Kurz gesagt: Einen IT-Sicherheitsdienstleister zu beauftragen lohnt sich, wenn Anzeichen eines Einbruchs vorliegen, alte PHP-Versionen ohne offizielles Update laufen, intern Zeit oder Fachwissen fehlen oder rechtliche Fragen berührt sind. Liegt Ihre Website bei einem Hoster, der Patch und Neustart schriftlich bestätigt, oder kann Ihre eigene IT einen unterstützten PHP-Stand selbst aktualisieren und kontrollieren, brauchen Sie für PHP2Shell oft keine externe Hilfe.
Die Frage, die sich viele gerade stellen
In der Woche nach dem 21.10.2026 haben viele Unternehmen zum ersten Mal genauer hingesehen, wer eigentlich ihre Webserver betreut. Das Ergebnis war oft ernüchternd: Die Agentur ist für Inhalte zuständig, der Hoster für die Hardware, und die PHP-Version auf dem alten vServer kennt niemand genau.
Gleichzeitig gilt: Nicht jede Firma braucht in dieser Lage einen Sicherheitsdienstleister. Wer ehrlich prüft, was intern geht, spart Geld und behält die Kontrolle. Wer sich überschätzt, riskiert, dass ein Einbruch unentdeckt bleibt. Dieser Beitrag hilft bei der Einordnung, ohne Ihnen etwas verkaufen zu wollen, das Sie nicht brauchen.
Selbst beheben oder IT-Sicherheitsdienstleister beauftragen: die Kriterien
| Kriterium | Selbst beheben | Dienstleister beauftragen |
|---|---|---|
| Hosting-Modell | Shared Hosting oder Managed mit bestätigtem Patch | Eigener Server ohne Betreuung, unklare Zuständigkeit |
| PHP-Version | 8.2 bis 8.5, offizielles Update oder Distributions-Backport verfügbar | 8.1 oder älter, nur Quell-Backports oder Drittquellen |
| Anzahl der Systeme | Eine oder wenige Websites, gut dokumentiert | Viele Server, gemischte Umgebungen, Container |
| Interne Kompetenz | Admin mit Serverrechten, Erfahrung mit Paketverwaltung und Neustarts | Niemand mit Zugang oder Erfahrung verfügbar |
| Anzeichen eines Einbruchs | Keine Auffälligkeiten nach Prüfung | Unbekannte Dateien, Prozesse, Konten oder Verbindungen |
| Personenbezogene Daten | Keine sensiblen Daten auf dem System | Kundendaten, Gesundheits- oder Zahlungsdaten |
| Versicherung und Meldepflichten | Keine Berührung | Versicherer oder Datenschutz müssen eingebunden werden |
| Nachweisbedarf | Interne Notiz genügt | Bericht für Geschäftsführung, Audit oder Versicherer nötig |
Wenn in Ihrer Situation mehrere Zeilen in der rechten Spalte zutreffen, spricht viel für externe Hilfe. Trifft nur die rechte Spalte bei „Nachweisbedarf“ zu, reicht oft eine gezielte Unterstützung bei der Dokumentation.
Ein Selbsttest in sieben Fragen
Beantworten Sie die Fragen mit Ja oder Nein. Jedes Nein ist ein Hinweis, wo Sie Hilfe brauchen könnten.
- Wissen Sie für jede Website, auf welchem Server und mit welcher PHP-Version sie läuft?
- Können Sie belegen, dass dieser Stand gegen CVE-2026-109618 und CVE-2026-109619 behoben ist, etwa über den Paket-Changelog? Die Anleitung steht unter PHP-Version und Patchstand richtig prüfen.
- Hat jemand im Haus die Rechte und das Wissen, PHP zu aktualisieren und alle Worker neu zu starten?
- Haben Sie für Websites beim Hoster eine schriftliche Bestätigung von Patch und Neustart? Eine Vorlage bietet So fragen Sie Ihren Hoster nach dem Patch-Status.
- Hat jemand nach Auffälligkeiten seit dem 17.10.2026 gesucht, etwa neuen PHP-Dateien in Upload-Ordnern oder unbekannten Cronjobs?
- Sind die Server-Logs ab dem 20.10.2026 gesichert?
- Gibt es eine Person, die über eine vorübergehende Abschaltung entscheiden darf und erreichbar ist?
Sieben Ja bedeuten: Sie sind gut aufgestellt. Ein oder zwei Nein lassen sich oft intern nachholen. Bei drei oder mehr Nein, besonders bei den Fragen 2 und 5, ist externe Unterstützung eine ernsthafte Überlegung.
