# IT-Notfall: Dienstleister für Webserver sofort beauftragen

> IT-Notfall am Webserver? Wir sind der Dienstleister, der remote einsteigt, Spuren sichert und bereinigt. Rufen Sie an oder schreiben Sie per WhatsApp.

Quelle: https://phpsos.de/soforthilfe/it-notfall-dienstleister/  
Stand: 25.10.2026  
Anbieter: PHP SOS, PHP-Notfallhilfe und Server-Sicherheit. Soforthilfe per WhatsApp: https://wa.me/491736494914?text=Hallo%20PHP%20SOS%2C%20wir%20brauchen%20Hilfe%20mit%20unserem%20PHP-Server.%20Firma%3A%20%E2%80%A6%20Website%3A%20%E2%80%A6

**Kurz gesagt:** Sind Sie betroffen? Rufen Sie an. Wir helfen. Haben Sie einen IT-Notfall am Webserver und keinen Experten zur Hand, beauftragen Sie uns mit einer Nachricht: Wir übernehmen ab der ersten Nachricht, arbeiten remote ohne Anfahrt und halten alles schriftlich fest, bis der Vorfall abgeschlossen und dokumentiert ist.

> **Sofort handeln:**
> **Jetzt nichts löschen und nichts neu aufsetzen.** Auch nicht als Vorbereitung für den Dienstleister. Der Zustand des Systems ist das wichtigste Beweismittel. [Notfall melden](https://phpsos.de/notfall/), und wir klären Zugänge und Rollen gemeinsam.

## Sind Sie betroffen? Wann ein Notfall-Dienstleister nötig ist

Nicht jede Störung ist ein Sicherheitsvorfall. Ein Dienstleister für den Notfall ist sinnvoll, wenn mindestens einer dieser Punkte zutrifft:

- Ihr Webserver verhält sich auffällig, und niemand im Haus kann die Ursache einordnen.
- Es gibt einen Verdacht auf Schadcode, einen Einbruch oder abgeflossene Daten.
- Der Hoster hat das Angebot gesperrt oder verlangt eine Bereinigung.
- Ihre PHP-Version ist alt oder ungeklärt, und Sie wissen nicht, ob die PHP2Shell-Lücken ausgenutzt wurden.
- Die eigene IT oder die Agentur ist nicht erreichbar oder hat keine Erfahrung mit Vorfällen.

Der Verdacht genügt. Ob Sie selbst weiterkommen oder Unterstützung brauchen, lässt sich mit der Seite [Selbst beheben oder Dienstleister holen?](https://phpsos.de/blog/selbst-beheben-oder-dienstleister/) abwägen.

## Was Sie jetzt sofort tun

1. **Zustand einfrieren.** Keine Änderungen am Server, keine Aufräumaktionen, keine Updates im Blindflug.
2. **Zugänge auflisten.** Welche Panel-, SSH-, CMS- und Datenbankzugänge gibt es, und wer verwaltet sie?
3. **Hoster informieren.** Bitten Sie ihn, Logs und Snapshots zu bewahren. Verschweigen Sie nichts, was er wissen muss.
4. **Entscheider festlegen.** Wer im Unternehmen gibt Abschaltungen, Neustarts und Passwortwechsel frei?
5. **Datenlage klären.** Liegen personenbezogene Daten, Zahlungsdaten oder Geschäftsgeheimnisse auf dem System?
6. **Beteiligte informieren.** Datenschutzbeauftragte und, falls vorhanden, den Cyberversicherer.
7. **Dienstleister beauftragen.** Rufen Sie an oder schreiben Sie per WhatsApp. Wir übernehmen ab der ersten Nachricht.

