Kurz gesagt: Bei der Website-Sicherheit einer Apotheke geht es um Gesundheitsdaten: Wer ein Medikament vorbestellt oder ein Rezept fotografiert, verrät etwas über seine Gesundheit. Klären Sie, wer Ihren Webserver betreibt, lassen Sie PHP-Patch und Neustart bestätigen und achten Sie auf versteckte Arzneimittel-Werbung, die Angreifer gern auf Apotheken-Seiten einschleusen.
Welche PHP-Systeme Apotheken nutzen
Viele Apotheken haben eine Website mit Öffnungszeiten, Notdienst-Hinweis und einem Formular zur Vorbestellung. Häufig kommt eine Funktion zum Hochladen von Rezeptfotos oder Medikationsplänen hinzu, dazu Anfragen für den Botendienst und Termine für Beratungen oder Impfungen. Versandapotheken und Apotheken mit Onlinehandel betreiben zusätzlich einen Shop, etwa auf WooCommerce oder Shopware 6.
Manche Seiten stammen aus Website-Paketen von Kooperationen oder spezialisierten Anbietern, andere hat eine örtliche Agentur gebaut. Für PHP2Shell entscheidet sich daran, wer den Server betreibt und damit für den PHP-Patch zuständig ist.
Besonders aufschlussreich sind Botendienst-Anfragen. Sie verbinden Wohnadresse, Telefonnummer und Medikament, häufig von älteren oder pflegebedürftigen Menschen. Wer solche Datensätze abgreift, weiß, wer allein lebt, welche Mittel regelmäßig gebraucht werden und wann geliefert wird. Das macht sie für Betrüger interessant, die gezielt ältere Menschen ansprechen.
Gesundheitsdaten: warum schon ein Vorbestellformular sensibel ist
Name plus Medikament ergibt ein Gesundheitsdatum. Solche Angaben gehören zu den besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO. Für Apothekerinnen und Apotheker gilt zudem eine Verschwiegenheitspflicht, deren Verletzung nach § 203 StGB strafbar sein kann.
Auf dem Webserver liegen solche Daten an mehreren Stellen: in der Datenbank des Formular-Plugins, in hochgeladenen Rezeptfotos, in Mail-Warteschlangen und im Shop mit Bestellhistorien. Wer per PHP2Shell Code ausführen kann, kommt in der Regel an all das heran, ohne sich anmelden zu müssen.
Apotheke und Website-Sicherheit: was ein Angriff anrichtet
- Datenabfluss: Vorbestellungen und Rezeptfotos lassen Rückschlüsse auf Erkrankungen zu. Das Risiko für Betroffene ist hoch, Meldepflichten nach DSGVO liegen nahe. Die 72-Stunden-Frist bewerten Sie mit Ihrem Datenschutzbeauftragten.
- Pharma-Spam: Angreifer schleusen versteckte Seiten mit Werbung für rezeptpflichtige Mittel ein. Suchmaschinen stufen die Seite ab oder zeigen eine Warnung, wie sie im Ratgeber Google-Warnung entfernen beschrieben ist.
- Verlorene Vorbestellungen: Fällt das Formular aus oder leitet es um, stehen Kunden vor der Theke und das Medikament ist nicht bestellt.
- Manipulierter Shop: Veränderter Code im Bestellprozess kann Zahlungsdaten abgreifen oder Kunden auf gefälschte Seiten schicken.
Ein Update des Shops oder des CMS schließt PHP2Shell nicht. Behoben ist die Lücke erst mit PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 oder einem vom Anbieter bestätigten Backport, und erst nach dem Neustart aller PHP-Prozesse.
Die Zuständigkeitslücke in der Apotheke
| Bereich | Typischerweise zuständig | Oft ungeklärt |
|---|---|---|
| Warenwirtschaft, Kassen, TI | Softwarehaus oder Apotheken-IT | Verbindung zum Onlineshop |
| Website aus Kooperationspaket | Anbieter des Pakets | schriftliche Patchbestätigung |
| Eigene Website oder Shop | Agentur und Hoster | wer PHP aktualisiert und neu startet |
In Filialverbünden kommt hinzu, dass jede Filiale eigene Formulare oder Domains haben kann, die zentral niemand führt.
