Ratgeber: PHP- und Server-Sicherheit
Fachartikel für Admins und Entwickler: Webshells erkennen, php.ini härten, Logs auswerten, sicher programmieren.
PHP2Shell-Zeitlinie: Chronologie vom 17. bis 25. Oktober 2026
Alle belegten Daten zu PHP2Shell in einer Übersicht, vom ersten beobachteten Angriffsversuch bis zum Stand 25.10.2026, und was daraus für Ihre Prüfung folgt.
Weiterlesen →02Hoster-PHP-Update-Bestätigung: So fragen Sie nach dem Patch-Status
Eine angezeigte PHP-Version beweist nach PHP2Shell wenig. Mit dieser Vorlage fordern Sie bei Ihrem Hoster eine Bestätigung an, die Sie dokumentieren können.
Weiterlesen →03Webshell erkennen und entfernen
Wie Sie Hintertüren auf PHP-Webservern aufspüren, ohne Spuren zu zerstören, und warum Löschen allein selten reicht.
Weiterlesen →04WordPress-Backdoor finden: Hintertüren systematisch aufspüren
Wo sich Hintertüren in WordPress typischerweise verstecken und wie Admins sie mit WP-CLI und wenigen Befehlen systematisch aufspüren.
Weiterlesen →05php.ini sicher konfigurieren
Welche Einstellungen in der php.ini die Angriffsfläche verkleinern, wie Sie sie gegen Überschreiben schützen und was nach PHP2Shell zusätzlich gilt.
Weiterlesen →06PHP disable_functions richtig einsetzen
Mit disable_functions sperren Sie riskante PHP-Funktionen. Wie Sie die Liste passend zu Ihrer Anwendung festlegen, ohne die Website lahmzulegen.
Weiterlesen →07open_basedir und Isolation pro Website
Wie Sie mit open_basedir, eigenen Systembenutzern und getrennten PHP-FPM-Pools verhindern, dass ein Einbruch in eine Website alle anderen auf dem Server trifft.
Weiterlesen →08Dateirechte auf dem Webserver
Warum der Webserver seinen eigenen Code nicht ändern darf, welche Rechte für Dateien und Ordner sinnvoll sind und wie Sie den Ist-Zustand schnell prüfen.
Weiterlesen →09composer audit: Abhängigkeiten auf Lücken prüfen
Wie Entwickler mit composer audit bekannte Sicherheitslücken in Bibliotheken finden, die Prüfung automatisieren und typische Fehler im Deployment vermeiden.
Weiterlesen →10PHP-End-of-Life: Risiken veralteter Versionen
Was das Supportende einer PHP-Version bedeutet, welche Zweige nach PHP2Shell noch offizielle Patches erhalten und wie Sie die Migration planbar machen.
Weiterlesen →11SQL-Injection in PHP verhindern
Wie Entwickler SQL-Injection in PHP-Anwendungen mit Prepared Statements, Whitelists und minimalen Datenbankrechten zuverlässig ausschliessen.
Weiterlesen →12XSS in PHP verhindern: Cross-Site-Scripting sicher abwehren
Wie Entwickler Cross-Site-Scripting in PHP-Anwendungen verhindern: kontextgerechte Kodierung, Auto-Escaping in Templates, Bereinigung von HTML und eine Content Security Policy.
Weiterlesen →13Datei-Uploads in PHP sicher umsetzen: PHP-Upload-Sicherheit
Upload-Formulare sind ein häufiger Weg für Webshells. So prüfen Sie Dateitypen richtig, speichern Dateien sicher und verhindern, dass der Server hochgeladene Skripte ausführt.
Weiterlesen →14Sessions in PHP absichern: PHP-Session-Sicherheit in der Praxis
Sessions halten Nutzer angemeldet und sind damit ein lohnendes Ziel. So konfigurieren Sie Cookies, Session-IDs und Speicherorte sicher und setzen den PHP2Shell-Hinweis zum Upload-Progress um.
Weiterlesen →15Unsichere Deserialisierung in PHP: unserialize und Sicherheit
unserialize() mit fremden Daten kann im schlimmsten Fall zur Codeausführung führen. So ersetzen Sie es durch JSON, schränken es ein, wo es bleiben muss, und finden riskante Stellen im Code.
Weiterlesen →16Local File Inclusion in PHP verhindern: LFI und RFI
Wenn include oder require Pfade aus der Anfrage übernehmen, können Angreifer fremde Dateien laden. So bauen Sie Seitenauswahl und Vorlagen sicher und sichern den Server zusätzlich ab.
Weiterlesen →17Admin-Logins gegen Brute Force schützen: Brute-Force-Schutz für jedes Login
Automatisierte Passwortversuche treffen jede erreichbare Anmeldeseite. So bremsen Sie Angreifer mit Rate-Limiting und Fail2ban, schützen Konten mit zweitem Faktor und speichern Passwörter richtig.
Weiterlesen →18DDoS oder Hackerangriff? Angriffe richtig einordnen
Langsame Website, hohe Last, seltsame Dateien: Ob ein DDoS oder ein Einbruch dahintersteckt, entscheidet über die richtige Reaktion. So ordnen Sie die Lage mit wenigen Prüfungen ein.
Weiterlesen →19Webserver-Logs nach einem Angriff auswerten: Access-Log richtig lesen
Logdateien sind nach einem Angriff oft die wichtigste Spur. So sichern Sie Access-, Error- und PHP-Logs richtig, finden auffällige Anfragen und vermeiden typische Fehler bei der Auswertung.
Weiterlesen →20Zwei-Faktor-Authentifizierung für Admin-Zugänge einrichten
Ein gestohlenes Passwort darf nicht reichen, um Ihren Server oder Shop zu übernehmen. So wählen Sie das passende Verfahren, sichern alle Admin-Zugänge ab und planen Notfallzugänge.
Weiterlesen →21Backup-Strategie für Server: Backups nach der 3-2-1-Regel
Ein Backup hilft nur, wenn es einen Angriff übersteht und sich zurückspielen lässt. So setzen Sie die 3-2-1-Regel für Webserver um und planen Aufbewahrung und Tests richtig.
Weiterlesen →22Security Header für Websites: Sicherheits-Header richtig setzen
Sicherheits-Header weisen den Browser an, Ihre Besucher besser zu schützen. So setzen Sie die wichtigsten Header in Nginx und Apache, führen eine Content-Security-Policy schrittweise ein und prüfen das Ergebnis.
Weiterlesen →23Google-Warnung „Diese Website wurde gehackt“ entfernen
Eine Hack-Warnung in den Suchergebnissen kostet Besucher und Vertrauen. So bereinigen Sie die Website gründlich, finden versteckte Spam-Seiten und beantragen die Überprüfung in der Search Console.
Weiterlesen →24Checkliste nach einem Hack: 20 Punkte für die Nachbereitung
Nach einem Angriff zählt die richtige Reihenfolge. Diese Checkliste führt in 20 Punkten durch Eindämmung, Beweissicherung, Bereinigung, neue Zugänge, Pflichten und den dokumentierten Abschluss.
Weiterlesen →Jede Stunde zählt. Schreiben Sie uns jetzt.
Schildern Sie kurz System, PHP-Version und Beobachtung. Wir melden uns, klären die Lage und arbeiten remote, bis der Vorfall abgeschlossen und dokumentiert ist.