Kurz gesagt: Bei einem Managed Server übernimmt der Anbieter einen Teil der Sicherheit, typischerweise Betriebssystem, PHP-Pakete und Standarddienste. Anwendung, Plugins, Zugänge und die datenschutzrechtliche Verantwortung bleiben meist bei Ihnen. Nach PHP2Shell sollten Sie beides schriftlich klären: Was hat der Anbieter getan, und was liegt noch bei Ihnen?
Was „managed“ bedeutet und was nicht
Der Begriff ist nicht geschützt. Ein Anbieter versteht darunter vielleicht nur das Einspielen von Betriebssystem-Updates, ein anderer betreut auch Webserver, PHP, Datenbank und Backups. Manche Tarife enthalten Überwachung rund um die Uhr, andere nur einen Ansprechpartner zu Geschäftszeiten.
Gerade bei einer Lage wie PHP2Shell zeigt sich, wie genau die Leistungsbeschreibung ist. Die beiden Lücken CVE-2026-109618 und CVE-2026-109619 liegen in PHP selbst. Ob Ihr Anbieter PHP als Teil seiner Plattform pflegt oder ob PHP als „Ihre Software“ gilt, steht im Vertrag. Verlassen Sie sich nicht auf die Annahme, dass sich schon jemand kümmert.
Managed Server Sicherheit: typische Aufgabenteilung
Die folgende Tabelle zeigt eine häufige Verteilung. Sie ersetzt nicht den Blick in Ihren Vertrag, hilft aber, die richtigen Fragen zu stellen.
| Bereich | Meist beim Anbieter | Meist bei Ihnen |
|---|---|---|
| Hardware, Netz, Virtualisierung | ja | nein |
| Betriebssystem-Updates | ja | nein |
| PHP-Pakete aus der Plattform | oft | wenn selbst installiert |
| Neustart von PHP-FPM und Webserver | oft | bei eigenen Diensten |
| Serverweite PHP-Konfiguration | oft | bei Sonderwünschen |
| CMS, Shop, Plugins, eigener Code | nein | ja |
| Admin-Konten der Anwendung | nein | ja |
| Backups | häufig | Prüfung der Wiederherstellung |
| Bewertung und Meldung von Datenpannen | nein | ja |
| Überwachung auf Angriffe | je nach Tarif | je nach Tarif |
Unklare Felder sind das eigentliche Risiko. Wo Sie „je nach Tarif“ oder „oft“ eintragen müssten, fehlt eine Regelung.
Welche Fragen Sie jetzt stellen sollten
Schicken Sie Ihrem Anbieter eine kurze, sachliche Anfrage. Bitten Sie um Antwort in Textform, damit Sie sie später vorlegen können. Diese Punkte sollten enthalten sein:
- Welche PHP-Versionen laufen auf unserem Server, und sind sie gegen CVE-2026-109618 und CVE-2026-109619 abgesichert?
- Seit wann gilt das, und wurden danach alle PHP-Prozesse und der Webserver neu gestartet?
- Wurde der Fix als Backport eingespielt? Wenn ja, welche Paketversion belegt das?
- Gab es Hinweise auf Angriffsversuche oder auffällige Prozesse auf unserem Server?
- Werden die Webserver-Logs ab dem 20.10.2026 aufbewahrt, und wie erhalten wir sie?
Eine ausformulierte Vorlage steht unter Hoster nach dem Patch-Status fragen. Die Versionsnummer im Kundenmenü ist kein Beleg: Bei Backports bleibt sie oft unverändert, etwa bei 8.2.34.
Auch wenn der Anbieter PHP gepatcht hat, bleibt Ihre Anwendung zu prüfen. Ein Patch entfernt keine Schadsoftware, die vor dem Update eingeschleust wurde, und beweist nicht, dass nichts passiert ist.
Was bei Ihnen bleibt
Ihr Teil umfasst vor allem die Anwendung. Prüfen Sie CMS, Shop und Plugins auf aktuelle Stände, entfernen Sie nicht mehr genutzte Erweiterungen und kontrollieren Sie die Liste der Administratoren. Achten Sie auf neue Dateien in Upload-Ordnern, fremde Weiterleitungen und ungewöhnliche geplante Aufgaben in der Anwendung.