Vorbestellung und Rezept-Upload datensparsam gestalten
Viele Apotheken-Formulare speichern mehr als nötig. Eine Vorbestellung braucht Name, Erreichbarkeit und das gewünschte Präparat, nicht Geburtsdatum, Anschrift oder Diagnose. Rezeptfotos sollten nicht dauerhaft im öffentlich erreichbaren Upload-Ordner liegen, sondern nach der Abholung gelöscht werden.
Prüfen Sie außerdem, wohin die Formulardaten gehen. Landet jede Vorbestellung als unverschlüsselte Mail in einem Sammelpostfach, auf das viele Mitarbeitende zugreifen, ist das Postfach ebenso schutzbedürftig wie der Server. Und wenn ein Formular-Plugin jede Anfrage zusätzlich in der Datenbank ablegt, wächst dort mit jedem Monat ein Archiv mit Gesundheitsdaten, das niemand braucht.
Je weniger auf dem Webserver liegt, desto kleiner ist der Schaden, falls er doch kompromittiert wird. Die Entscheidung über Speicherfristen treffen Sie mit Ihrem Datenschutzbeauftragten.
Die ersten Stunden für die Apothekenleitung
- Beim Betreiber des Webservers schriftlich nach PHP-Patchstand und Neustart fragen.
- Ohne Bestätigung: Vorbestellformular und Rezept-Upload abschalten und auf Telefon umstellen. Ein Hinweis auf der Startseite genügt.
- Logs ab dem 20.10.2026 sichern lassen.
- In der Google Search Console prüfen, ob unbekannte Seiten oder Sicherheitsprobleme gemeldet werden.
- Alte Rezeptfotos und Formulareinträge, die nicht mehr gebraucht werden, nach Abstimmung mit dem Datenschutzbeauftragten löschen lassen.
Wie hilft PHP SOS konkret?
- Wir klären mit Paketanbieter, Agentur oder Hoster, wer PHP patcht, und holen die Bestätigung mit Paketstand ein.
- Wir prüfen Website und Shop auf Webshells, eingeschleusten Pharma-Spam und veränderten Bestellcode und entfernen gefundene Schadsoftware.
- Wir zeigen, wo Gesundheitsdaten auf dem Server liegen, und helfen, Speicherdauer und Uploads zu begrenzen.
- Wir dokumentieren Befunde so, dass Ihr Datenschutzbeauftragter die Meldepflicht bewerten kann.
Häufige Fragen
Ist unsere Warenwirtschaft von PHP2Shell betroffen?
Die Apotheken-Warenwirtschaft und der Zugang zur Telematikinfrastruktur laufen in der Regel getrennt von der Website. Betroffen sind PHP-Webserver, also meist Website, Vorbestellformular und Onlineshop. Ob Schnittstellen zwischen Shop und Warenwirtschaft bestehen, sollte Ihr IT-Dienstleister prüfen.
Unsere Website stammt aus einem Baukasten unserer Kooperation. Wer ist zuständig?
Bei Website-Paketen von Kooperationen, Großhändlern oder spezialisierten Anbietern betreibt meist der Anbieter den Server. Dann liegt der PHP-Patch bei ihm. Fragen Sie schriftlich nach dem Stand, denn die Verantwortung für die Daten Ihrer Kunden bleibt bei Ihrer Apotheke.
Was ist ein Pharma-Hack?
So nennt man Angriffe, bei denen auf einer kompromittierten Website versteckte Seiten oder Links für Arzneimittel-Werbung eingeschleust werden. Besucher sehen oft nichts davon, Suchmaschinen aber schon. Bei einer Apotheke ist das besonders heikel, weil solche Inhalte unter einem vertrauenswürdigen Namen erscheinen.