Kurz gesagt: Für die IT-Sicherheit einer Hausverwaltung zählen vor allem die Systeme, über die Mieter und Eigentümer Daten einreichen: Portale, Schadensmeldungen und Bewerbungsformulare für Wohnungen. Klären Sie, welche davon auf Ihrem eigenen Server laufen, lassen Sie den PHP-Patch bestätigen und halten Sie einen Ersatzweg für dringende Schadensmeldungen bereit.
Welche PHP-Systeme Hausverwaltungen und Makler nutzen
Viele Verwaltungen arbeiten mit einer Branchensoftware für Objekte, Mieten und Nebenkosten. Nach außen kommen weitere Systeme hinzu: Mieter- und Eigentümerportale mit Dokumentenablage, Online-Formulare für Schadensmeldungen mit Foto-Upload, Wohnungsangebote mit Interessentenformular und Mieterselbstauskunft, Bereiche für Eigentümerversammlungen mit Protokollen und Beschlüssen.
Ein Teil davon wird als Dienst des Softwareanbieters betrieben, ein anderer läuft auf der eigenen Website, oft WordPress mit Immobilien-Plugins. Für PHP2Shell ist genau diese Unterscheidung entscheidend.
Dazu kommen Schnittstellen, die im Alltag kaum jemand bemerkt: Immobilienangebote werden automatisch aus der Branchensoftware auf die Website und an Immobilienportale übertragen, Zählerstände kommen von Messdienstleistern, Handwerkeraufträge laufen über eigene Formulare. Jede dieser Verbindungen braucht Zugangsdaten, die häufig auf dem Webserver hinterlegt sind. Nach einem Vorfall müssen sie alle erneuert werden, sonst bleibt dem Angreifer eine Hintertür in angrenzende Systeme.
Welche Daten Mieter und Eigentümer anvertrauen
In einer Hausverwaltung liegen Mietverträge, Kontoverbindungen für Lastschriften, Nebenkostenabrechnungen, Zählerstände, Schriftwechsel zu Mängeln und Streitfällen sowie Fotos aus Wohnungen. Bei Interessenten kommen Selbstauskünfte mit Einkommensnachweisen, Ausweiskopien und Bonitätsauskünften hinzu. In Eigentümerportalen finden sich Beschlüsse, Rücklagen und teils Informationen zu Schließanlagen.
Für Angreifer sind diese Daten aus zwei Gründen interessant: Sie ermöglichen Identitätsmissbrauch, und sie liefern alles, was man für glaubwürdige Betrugsmails braucht, etwa eine angebliche neue Kontoverbindung für die Miete. Hochgeladene Dateien sind zudem ein typischer Angriffsweg. Wie Uploads sicher umgesetzt werden, erklärt der Ratgeber Datei-Uploads in PHP.
Hausverwaltung und IT-Sicherheit: was ein Vorfall bedeutet
Fällt das Portal aus, fehlt der Kanal für dringende Meldungen wie Wasserschäden oder Heizungsausfälle. Das erzeugt Druck auf Telefon und Notdienst, ist aber planbar. Gefährlicher ist ein unbemerkter Angriff:
- Mieter erhalten gefälschte Zahlungsaufforderungen mit fremder IBAN, die echte Vertragsdaten nennen.
- Selbstauskünfte von Wohnungsbewerbern werden kopiert und für Betrug genutzt.
- Eigentümer verlieren das Vertrauen in die Verwaltung, was bei der nächsten Versammlung zum Thema wird.
Liegen Hinweise auf einen Datenabfluss vor, kann eine Meldung an die Aufsichtsbehörde nach der 72-Stunden-Regel der DSGVO erforderlich sein. Die Bewertung treffen Sie mit Ihrem Datenschutzbeauftragten.
Bestätigt niemand, dass PHP auf dem Server Ihres Portals gepatcht und neu gestartet ist, nehmen Sie das Portal vom Netz. Leiten Sie Schadensmeldungen vorübergehend auf Telefon und Notdienst um.
