Kurz gesagt: Die BSI-Warnstufe Orange ist die zweithöchste von vier Stufen. Sie bedeutet: Die IT-Bedrohungslage ist geschäftskritisch, der Regelbetrieb kann massiv beeinträchtigt werden. Für PHP2Shell hat das BSI diese Stufe 3 vergeben und empfiehlt das sofortige Update oder, wenn das nicht geht, betroffene Webserver vorübergehend vom Netz zu nehmen. Für Unternehmen heißt Orange: Das Thema gehört heute auf den Tisch der Leitung.
Was die Einstufung für Entscheider bedeutet
Viele Geschäftsführer haben in den Nachrichten von „Warnstufe Orange“ gehört, ohne zu wissen, wie sie das einordnen sollen. Ist das ein Alarm für alle oder ein Thema für die IT-Abteilung? Die kurze Antwort: Orange ist die Stufe, bei der das BSI davon ausgeht, dass Betroffene ohne schnelles Handeln ernsthafte Störungen ihres Geschäfts riskieren.
Laut hessenschau sprach das BSI bei PHP2Shell von einem herausragenden Bedrohungspotenzial. Es rechnete mit schneller, großflächiger Ausnutzung. Bestätigte erfolgreiche Angriffe in der Breite waren zum Zeitpunkt der Warnung laut BSI nicht bekannt. Beides gehört zusammen: Die hohe Stufe beschreibt das Risiko, nicht einen bereits eingetretenen Schaden.
BSI-Warnstufe Orange und die anderen drei Stufen
Das BSI ordnet seine Cyber-Sicherheitswarnungen auf einer Skala von 1 bis 4 ein. Die folgende Tabelle gibt die Bedeutung sinngemäß wieder:
| Stufe | Farbe | Bedeutung (sinngemäß) |
|---|---|---|
| 1 | Grau | IT-Bedrohungslage ohne wesentliche Auffälligkeiten |
| 2 | Gelb | verstärkte Beobachtung von Auffälligkeiten, Regelbetrieb zeitweise beeinträchtigt |
| 3 | Orange | geschäftskritische Lage, massive Beeinträchtigung des Regelbetriebs |
| 4 | Rot | extrem kritische Lage, Regelbetrieb in vielen Bereichen nicht mehr aufrechtzuerhalten |
Die Stufe sagt etwas über die Lage insgesamt, nicht über Ihren einzelnen Server. Ein vollständig gepatchter und geprüfter Webserver ist auch bei Orange in einer guten Position. Ein ungepatchter Server mit PHP 8.1 und mod_php ist auch bei einer niedrigeren Stufe gefährdet.
Wie Sie die Skala intern nutzen
Viele Unternehmen haben eigene Notfallstufen, etwa im Notfallhandbuch oder im Rahmen eines Informationssicherheits-Managements. Es lohnt sich, die BSI-Stufen dort fest zuzuordnen. Eine einfache Regel kann lauten: Bei Gelb prüft die IT innerhalb des normalen Betriebs. Bei Orange wird die Geschäftsführung am selben Tag informiert, ein Verantwortlicher benannt und der Status aller betroffenen Systeme schriftlich erhoben. Bei Rot tritt der Krisenstab zusammen.
So wird aus einer Nachricht eine eingeübte Reaktion. Wer die Zuordnung vorher festgelegt hat, muss im Ernstfall nicht diskutieren, ob die Lage „ernst genug“ ist. Bei PHP2Shell hätte diese Regel bedeutet: noch am 21. Oktober Bestandsaufnahme, Patch-Plan und Entscheidung über Abschaltungen.
Die Warnungen selbst veröffentlicht das BSI auf seiner Website, dort werden sie bei neuen Erkenntnissen auch aktualisiert. Es lohnt sich, die jeweils aktuelle Fassung zu lesen, denn Empfehlungen und Einschätzungen können sich im Verlauf einer Lage ändern.
Warum PHP2Shell Orange und nicht Rot ist
Zum Vergleich wird oft Log4Shell herangezogen. Für die Lücke in der Java-Bibliothek Log4j rief das BSI im Dezember 2021 die Stufe Rot aus, laut damaligen Berichten unter anderem, weil die Lücke trivial ausnutzbar war und bereits Kompromittierungen bekannt waren. Im Januar 2022 wurde die Warnung laut Bundestag auf Gelb herabgestuft.
Die genaue Begründung für Orange bei PHP2Shell kennt nur das BSI. Erkennbare Unterschiede sind die Lage bei bestätigten Angriffen und die Tatsache, dass für alle unterstützten PHP-Zweige ein Update bereitsteht. Eine ausführliche Gegenüberstellung bietet der Beitrag PHP2Shell und Log4Shell. Orange ist dabei keine Entwarnung. Die Empfehlung, Server notfalls vom Netz zu nehmen, ist für eine Behörde eine deutliche Ansage.