Hinzu kommt die rechtliche Seite. Gelangen bei einem Vorfall personenbezogene Daten in fremde Hände, ist in der Regel Ihr Unternehmen als Verantwortlicher meldepflichtig, nicht der Anbieter. Dieser muss Sie als Auftragsverarbeiter unverzüglich informieren. Die Grundzüge erklärt DSGVO-Meldepflicht: 72 Stunden. Das ist allgemeine Information, keine Rechtsberatung; den Einzelfall bewerten Datenschutzbeauftragte oder Anwälte.
Ein weiterer Punkt wird oft übersehen: Software, die Sie oder Ihre Agentur selbst auf dem Managed Server installiert haben, etwa eine zusätzliche PHP-Version aus einer Fremdquelle, ein Container oder ein Hilfsprogramm, fällt meist nicht unter die Pflege des Anbieters. Fragen Sie deshalb auch, ob dem Anbieter bekannt ist, was neben der Standardausstattung läuft. Und klären Sie, wer im Verdachtsfall die Untersuchung übernimmt. Viele Anbieter stellen die Plattform wieder her, untersuchen aber nicht, ob und welche Daten betroffen waren. Genau diese Antwort brauchen Sie jedoch für die Bewertung möglicher Meldepflichten.
Verträge für die Zukunft verbessern
Nutzen Sie die Lage, um die Aufgabenteilung festzuschreiben. Sinnvoll sind Regelungen zu Sicherheitsupdates einschließlich Neustart, zur Information bei kritischen Lücken, zur Aufbewahrung und Herausgabe von Logs und zur Unterstützung bei Vorfällen. Fragen Sie auch, ob der Anbieter Sie aktiv benachrichtigt oder ob Sie selbst nachfragen müssen.
Ein eigener Server ohne Betreuung ist die Alternative, verlagert aber die gesamte Arbeit zu Ihnen. Was das bedeutet, beschreibt Root-Server und vServer selbst absichern.
Wie hilft PHP SOS konkret?
- Wir lesen Ihre Leistungsbeschreibung und stellen eine Aufgabenmatrix auf, die Lücken sichtbar macht.
- Wir formulieren die technischen Fragen an Ihren Anbieter und bewerten dessen Antworten.
- Wir prüfen den Anwendungsteil, der bei Ihnen liegt, auf Spuren und veraltete Komponenten.
- Was der Anbieter nicht abdeckt, übernehmen wir auf Wunsch per Security-Wartungsvertrag oder ergänzen es durch Security-Monitoring.
Häufige Fragen
Ist bei einem Managed Server automatisch alles abgesichert?
Nein. Managed heißt, dass der Anbieter bestimmte, vertraglich festgelegte Aufgaben übernimmt, meist Betriebssystem und Standarddienste. Anwendung, Plugins, Zugänge und eigene Software bleiben häufig bei Ihnen.
Wo steht, wofür mein Anbieter zuständig ist?
In der Leistungsbeschreibung und den Vertragsbedingungen, oft auch in einem Dokument zur Aufgabenteilung. Bei personenbezogenen Daten kommt der Vertrag zur Auftragsverarbeitung hinzu. Fehlt eine klare Regelung für Sicherheitsupdates, fragen Sie schriftlich nach.
Muss ich trotz Managed Server selbst etwas wegen PHP2Shell tun?
Ja. Holen Sie eine Bestätigung ein, dass alle PHP-Versionen gepatcht und die Prozesse neu gestartet sind. Prüfen Sie außerdem Ihre Anwendung auf Spuren und klären Sie, ob eine Meldepflicht besteht.
Wer meldet eine Datenpanne, wenn der Hoster betroffen war?
Meldepflichtig gegenüber der Aufsichtsbehörde ist in der Regel der Verantwortliche, also Ihr Unternehmen. Der Hoster muss Sie als Auftragsverarbeiter unverzüglich informieren. Lassen Sie den Einzelfall von Ihrem Datenschutzbeauftragten bewerten.