Kurz gesagt: Sind bei Ihrer Agentur mehrere Kundenseiten betroffen, ist das selten Zufall, sondern meist ein gemeinsamer Server, ein geteilter Zugang oder dieselbe PHP-Version. Sind Sie betroffen, melden Sie sich sofort. Wir verschaffen Ihnen einen Überblick, dämmen den Vorfall remote ein, bereinigen die Systeme und liefern Ihnen Berichte für Ihre Kunden.
Jetzt nichts löschen und nichts neu aufsetzen. Auch wenn der Druck der Kunden groß ist: Ohne gesicherte Logs und Dateien lässt sich weder die Ursache klären noch beweisen, was nicht betroffen war. Notfall melden und wir übernehmen ab der ersten Nachricht.
Sind Sie betroffen? Anzeichen, wenn Kundenseiten gehackt wurden
Als Agentur sehen Sie Muster, die Einzelbetreiber nie bemerken. Auf einen gemeinsamen Vorfall deuten hin:
- Mehrere Kundenseiten zeigen zur selben Zeit dieselben Symptome: Weiterleitungen, Spam-Inhalte, Warnungen im Browser.
- Derselbe unbekannte Admin-Account oder dieselbe verdächtige Datei taucht bei verschiedenen Kunden auf.
- Der Hoster meldet Missbrauch oder auffällige Last für ein Konto, auf dem viele Projekte liegen.
- Kunden rufen an, weil ihre Seite bei Google gewarnt wird, und Sie finden bei Gegenprüfung weitere Seiten im gleichen Zustand.
- Ein Entwickler oder ehemaliger Mitarbeiter hatte Zugang zu vielen Projekten, und ein Zugang ist abgeflossen.
- Wartungsarbeiten über ein zentrales Tool, etwa Deployment, Backups oder ein Update-Dienst, haben eine Seite verändert, die Sie nicht angefasst haben.
- Sie betreiben viele Seiten auf PHP-Versionen, deren Patchstand Sie nicht für jede einzelne belegen können.
Seit PHP2Shell kommt hinzu, dass die Lücke im PHP-Interpreter selbst liegt. Ein CMS-Update, etwa bei WordPress, schließt sie nicht; entscheidend ist die PHP-Laufzeit, die tatsächlich ausliefert.
Was Sie jetzt sofort tun
- Betroffene Seiten auflisten: Domain, Server, Hosting-Konto, PHP-Version, CMS, Verantwortliche. Auch Verdachtsfälle gehören dazu.
- Gemeinsamkeiten suchen: Gleicher Server? Gleiche Zugänge? Gleiches Plugin? Gleicher Deployment-Weg?
- Gefährdete Seiten abschotten: Aktiv Schadcode ausliefernde Seiten in den Wartungsmodus setzen. Nicht löschen.
- Logs und Stand sichern lassen: Hoster bitten, Protokolle zu bewahren; eigene Deployment-Protokolle sichern.
- Zentrale Zugänge prüfen: Wer hat Zugriff auf Hosting-Panel, SSH, Git, Passwortmanager und Deployment? Änderungen erst nach Absprache.
- Kunden zurückhaltend informieren: Zuerst nur, was belegt ist. Keine Ursache nennen, bevor sie feststeht.
- Uns kontaktieren: Rufen Sie an oder schreiben Sie per WhatsApp.
Wie hilft PHP SOS konkret?
- Lage aufnehmen: Wir verschaffen uns mit Ihnen einen Überblick über alle Seiten und Server und ordnen sie nach Dringlichkeit: aktiv ausgelieferter Schadcode, Verdacht auf Datenabfluss, vermutlich nur ungepatcht.
- Sichern und schließen: Wir sichern jedes betroffene System, bevor etwas verändert wird, und schließen die gemeinsame Einfallstür: Zugänge, PHP-Stand, Neustart aller Prozesse.
- Prüfen und bereinigen: Wir suchen systematisch über alle Seiten nach denselben Spuren, entfernen Webshells und Hintertüren und stellen sauber wieder her. Details unter Malware und Webshells entfernen lassen.
- Härten und berichten: Wir trennen Seiten voneinander, wo es sinnvoll ist, und liefern je Kunde einen kurzen Bericht, den Sie weitergeben können, sowie einen Gesamtbericht für Sie.
Wir arbeiten remote, ohne Anfahrt, in ganz Deutschland und Europa. Auf Wunsch im Hintergrund für Ihre Agentur, wie auf der Seite Agenturen und White Label beschrieben.
Warum bei Agenturen oft viele Seiten gleichzeitig fallen
Wer viele Projekte auf einem Server betreibt, spart Kosten, tauscht dafür aber Isolation gegen Bequemlichkeit. Läuft alles unter demselben Benutzer und demselben PHP-Prozesspool, kann Code einer gehackten Seite die Dateien der Nachbarn lesen und verändern. Das ist kein exotischer Fall, sondern Standard in vielen Konfigurationen. Wie sich Pools sauber trennen lassen, beschreibt PHP-FPM-Pools isolieren.