Die typische Zuständigkeitslücke
| System | Betrieb | Wer patcht PHP |
|---|---|---|
| Branchensoftware im Büro | IT-Betreuer | meist nicht betroffen |
| Portal als Dienst des Anbieters | Softwareanbieter | Anbieter, Bestätigung anfordern |
| Portal auf eigenem Server | Hoster oder Dienstleister | laut Vertrag, oft ungeklärt |
| Website mit Wohnungsangeboten | Agentur und Hoster | Hoster bei Webhosting |
Hinzu kommt, dass in kleineren Verwaltungen niemand die Gesamtsicht hat. Die Agentur kennt die Website, der IT-Betreuer die Büro-PCs, der Softwareanbieter sein Portal.
Eigentümer, Beiräte und Mieter richtig einbinden
In der WEG-Verwaltung sind Eigentümer und Verwaltungsbeiräte nicht nur Betroffene, sondern auch Auftraggeber. Sie erwarten zu Recht, dass die Verwaltung bei einem Vorfall offen und belegbar berichtet. Ein kurzer Bericht mit Ursache, betroffenen Systemen, ergriffenen Maßnahmen und offenem Stand ist besser als Schweigen bis zur nächsten Versammlung.
Mieter brauchen vor allem praktische Hinweise: welcher Meldeweg gerade gilt, dass sich Kontoverbindungen nicht per Mail ändern und an wen sie verdächtige Nachrichten weitergeben können. Abgestimmte Texte verhindern, dass Hausmeister, Sachbearbeitung und Buchhaltung unterschiedliche Auskünfte geben.
Die ersten Stunden für die Geschäftsführung
- Alle Portale und Formulare auflisten und für jedes klären, wo es läuft.
- Patchstand auf 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 bzw. Backport und Neustart schriftlich bestätigen lassen.
- Logs ab dem 20.10.2026 sichern, Upload-Verzeichnisse auf unbekannte Dateien prüfen lassen.
- Mitarbeiterkonten der Portale prüfen und nach der Bereinigung mit Zwei-Faktor-Anmeldung absichern.
- Mieter vorsorglich darauf hinweisen, dass sich Kontoverbindungen nicht per Mail ändern.
Wie hilft PHP SOS konkret?
- Wir erfassen Ihre Portale und Formulare und klären mit Anbieter, Agentur und Hoster die Zuständigkeiten.
- Wir prüfen Patchstand und Neustart und untersuchen Upload-Ordner und Datenbanken auf Webshells.
- Bei einem Befall bereinigen wir im Rahmen der Notfallhilfe bei gehackten Websites und dokumentieren den Vorfall für Datenschutzbeauftragten und Versicherer.
- Mit einem Security-Wartungsvertrag bleibt PHP auf Ihren Servern dauerhaft aktuell und überwacht.
Häufige Fragen
Unser Mieterportal ist eine Software eines Anbieters. Sind wir betroffen?
Läuft das Portal als Dienst beim Anbieter, ist dieser für Server und PHP zuständig. Fragen Sie dort schriftlich nach dem Stand. Läuft dieselbe Software auf Ihrem eigenen Server oder bei Ihrem Hoster, liegen Patch und Neustart bei Ihnen oder Ihrem Dienstleister.
Welche Daten aus der Mieterselbstauskunft sind besonders heikel?
Einkommensnachweise, Kopien von Ausweisen, Bonitätsauskünfte und Angaben zum Arbeitgeber eignen sich für Identitätsmissbrauch und Betrug. Sie sollten nur so lange gespeichert werden, wie es für die Vermietung nötig ist. Wie lange das ist, klären Sie mit Ihrem Datenschutzbeauftragten.
Wie verhindern wir gefälschte Zahlungsaufforderungen an Mieter?
Teilen Sie Mietern mit, dass sich Ihre Kontoverbindung nicht per Mail oder Portalnachricht ändert, ohne dass Sie es auf einem zweiten Weg bestätigen. Nach einem Vorfall sollten Sie Mieter aktiv warnen. Technisch helfen Härtung der Portale und Zwei-Faktor-Anmeldung für Mitarbeiterkonten.