Wann Sie ausdrücklich keinen Dienstleister brauchen
Es gibt Situationen, in denen wir selbst abraten würden, Geld für externe Hilfe auszugeben. Eine einfache Firmenwebsite bei einem großen Hoster, der den Patch bestätigt hat, ohne Formulare mit sensiblen Daten und ohne Auffälligkeiten, gehört dazu. Ebenso ein eigener Server mit PHP 8.3 oder 8.4, dessen Admin den Distributions-Backport eingespielt, alle Prozesse neu gestartet und die Logs kurz gesichtet hat.
In diesen Fällen ist das Wichtigste eine kurze schriftliche Notiz: Was wurde wann geprüft, mit welchem Ergebnis? Sie hilft bei Rückfragen und bei der nächsten Lage.
Ehrlich gesagt gehört auch dazu, die eigenen Grenzen nicht zu unterschätzen. Ein Update einzuspielen ist für viele Admins Routine. Eine verdächtige Datei richtig zu bewerten, ohne Spuren zu verwischen, ist es meist nicht. Wer beim Patchen etwas Auffälliges findet, sollte an dieser Stelle innehalten, nichts löschen und neu entscheiden, ob er allein weitermacht.
Auch wenn Sie alles selbst erledigen: Legen Sie heute fest, wen Sie anrufen würden, wenn doch etwas auffällt. Im Ernstfall ist das Suchen nach einem Dienstleister verlorene Zeit.
Der Mittelweg: aufteilen statt abgeben
Zwischen „alles selbst“ und „alles abgeben“ liegt die Variante, die in vielen Unternehmen am besten funktioniert. Das eigene Team übernimmt, was es kennt: Updates, Neustarts, Kontakt zum Hoster. Ein Dienstleister übernimmt, was Spezialwissen oder einen unabhängigen Blick braucht, etwa die Prüfung auf Spuren, die Bewertung eines Verdachts oder den Bericht für Versicherer.
Damit das gelingt, müssen Zugänge, Zuständigkeiten und Datenschutz geregelt sein. Greift ein Dienstleister auf Server mit personenbezogenen Daten zu, ist in der Regel ein Vertrag zur Auftragsverarbeitung nötig; Hinweise stehen unter Auftragsverarbeitung, wenn Dienstleister auf Server zugreifen. Wie Sie einen passenden Anbieter finden, beschreibt Einen IT-Sicherheitsdienstleister auswählen.
Wie hilft PHP SOS konkret?
- Wir beginnen mit einer kurzen Bestandsaufnahme und sagen offen, wenn Sie uns nicht brauchen.
- Wir übernehmen gezielt die Teile, die intern fehlen, etwa Prüfung auf Spuren, Altsysteme oder den Nachweis, und lassen den Rest bei Ihrem Team.
- Wir arbeiten remote mit den Zugängen, die Sie freigeben, und dokumentieren jeden Schritt.
- Bei akutem Bedarf übernehmen wir mit der PHP2Shell-Soforthilfe Bestandsaufnahme, Patch, Neustart und Spurensuche vollständig.
Fazit
Die richtige Antwort auf „selbst oder Dienstleister?“ ist selten schwarz oder weiß. Wer seine Systeme kennt, unterstützte PHP-Versionen betreibt und belegen kann, dass gepatcht und neu gestartet wurde, schafft PHP2Shell oft allein. Wer Altsysteme, unklare Stände oder Anzeichen eines Einbruchs hat, sollte nicht zögern, sich Hilfe zu holen.
Häufige Fragen
Wann sollte ich einen IT-Sicherheitsdienstleister beauftragen?
Vor allem, wenn es Anzeichen eines Einbruchs gibt, wenn alte PHP-Versionen ohne offizielles Update laufen, wenn intern niemand mit Serverrechten und Erfahrung verfügbar ist oder wenn personenbezogene Daten und Versicherungsfragen berührt sind.
Kann mein Hoster das nicht einfach erledigen?
Bei Shared Hosting und vielen Managed-Tarifen patcht der Hoster PHP selbst. Lassen Sie sich Patch-Stand und Neustart schriftlich bestätigen. Für Ihre Anwendung, Plugins und eine Prüfung auf Spuren ist der Hoster meist nicht zuständig.
Was sollte ich vorbereiten, bevor ich einen Dienstleister anrufe?
Eine Liste der betroffenen Websites und Server, Zugangswege, Ansprechpartner mit Entscheidungsbefugnis und eine kurze Beschreibung dessen, was Ihnen aufgefallen ist. Löschen oder ändern Sie bis dahin nichts, was Spuren enthalten könnte.
Gibt es einen Mittelweg zwischen selbst machen und alles abgeben?
Ja. Häufig übernimmt das eigene Team die Routine, etwa Updates und Neustarts, während ein Dienstleister die Prüfung auf Spuren, die Bewertung oder die Dokumentation übernimmt. Wichtig ist eine klare Aufteilung, wer was macht.