Die Warnstufe kann sich ändern, in beide Richtungen. Maßgeblich ist der aktuelle Stand auf der Website des BSI, nicht ein Zeitungsartikel vom Vortag.
Was Orange nicht bedeutet
Drei Missverständnisse begegnen uns derzeit häufig:
- „Orange heißt, wir sind gehackt.“ Nein. Die Stufe beschreibt die Bedrohungslage, nicht einen Befund auf Ihren Systemen.
- „Orange gilt nur für Behörden.“ Nein. Die Warnungen richten sich an alle Betreiber betroffener Systeme, auch an kleine Unternehmen.
- „Wenn wir Cloudflare oder eine WAF haben, betrifft uns Orange nicht.“ Nein. Schutzregeln senken das Risiko, ersetzen aber das PHP-Update nicht.
Ob aus der Warnung rechtliche Pflichten folgen, etwa im Rahmen von NIS2, hängt von Ihrer Branche und Größe ab. Das ist keine Rechtsberatung; klären Sie Einzelheiten mit Ihrer Rechtsberatung oder Ihrem Datenschutzbeauftragten.
Die Einstufung in Entscheidungen übersetzen
Eine Warnstufe ist nur so viel wert wie die Entscheidungen, die daraus folgen. Für PHP2Shell empfehlen wir Unternehmen diese Reihenfolge:
- Betroffenheit klären: Welche Server und Websites laufen mit PHP, wer betreibt sie?
- Patchstand belegen: behobene Version 8.5.12, 8.4.27, 8.3.36 oder 8.2.35, oder ein vom Anbieter bestätigter Backport.
- Neustart sicherstellen: Alle PHP-Prozesse müssen neu gestartet sein.
- Wenn das nicht sofort geht: Übergangsmaßnahmen setzen oder den Server vorübergehend vom Netz nehmen, wie es das BSI empfiehlt. Die Optionen beschreibt Sofortmaßnahmen ohne Patch.
- Spuren prüfen und Logs sichern: ab dem 20. Oktober.
- Entscheidungen dokumentieren: wer was wann entschieden hat und auf welcher Grundlage.
Gerade der letzte Punkt wird unterschätzt. Wer bei einer offiziellen Warnung der Stufe Orange nachvollziehbar gehandelt hat, steht gegenüber Versicherern, Kunden und Aufsichtsstellen besser da. Hintergründe liefert die Seite zur Haftung der Geschäftsführung.
Wie hilft PHP SOS konkret?
- Lage für Ihr Unternehmen: Wir übersetzen die BSI-Einstufung in eine Liste Ihrer betroffenen Systeme mit Priorität.
- Umsetzung der Empfehlung: Wir patchen, starten neu oder setzen Übergangsmaßnahmen, bis das Update möglich ist.
- Nachweis: Sie erhalten eine Dokumentation, was wann auf welchem Server geschehen ist.
- Beobachtung: Ändert das BSI die Einstufung oder kommen neue Meldungen, ordnen wir sie für Ihre Systeme ein.
Mehr dazu unter PHP2Shell-Soforthilfe.
Fazit
Warnstufe Orange ist die zweithöchste Stufe des BSI und für PHP2Shell gut begründet. Sie verlangt keine Panik, aber eine Entscheidung am selben Tag: patchen, neu starten, prüfen oder vorübergehend abschalten. Wer das dokumentiert, hat die Warnung richtig gelesen.
Häufige Fragen
Wie viele Warnstufen hat das BSI?
Die Cyber-Sicherheitswarnungen des BSI nutzen vier Stufen: 1 / Grau, 2 / Gelb, 3 / Orange und 4 / Rot. Orange ist die zweithöchste Stufe und beschreibt eine geschäftskritische IT-Bedrohungslage mit massiver Beeinträchtigung des Regelbetriebs.
Ist Warnstufe Orange eine Pflicht zum Handeln?
Die Warnung selbst ist eine fachliche Einschätzung mit Handlungsempfehlungen. Welche Pflichten sich daraus für Ihr Unternehmen ergeben, etwa aus NIS2, Verträgen oder Versicherungsbedingungen, hängt vom Einzelfall ab. Klären Sie das mit Ihrer Rechtsberatung; dies ist keine Rechtsberatung.
Warum ist PHP2Shell nicht Stufe Rot?
Die Gründe für eine Einstufung legt das BSI selbst fest. Auffällig ist ein Unterschied zu Log4Shell, das 2021 Rot erhielt: Dort waren laut damaligen Berichten bereits Kompromittierungen bekannt. Bei PHP2Shell waren bestätigte erfolgreiche Angriffe in der Breite laut BSI zunächst nicht bekannt.
Kann die Warnstufe sich ändern?
Ja. Das BSI passt Einstufungen an die Lage an, nach oben wie nach unten. Log4Shell wurde zum Beispiel laut Bundestag im Januar 2022 von Rot auf Gelb herabgestuft. Prüfen Sie den aktuellen Stand direkt beim BSI.