Kurz gesagt: Cybersicherheit im Mittelstand scheitert bei PHP2Shell selten am Patchen, sondern am Überblick. Neben der Website laufen Händlerportale, Konfiguratoren, Karriereseiten und interne Wikis bei unterschiedlichen Dienstleistern. Erst eine vollständige Liste macht das Risiko beherrschbar und gegenüber Kunden und Aufsicht belegbar.
Typische PHP-Systeme in mittelständischen Unternehmen
Über die Jahre sammeln sich in produzierenden Unternehmen viele webbasierte Anwendungen an: B2B-Shops für Ersatzteile, Händler- und Partnerportale mit Preislisten, Produktkonfiguratoren, Downloadbereiche für technische Dokumentation und CAD-Daten, Reklamations- und Serviceportale, Karriereseiten mit Bewerbermanagement. Intern kommen Wikis wie MediaWiki, Ticket-Tools und Webanalyse hinzu.
Ein großer Teil davon läuft auf PHP. Beauftragt wurden die Systeme oft von Fachabteilungen, gebaut von Agenturen und betrieben bei Hostern, die die zentrale IT nicht kennt. Genau dort liegt bei einer Lücke wie PHP2Shell das eigentliche Problem.
Welche Daten und Verbindungen betroffen sein können
In Portalen liegen Kundenkonditionen, Ansprechpartner bei Händlern, Angebots- und Auftragsdaten sowie Zeichnungen, die unter Geheimhaltungsvereinbarungen stehen. Bewerberportale enthalten Lebensläufe und Zeugnisse. Für Wettbewerber und Erpresser sind Konstruktionsdaten und Preisstrukturen oft wertvoller als Personendaten.
Kritisch sind die Verbindungen: Viele Portale tauschen Daten mit ERP, Warenwirtschaft oder PIM aus. Wer Code auf einem solchen Webserver ausführt, findet dort Zugangsdaten zu Schnittstellen, Datenbanken oder VPN. Ein kompromittiertes Portal kann so zum Einstieg in das Unternehmensnetz werden.
Mittelstand und Cybersicherheit: Lieferkette und NIS2
Mit NIS2 gelten für viele Unternehmen erweiterte Pflichten zu Risikomanagement und Meldung erheblicher Sicherheitsvorfälle. Ob Ihr Unternehmen direkt betroffen ist, hängt von Sektor und Größe ab. Mittelbar betroffen sind viele mehr, weil Kunden Sicherheitsanforderungen über Verträge an ihre Lieferanten weitergeben.
Für die Geschäftsleitung kommt die Frage nach der eigenen Verantwortung hinzu. Was dazu allgemein gilt, erläutert die Seite zur Haftung der Geschäftsführung. Die Bewertung im Einzelfall gehört zu Ihrer Rechtsberatung.
Palo Alto Networks (Unit 42) zählte mehr als 22,6 Millionen exponierte, potenziell verwundbare Instanzen. Ein vergessenes Testsystem einer Agentur ist für automatisierte Scans genauso sichtbar wie Ihre Hauptwebsite.
Die typische Zuständigkeitslücke im Mittelstand
| Bereich | Wer oft entscheidet | Was dabei fehlt |
|---|---|---|
| Unternehmenswebsite | Marketing mit Agentur | Patchnachweis für PHP |
| Händlerportal, B2B-Shop | Vertrieb mit Dienstleister | Einbindung in das IT-Sicherheitskonzept |
| Karriereseite | Personal mit Anbieter | Klarheit über Hosting und Daten |
| Interne Werkzeuge | einzelne Abteilungen | Inventar und Verantwortliche |
Die zentrale IT ist für Netz, Arbeitsplätze und ERP zuständig, hat aber oft keinen Zugriff auf extern gehostete Systeme. Dieses Muster wird bei jeder kritischen Lücke zum Engpass. Abhilfe schafft eine einfache Regel: Jede Webanwendung, die Firmendaten verarbeitet, wird mit Betreiber und Ansprechpartner bei der IT gemeldet, bevor sie online geht.