## So läuft die Beauftragung ab

Ein Notfall verträgt keinen langen Vertragsprozess, aber er verträgt auch keine Lücken bei Verantwortung und Datenschutz. Deshalb gehen wir in dieser Reihenfolge vor:

1. **Erstgespräch:** Wir hören die Lage und stellen die wenigen Fragen, die für eine erste Einschätzung nötig sind.
2. **Rahmen abstimmen:** Wir klären gemeinsam, welche Systeme wir prüfen dürfen, wer entscheidet und wie wir uns austauschen.
3. **Datenschutz regeln:** Greifen wir auf Systeme mit personenbezogenen Daten zu, besprechen wir die nötige Vereinbarung zur Auftragsverarbeitung. Grundlagen erklärt die Seite [Auftragsverarbeitung bei Serverzugriff](https://phpsos.de/blog/auftragsverarbeitung-serverzugriff/).
4. **Zugang einrichten:** Sie geben uns nur die Rechte, die für den Auftrag nötig sind. Nach Abschluss werden Zugänge wieder entzogen.
5. **Arbeit und Berichte:** Wir melden uns mit Zwischenständen und halten die Ergebnisse schriftlich fest.

Wie Sie Anbieter grundsätzlich vergleichen, steht in [Einen IT-Sicherheitsdienstleister auswählen: 12 Fragen](https://phpsos.de/blog/sicherheitsdienstleister-auswaehlen/). Vertragliche Pflichten rund um Sicherheit behandelt [Dienstleister-Verträge: Sicherheitspflichten klar regeln](https://phpsos.de/blog/dienstleistervertrag-sicherheit/).

## Wie hilft PHP SOS konkret?

1. **Lage aufnehmen:** Was ist passiert, welche Server laufen, welche PHP-Versionen und welche Betriebsart (PHP-FPM, mod_php, LiteSpeed) sind im Einsatz?
2. **Sichern und schließen:** Wir sichern Logs, Dateien und Datenbank. Dann beheben wir die Ursache: Patch, Konfiguration oder Sperren von Zugängen, mit Neustart aller PHP-Prozesse.
3. **Prüfen und bereinigen:** Wir suchen Webshells, Hintertüren, Cronjobs und fremde Zugänge und entfernen sie oder bauen aus sauberen Quellen neu auf.
4. **Härten und berichten:** Sie erhalten einen Bericht mit Zeitleiste, Funden und Empfehlungen. Bei größeren Vorfällen führen wir in eine [Incident Response](https://phpsos.de/leistungen/incident-response/) über.

Geht es zunächst nur um die PHP-Lücke und den Patch-Nachweis, passt die [PHP2Shell-Soforthilfe für Unternehmen](https://phpsos.de/leistungen/php2shell-soforthilfe/). Liegt Schadcode vor, ist die [Malware-Entfernung](https://phpsos.de/leistungen/malware-entfernung/) der richtige Ausgangspunkt.

## Woran Sie einen seriösen Notfall-Dienstleister erkennen

Im Notfall greifen viele zum erstbesten Anbieter. Drei Fragen helfen, in Minuten Ordnung zu schaffen. Erstens: Wird zuerst gesichert und erst dann verändert? Wer sofort „aufräumt“, verbaut die spätere Aufklärung. Zweitens: Wird schriftlich festgehalten, was gefunden und getan wurde? Ohne Dokumentation können weder Versicherer noch Datenschutzbeauftragte etwas damit anfangen. Drittens: Werden Grenzen genannt? Ein Anbieter, der alles für machbar erklärt, bevor er das System gesehen hat, ist mit Vorsicht zu behandeln.

Prüfen Sie auch, ob der Dienstleister Ihre Betriebsart versteht. PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed verhalten sich beim Patchen unterschiedlich, und nach dem Update müssen alle Prozesse neu gestartet werden, sonst läuft der alte Stand im Speicher weiter.

