# Incident Response bei Server-Angriffen

> Incident Response bei Server-Angriffen: Wir übernehmen Triage, Eindämmung, Bereinigung und Wiederherstellung mit klaren Rollen und dokumentiertem Ablauf.

Quelle: https://phpsos.de/leistungen/incident-response/  
Stand: 25.10.2026  
Anbieter: PHP SOS, PHP-Notfallhilfe und Server-Sicherheit. Soforthilfe per WhatsApp: https://wa.me/491736494914?text=Hallo%20PHP%20SOS%2C%20wir%20brauchen%20Hilfe%20mit%20unserem%20PHP-Server.%20Firma%3A%20%E2%80%A6%20Website%3A%20%E2%80%A6

**Kurz gesagt:** Wenn ein Angriff mehr als eine einzelne Website betrifft, brauchen Sie einen Incident-Response-Dienstleister, der den Vorfall strukturiert abarbeitet. Wir übernehmen das Lagebild, die Eindämmung, die Bereinigung und die sichere Wiederherstellung, mit klaren Rollen und lückenloser Dokumentation. Sie behalten die Entscheidungen, wir sorgen für die technische Grundlage.

## Was Incident Response bei Server-Angriffen bedeutet

Incident Response ist die geordnete Bearbeitung eines Sicherheitsvorfalls. Statt hektischer Einzelaktionen folgt die Arbeit festen Phasen: erkennen und einordnen, eindämmen, beseitigen, wiederherstellen, nachbereiten. Jede Maßnahme wird mit Zeitpunkt und Begründung festgehalten.

Gerade bei Webservern ist das wichtig. Ein Server mit PHP-Anwendungen enthält oft Zugangsdaten zu Datenbanken, Zahlungsdienstleistern, Mailservern und Schnittstellen. Wer dort eingedrungen ist, kann sich weiterbewegen. Die Lage nach PHP2Shell zeigt, wie schnell eine solche Situation entstehen kann: Unauthentifizierte Codeausführung, mehr als 22,6 Millionen exponierte Instanzen laut Unit 42 und keine veröffentlichten, bestätigten Indicators of Compromise.

## Wann Sie einen Incident-Response-Dienstleister brauchen

- mehrere Server oder Anwendungen sind betroffen oder könnten betroffen sein
- es besteht Verdacht, dass personenbezogene Daten oder Zahlungsdaten abgeflossen sind
- ein Angreifer ist möglicherweise noch aktiv, etwa durch laufende Verbindungen oder neue Konten
- es gibt eine Erpressung oder eine öffentliche Ankündigung des Angriffs
- Versicherung, Behörden oder Geschäftspartner erwarten einen dokumentierten Ablauf

Bei einer einzelnen befallenen Website reicht oft die [Notfallhilfe bei gehackter Website](https://phpsos.de/leistungen/website-gehackt-notfallhilfe/). Den Übergang zur vollen Vorfallsbearbeitung besprechen wir mit Ihnen, sobald sich ein größerer Umfang abzeichnet.

## Wie hilft PHP SOS konkret?

1. **Triage und Lagebild:** Wir klären, was beobachtet wurde, welche Systeme und Daten betroffen sein können und wer intern beteiligt werden muss. Ergebnis ist ein erstes, schriftliches Lagebild mit offenen Fragen.
2. **Spuren sichern und eindämmen:** Logs, Dateisysteme und Datenbanken werden gesichert, bevor wir eingreifen. Danach isolieren wir betroffene Systeme, sperren kompromittierte Zugänge und unterbrechen erkennbare Verbindungen des Angreifers.
3. **Beseitigen:** Wir schließen das Einfallstor, zum Beispiel durch Patchen auf die behobenen PHP-Versionen und Neustart aller Worker, entfernen Hintertüren und tauschen Geheimnisse aus. Für die Detailanalyse binden wir bei Bedarf spezialisierte Partner für [IT-Forensik](https://phpsos.de/leistungen/it-forensik/) ein.
4. **Wiederherstellen:** Systeme gehen kontrolliert wieder in Betrieb, möglichst aus sauberen Quellen oder auf neu aufgesetzten Servern. Wir überwachen sie danach verstärkt auf erneute Auffälligkeiten.
5. **Nachbereiten:** Sie erhalten einen Abschlussbericht mit Zeitleiste, Ursachen, Maßnahmen und Empfehlungen. Gemeinsam halten wir fest, was beim nächsten Mal schneller gehen soll.

> **Sofort handeln:**
> Bewahren Sie Server-Logs auf und ändern Sie keine Systeme, bevor gesichert ist. Das BSI empfiehlt bei PHP2Shell, nicht sofort patchbare Webserver vorübergehend vom Netz zu nehmen.