Webserver und Produktionsnetz sauber trennen
In der Industrie kommen Webanwendungen hinzu, die mit Maschinen und Anlagen sprechen: Service- und Fernwartungsportale, Dashboards mit Maschinendaten, Portale für Kunden, die den Zustand ihrer gelieferten Anlagen abrufen. Manche davon sind auf PHP gebaut und stehen in einem Netzbereich, der mehr Verbindungen hat, als für die Aufgabe nötig wären.
Ein kompromittierter Webserver darf kein Sprungbrett in die Produktion sein. Prüfen Sie, welche Verbindungen aus den Netzbereichen der Webserver in Büro- und Produktionsnetze bestehen, und beschränken Sie sie auf das Notwendige. Gespeicherte Zugangsdaten auf Webservern sollten nur die Rechte haben, die die Anwendung wirklich braucht. Bei Fernwartungszugängen gilt das besonders.
Erste Stunden für IT-Leitung und Geschäftsführung
- Ein Inventar aller extern erreichbaren PHP-Systeme anlegen: Domain, Betreiber, PHP-Version, Betriebsart, Ansprechpartner.
- Systeme mit mod_php und solche auf PHP 8.1 oder älter zuerst behandeln. Bei mod_php stuft das PHP-Team das Risiko am höchsten ein.
- Für jedes System Patch auf 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 bzw. Backport und Neustart schriftlich bestätigen lassen. Was nicht bestätigt werden kann, vorübergehend vom Netz nehmen.
- Logs ab dem 20.10.2026 sichern und Verbindungen der Webserver ins interne Netz prüfen.
- Den Stand knapp dokumentieren, damit Sie Kunden, Versicherer und gegebenenfalls Behörden belegbar antworten können.
Wie hilft PHP SOS konkret?
- Wir erstellen gemeinsam mit IT und Fachabteilungen das Inventar der PHP-Systeme und priorisieren nach Risiko.
- Wir koordinieren Patches und Neustarts mit Agenturen und Hostern und sammeln die Nachweise an einer Stelle.
- Bei Verdacht übernehmen wir die strukturierte Incident Response mit Spurensicherung und Prüfung der Verbindungen ins Firmennetz.
- Danach bieten wir einen Sicherheitsaudit oder Penetrationstest durch spezialisierte Partner an, dessen Ergebnis Sie Kunden vorlegen können.
- Auf Wunsch überwachen wir die Systeme laufend, damit das Inventar aktuell bleibt.
Häufige Fragen
Fällt unser Unternehmen unter NIS2?
Das hängt von Sektor, Unternehmensgröße und Umsatz ab und ist im Einzelfall zu prüfen. Auch wer nicht direkt unter NIS2 fällt, bekommt die Anforderungen oft über Kunden in der Lieferkette zu spüren. Die verbindliche Einordnung klären Sie mit Ihrer Rechtsberatung.
Kann ein gehackter Webserver ins Firmennetz führen?
Das ist möglich, wenn der Webserver Verbindungen ins interne Netz hat, etwa Schnittstellen zum ERP, gemeinsame Zugangsdaten oder einen VPN-Tunnel. Ob das bei Ihnen der Fall ist, zeigt eine Prüfung der Netzwerkverbindungen und gespeicherten Zugangsdaten.
Wie finden wir alle PHP-Anwendungen im Unternehmen?
Ausgangspunkt sind DNS-Einträge, Zertifikate, Hosting-Rechnungen und Verträge mit Agenturen. Ergänzend helfen Befragungen in Marketing, Vertrieb, Service und Personal. Meist tauchen dabei Systeme auf, die die IT-Abteilung gar nicht kannte.
Was erwarten Kunden nach PHP2Shell von uns als Lieferant?
Manche Kunden fragen aktiv nach, ob ihre Lieferanten betroffen waren und wie sie reagiert haben. Hilfreich ist eine knappe, belegbare Darstellung: welche Systeme, welcher Patchstand, wann neu gestartet, welche Prüfungen auf Kompromittierung. Mehr zu versprechen, als belegt ist, schadet.