## Was ein Notfall-Dienstleister nicht leisten kann

Es lohnt sich, Grenzen vorab zu kennen. Kein Dienstleister kann rückwirkend Logs herstellen, die nie geschrieben oder bereits überschrieben wurden. Bei fehlenden Spuren benennen wir die Lücken offen. Auch kann niemand zusichern, dass ein bereinigtes System nie wieder angegriffen wird. Und Rechtsberatung gehört nicht zu unserem Auftrag: Fragen zu Meldepflichten, Haftung und Versicherung gehen an Datenschutzbeauftragte, Anwalt und Versicherer, wir liefern ihnen die technischen Fakten.

## Was Sie uns schicken sollten

- kurze Beschreibung des Vorfalls und des Zeitpunkts, an dem er auffiel
- betroffene Domains, Server und, soweit bekannt, die PHP-Version
- Name des Hosters und Art des Vertrags (Shared Hosting, vServer, Root-Server, Managed Server)
- eine Ansprechperson mit Entscheidungsbefugnis
- vorhandene Sicherungen und deren Stand

## Warum PHP SOS

Wir arbeiten Made in Germany und seit über 25 Jahren mit unserem Partnernetzwerk aus Cyber-Profis auf IT-Sicherheit spezialisiert. Sie sprechen mit einem festen Ansprechpartner, wir arbeiten remote in ganz Deutschland und Europa und dokumentieren jeden Schritt. Wir sagen offen, was belegt ist und was nicht, und wir machen keine Versprechen, die kein seriöser Dienstleister geben kann. Unsere Reihenfolge ist immer gleich: erst sichern, dann ändern, dann berichten.

## Sind Sie betroffen? Rufen Sie an. Wir helfen.

Suchen Sie nicht weiter nach dem passenden Dienstleister, während der Vorfall läuft. Rufen Sie an oder schreiben Sie per WhatsApp, wir übernehmen ab der ersten Nachricht. [Jetzt Notfall melden](https://phpsos.de/notfall/).


## Häufige Fragen

**Woran erkenne ich einen guten IT-Notfall-Dienstleister?**  
Er sichert Spuren, bevor er etwas ändert, trennt offen zwischen belegt und vermutet, dokumentiert jeden Schritt und verspricht keine Wunder. Misstrauisch sollten Sie bei Aussagen wie „alles garantiert sauber“ sein, denn das kann niemand seriös zusichern.

**Welche Zugänge braucht ein Dienstleister im IT-Notfall?**  
In der Regel SSH- oder Panelzugang zum Server, Zugriff auf das CMS-Backend und die Datenbank oder Ihre Erlaubnis, mit dem Hoster zu sprechen. Geben Sie nur, was nötig ist, und halten Sie fest, wer wann welchen Zugang erhalten hat.

**Brauche ich für den Fernzugriff einen Auftragsverarbeitungsvertrag?**  
Greift ein Dienstleister auf Systeme mit personenbezogenen Daten zu, ist meist eine Regelung zur Auftragsverarbeitung nötig. Die Bewertung treffen Datenschutzbeauftragte oder Anwälte. Wir klären das mit Ihnen gleich zu Beginn.

**Was ist der Unterschied zwischen Incident Response und Malware-Entfernung?**  
Malware-Entfernung säubert ein befallenes System. Incident Response ist breiter angelegt: Sie umfasst Lagebild, Eindämmung, Bereinigung, Kommunikation und Nachbereitung, oft über mehrere Systeme hinweg.

**Muss mein Hoster beteiligt werden?**  
Oft ja, etwa für Snapshots, Logs oder das Zurücksetzen von Sperren. Wir stimmen uns mit Ihrem Hoster ab, sofern Sie das erlauben. Was geprüft werden kann, hängt von den Rechten ab, die wir erhalten.

## Quellen

- [BSI: Bundesamt für Sicherheit in der Informationstechnik](https://www.bsi.bund.de/)
- [BSI IT-Grundschutz](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html)
- [DSGVO Art. 33: Meldung an die Aufsichtsbehörde](https://dsgvo-gesetz.de/art-33-dsgvo/)