plugins, eigener Code | Die PHP-Laufzeit fehlte oft in der Aufzählung |
| Updatefristen | gestaffelt nach Schweregrad, mit Ausnahmeregel für Notfälle | kritische Lücke mit CVSS v4.0 9.2 |
| Neustart und Nachweis | Updates gelten erst nach Neustart aller Prozesse als erledigt, mit schriftlichem Beleg | neue Dateien allein schließen die Lücke nicht |
| Information | aktive Benachrichtigung bei kritischen Lücken, mit Einschätzung und Plan | viele Kunden mussten selbst nachfragen |
| Mitwirkung bei Vorfällen | Unterstützung bei Analyse, Sicherung, Wiederherstellung, Ansprechpartner | Spurensuche nach dem Patch |
| Logs | Art, Aufbewahrung, Herausgabe auf Anforderung | Fachpresse riet, Logs ab dem 20.10. zu sichern |
| Zugänge | persönliche Konten, Zwei-Faktor-Anmeldung, Liste aller Zugänge | wer hatte eigentlich Zugriff? |
| Unterauftragnehmer | wer noch beteiligt ist, Information bei Wechsel | Hoster des Hosters |
| Lebensende von Software | Hinweis rechtzeitig vor Supportende, Migrationsplan | PHP 8.2 endet am 31.12.2026 |
| Ausstieg | Herausgabe von Daten, Dokumentation und Zugängen, Entzug der Rechte | Wechsel nach einem Vorfall |
Fristen und Nachweise: die Punkte, die am meisten zählen
Fristen sind der Kern. Eine Formulierung wie „zeitnah“ hilft im Ernstfall nicht weiter. Vereinbaren Sie Fristen getrennt nach Schweregrad und legen Sie fest, woran der Schweregrad gemessen wird, etwa an der Einstufung durch den Hersteller oder das BSI. Für außergewöhnliche Lagen sollte eine Notfallregel gelten: wer erreichbar ist, wer entscheidet, ob ein System vorübergehend vom Netz geht, und wie Mehraufwand abgerechnet wird.
Ebenso wichtig ist der Nachweis. Bei PHP2Shell zeigte die angezeigte Versionsnummer oft wenig, weil Distributionen und Hoster Korrekturen als Backport einspielen. Ein belastbarer Beleg nennt den Paketstand, den Zeitpunkt der Installation und den Neustart aller PHP-Prozesse. Welche Angaben genau zählen, beschreibt So fragen Sie Ihren Hoster nach dem Patch-Status. Nehmen Sie diese Angaben als Pflichtinhalt in den Vertrag auf.
Lassen Sie sich vom Dienstleister eine Aufgabenmatrix zum Vertrag geben: eine Zeile je Komponente, eine Spalte je Aufgabe, in jeder Zelle ein Name. Lücken fallen dann sofort auf, lange bevor die nächste Meldung kommt.
Zugänge, Unterauftragnehmer und Ausstieg
Dienstleister brauchen Zugänge, und genau die sind ein häufiger Angriffsweg. Regeln Sie, dass jede Person ein eigenes Konto erhält, dass Zwei-Faktor-Anmeldung Pflicht ist, wo die Technik das erlaubt, und dass Sie jederzeit eine aktuelle Liste aller Zugänge anfordern können. Ausgeschiedene Mitarbeitende des Dienstleisters müssen zeitnah aus allen Systemen entfernt werden.
Arbeitet der Dienstleister selbst mit Partnern, etwa einem Rechenzentrum oder einem spezialisierten Forensik-Team, sollten Sie das wissen. Verarbeitet einer dieser Partner personenbezogene Daten, kommen datenschutzrechtliche Pflichten hinzu. Mehr dazu im Beitrag Auftragsverarbeitung, wenn Dienstleister auf Server zugreifen.
Der Ausstieg wird beim Vertragsschluss am häufigsten vergessen. Halten Sie fest, dass bei Vertragsende Daten, Konfiguration, Dokumentation und Zugangsdaten vollständig übergeben, alle Zugänge des Dienstleisters entzogen und dies schriftlich bestätigt wird. Gerade nach einem Vorfall ist ein geordneter Wechsel sonst schwer.
Bestehende Verträge prüfen: so gehen Sie vor
Sie müssen nicht alle Verträge neu verhandeln. Ein pragmatischer Ablauf genügt für den Anfang:
- Alle Verträge mit Agenturen, Hostern und IT-Dienstleistern zusammentragen, die Websites oder Server betreffen.
- Jeden Vertrag mit der Tabelle oben abgleichen und offene Punkte markieren.
- Die wichtigsten Lücken schriftlich beim Dienstleister ansprechen, beginnend mit Leistungsumfang, Fristen und Nachweis.
- Ergebnisse als Ergänzungsvereinbarung festhalten und juristisch prüfen lassen.
- Die Aufgabenmatrix in den Notfallplan übernehmen.
Für die Geschäftsführung ist dieser Schritt auch eine Frage der Sorgfalt. Wer Zuständigkeiten klar regelt und Entscheidungen dokumentiert, steht besser da, falls später Fragen gestellt werden. Hintergründe dazu bietet Haftung der Geschäftsführung bei IT-Sicherheitslücken. Die typische Aufgabenteilung bei betreuten Servern beschreibt Managed Server: Verantwortung klären.
Wie hilft PHP SOS konkret?
- Wir lesen Ihre bestehenden Verträge und Leistungsbeschreibungen aus technischer Sicht und markieren, welche Komponenten und Aufgaben fehlen.
- Wir erstellen eine Aufgabenmatrix für alle Websites und Server, die Sie mit Ihren Dienstleistern abstimmen können.
- Wir formulieren die technischen Anforderungen an Fristen, Nachweise und Meldewege, die Ihr Anwalt in den Vertrag übernehmen kann.
- Wo niemand zuständig ist, übernehmen wir die Aufgaben selbst über einen Security-Wartungsvertrag mit klar beschriebenem Umfang.
Fazit: Ein guter Vertrag verhindert keine Sicherheitslücke, aber er verhindert, dass im Ernstfall Zeit mit der Frage nach der Zuständigkeit verloren geht. Diese Seite ist allgemeine Information und keine Rechtsberatung.
Häufige Fragen
Muss ein IT-Dienstleister Sicherheitsupdates ohne Auftrag einspielen?
Das hängt vom Vertrag ab. Ohne klare Regelung ist oft strittig, ob Updates zur geschuldeten Leistung gehören. Deshalb sollte der Vertrag ausdrücklich festhalten, wer welche Komponenten aktualisiert und in welcher Frist. Für die rechtliche Bewertung im Einzelfall ist ein Anwalt zuständig.
Brauche ich zusätzlich einen AVV?
Wenn der Dienstleister im Auftrag personenbezogene Daten verarbeitet oder darauf zugreifen kann, ist in der Regel ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO nötig. Er ersetzt den Leistungsvertrag nicht, sondern ergänzt ihn. Klären Sie das mit Ihrem Datenschutzbeauftragten.
Welche Fristen für Sicherheitsupdates sind üblich?
Feste Werte gibt es nicht. Sinnvoll ist eine Staffelung nach Schweregrad, etwa getrennte Fristen für kritische, hohe und übrige Lücken. Wichtig ist, dass die Fristen schriftlich stehen und eine Ausnahmeregel für Notfälle wie PHP2Shell enthalten.
Was passiert mit Zugängen, wenn der Vertrag endet?
Das sollte der Vertrag regeln: Rückgabe oder Löschung von Daten, Herausgabe von Zugangsdaten und Dokumentation, Entzug aller Zugänge des Dienstleisters und eine Bestätigung darüber.