## Rollen und Kommunikation während des Vorfalls

Ein Vorfall braucht klare Zuständigkeiten. Bewährt hat sich eine kleine Runde aus einer entscheidungsbefugten Person, einem technischen Ansprechpartner auf Ihrer Seite und uns als technischer Leitung. Lagebesprechungen finden in festen Abständen statt, Ergebnisse werden schriftlich festgehalten.

Parallel laufen Aufgaben, die wir nicht übernehmen, für die wir aber Fakten liefern: die Prüfung einer [Meldepflicht nach DSGVO innerhalb von 72 Stunden](https://phpsos.de/compliance/dsgvo-meldepflicht-72-stunden/), die Information des Versicherers, eine mögliche Anzeige und die [Krisenkommunikation](https://phpsos.de/compliance/krisenkommunikation/) gegenüber Kunden und Partnern.

## Was wir von Ihnen brauchen und was Sie bekommen

Wir brauchen administrative Zugänge zu den betroffenen Systemen, eine Übersicht der Infrastruktur und Dienstleister, eine entscheidungsbefugte Person und die Bereitschaft, Systeme bei Bedarf vorübergehend abzuschalten. Hilfreich sind vorhandene Notfallpläne, Netzwerkskizzen und Backups mit Datum.

Sie bekommen ein fortlaufendes Vorfallsprotokoll, regelmäßige Lagebilder in verständlicher Sprache, einen Abschlussbericht für Geschäftsführung, Datenschutzbeauftragte und Versicherer sowie eine priorisierte Liste von Verbesserungen. Wie Sie sich für den nächsten Vorfall besser aufstellen, beschreibt [IT-Notfallplan für Webserver erstellen](https://phpsos.de/compliance/notfallplan-erstellen/).

## Typische Fehler in den ersten Stunden

Viele Vorfälle werden schwerer, weil in der Aufregung gut gemeinte Schritte in der falschen Reihenfolge passieren. Diese Muster sehen wir häufig:

- **Sofort neu aufsetzen:** Der Server wird gelöscht und neu installiert, bevor gesichert wurde. Danach lässt sich nicht mehr klären, ob Daten abgeflossen sind.
- **Passwörter vom befallenen System ändern:** Wenn der Angreifer noch Zugriff hat, sieht er die neuen Passwörter mit.
- **Nur die sichtbare Datei löschen:** Die Webshell ist weg, die zweite Hintertür im Cronjob bleibt.
- **Patchen ohne Neustart:** Neue PHP-Dateien liegen auf der Platte, die alten Worker laufen weiter im Speicher.
- **Niemand führt Protokoll:** Später weiß keiner mehr, wer wann was geändert hat. Das erschwert Gespräche mit Versicherer und Behörden.

Ein abgestimmter Ablauf verhindert diese Fehler, ohne die Eindämmung zu verzögern.

## Was wir nicht versprechen

Wir versprechen nicht, dass jeder Vorfall vollständig aufgeklärt wird; ohne Spuren bleiben Fragen offen, und das schreiben wir auch so in den Bericht. Wir geben keine Rechtsberatung und keine Aussagen zu Haftung oder Versicherungsschutz. Unser Ziel ist ein klares Ende: Wir arbeiten an dem Vorfall, bis er abgeschlossen und dokumentiert ist.


## Häufige Fragen

**Was ist der Unterschied zwischen Incident Response und IT-Forensik?**  
Incident Response hat das Ziel, den Vorfall einzudämmen und den Betrieb sicher wiederherzustellen. IT-Forensik klärt im Detail und beweissicher, was passiert ist. In der Praxis greifen beide ineinander, die Forensik sichert oft parallel Spuren.

**Wann sollte ich einen Incident-Response-Dienstleister einschalten?**  
Sobald der Verdacht besteht, dass ein Angreifer Zugriff auf Systeme hatte und Sie den Umfang nicht sicher abschätzen können. Je früher die Spurensicherung beginnt, desto mehr lässt sich später belegen.

**Wer entscheidet während des Vorfalls?**  
Die Entscheidungen treffen Sie, etwa über Abschaltungen, Kommunikation oder Meldungen. Wir bereiten die technischen Grundlagen vor, zeigen Optionen mit ihren Folgen und setzen die Entscheidungen um.

**Muss ich die Polizei einschalten?**  
Eine Anzeige ist in vielen Fällen sinnvoll und für manche Versicherungen relevant. Die Zentralen Ansprechstellen Cybercrime der Polizei sind dafür zuständig. Ob und wann Sie Anzeige erstatten, entscheiden Sie mit Ihrem Anwalt.

## Quellen

- [BSI: Bundesamt für Sicherheit in der Informationstechnik](https://www.bsi.bund.de/)
- [DSGVO Art. 33: Meldung an die Aufsichtsbehörde](https://dsgvo-gesetz.de/art-33-dsgvo/)
- [Polizei: Zentrale Ansprechstellen Cybercrime](https://www.polizei.de/)
- [BSI IT-Grundschutz](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html)