Hinzu kommen geteilte Zugänge: ein SSH-Schlüssel für alle Projekte, ein Hosting-Account mit allen Domains, dieselben Passwörter für Staging und Produktion. Hier gilt das Prinzip der kleinsten Rechte. Mehr dazu in Rechte des Webserver-Benutzers.
Auch die Lieferkette zählt: Plugins, Themes und Bibliotheken kommen von Dritten, der Hoster verantwortet die Plattform, die Agentur den Betrieb. Wo diese Grenzen verlaufen und wo Lücken entstehen, behandelt Lieferkette Agentur und Hoster.
Inventar, PHP-Versionen und Kommunikation mit Kunden
Das häufigste Problem in solchen Lagen ist fehlende Übersicht: Welche Seite läuft auf welchem Server mit welcher PHP-Version, und wer ist zuständig? Ohne diese Liste lässt sich nicht sagen, wer vom Patch betroffen ist und wer nicht. Wie Sie ein solches Verzeichnis aufbauen, zeigt Inventar von Websites und Servern. Laufen mehrere PHP-Versionen parallel, hilft zusätzlich Mehrere PHP-Versionen auf einem Server.
Gegenüber den Kunden zählt Klarheit. Sie müssen nicht alles wissen, aber nichts beschönigen: Was ist belegt, was wird noch geprüft, was tun Sie als Nächstes? Formulierungshilfen finden Sie unter Kunden nach einem Vorfall informieren. Sind personenbezogene Daten betroffen, können Meldepflichten nach Art. 33 DSGVO eine Rolle spielen. Das ist eine allgemeine Information; die Bewertung gehört zu Datenschutzbeauftragten und Anwalt. Wächst der Vorfall über einzelne Seiten hinaus, gehen wir in eine strukturierte Incident Response über.
Was Sie uns schicken sollten
- eine Liste der betroffenen und der vermutlich betroffenen Domains
- Angaben zu Server und Hosting je Projekt, soweit bekannt
- PHP-Versionen und eingesetzte CMS oder Shops
- die Zugänge, die Sie uns einräumen können, und die Rollen im Team
- Hinweise, was zuletzt geändert oder ausgerollt wurde
- Name des Ansprechpartners für Entscheidungen sowie für Kundenkommunikation
Warum PHP SOS
Wir arbeiten Made in Germany und sind seit über 25 Jahren mit unserem Partnernetzwerk aus Cyber-Profis auf IT-Sicherheit spezialisiert. Sie haben einen Ansprechpartner für alle betroffenen Projekte, wir arbeiten remote und dokumentieren je System, was gefunden und getan wurde. Wir versprechen keine Wunder. Was sich nicht belegen lässt, nennen wir unbekannt, damit Sie Ihren Kunden gegenüber nicht mehr sagen, als Sie wissen.
Sind Sie betroffen? Rufen Sie an. Wir helfen.
Wenn mehrere Ihrer Kundenseiten auffällig sind, ist der Zeitdruck doppelt: technisch und im Verhältnis zu Ihren Kunden. Melden Sie sich jetzt: Rufen Sie an oder schreiben Sie per WhatsApp. Wir übernehmen ab der ersten Nachricht und bleiben dabei, bis der Vorfall abgeschlossen und dokumentiert ist. Jetzt Notfall melden
Häufige Fragen
Warum sind oft gleich mehrere Kundenseiten betroffen?
Häufig teilen sich die Seiten einen Server, ein Hosting-Konto, denselben PHP-Prozess oder dieselben Zugangsdaten. Gelangt ein Angreifer an einer Stelle hinein, kann er sich seitwärts bewegen. Ein verwundbares PHP betrifft zudem alle Seiten, die es nutzen.
Soll ich die Kunden sofort informieren?
Das hängt von der Lage und vom Vertrag ab. Klären Sie zuerst, welche Seiten wirklich betroffen sind, damit Sie nicht mit Vermutungen informieren. Bei personenbezogenen Daten sind Meldepflichten möglich; die Einordnung gehört zu Datenschutzbeauftragten oder Anwalt.
Wer haftet, wenn die Seite eines Kunden gehackt wurde?
Das richtet sich nach Ihren Verträgen, dem Betreuungsumfang und dem Hergang. Wir machen dazu keine Rechtsberatung. Ein sauberer Bericht über Ursache und Maßnahmen hilft bei dieser Klärung.
Können Sie unter unserem Namen arbeiten, ohne dass der Endkunde uns sieht?
Auf Wunsch arbeiten wir im Hintergrund für Ihre Agentur und liefern Berichte, die Sie an Ihre Kunden weitergeben können. Die Einzelheiten besprechen wir vorab.
Reicht es, die Kundenseiten einzeln zu bereinigen?
Meist nicht. Liegt die Ursache im gemeinsamen Server, in einem geteilten Zugang oder in einer ungepatchten PHP-Version, tauchen die Probleme nach der Einzelreinigung wieder auf. Die Ursache muss mitbehoben werden.