Kurz gesagt: Eine Webshell ist eine kleine Datei, über die ein Fremder Ihren Server fernsteuern kann. Wer eine gefunden hat, ist sehr wahrscheinlich betroffen und sollte sich sofort melden. Nicht löschen, nicht aufrufen, erst sichern. Wir klären remote, wie sie auf den Server kam, ob es weitere Zugänge gibt, und bereinigen den Server.
Jetzt nichts löschen und nichts neu aufsetzen. Auch die Webshell selbst bleibt zunächst liegen, damit sie gesichert werden kann. Sind Sie betroffen? Rufen Sie an oder schreiben Sie per WhatsApp, oder melden Sie den Fund über Notfall melden.
Sie haben eine Webshell gefunden: Was bedeutet das?
Eine Webshell ist ein PHP-Skript (oder ein Skript in einer anderen Serversprache), das Befehle von aussen entgegennimmt. Damit können Angreifer Dateien lesen, Daten herunterladen, Schadcode nachladen und weitere Systeme erreichen. Die Datei ist deshalb selten das Ziel des Angriffs. Sie ist die Hintertür, die ein Einbrecher hinterlässt, damit er wiederkommt.
Das hat zwei Folgen. Erstens: Jemand hatte schon Schreibzugriff auf Ihren Server oder konnte Code ausführen. Zweitens: Die gefundene Datei ist wahrscheinlich nicht die einzige. Dazu kommt, was man oft nicht weiss: Seit wann liegt sie dort und was wurde in der Zwischenzeit damit getan?
Woran Sie eine Webshell erkennen
- eine PHP-Datei in einem Ordner, in dem keine liegen sollte, etwa Uploads, Cache, Bilder oder temporäre Verzeichnisse
- Dateinamen, die wie Systemdateien aussehen, aber nicht zu Ihrer Software gehören, oder Namen mit doppelter Endung
- unleserlicher Code mit langen Zeichenketten, Kodierung und Funktionen zum Ausführen von Befehlen, siehe Verschleierten PHP-Code erkennen
- ein Änderungsdatum, das nicht zu Ihren Updates passt
- Zugriffe auf diese Datei in den Logs, oft von fremden Adressen und mit POST-Anfragen
- Webserver-Prozesse, die eine Shell starten, wie unter Warnsignal: Der Webserver startet eine Shell beschrieben
Wie Sie Fundstellen richtig deuten, steht unter PHP-Dateien im Upload-Ordner und ausführlich unter Webshells erkennen und entfernen.
Was Sie jetzt sofort tun
- Datei nicht aufrufen und nicht ausführen. Keine Tests im Browser.
- Nicht löschen und nicht verschieben. Verändern Sie weder Inhalt noch Zeitstempel.
- Notieren: vollständiger Pfad, Dateiname, Fundzeitpunkt, wer sie entdeckt hat und womit.
- Datei und Metadaten sichern: Eine Kopie mit Besitzer, Rechten und Zeitstempeln. Lesende Prüfbefehle genügen, zum Beispiel:
bash
stat /pfad/zur/datei.php
sha256sum /pfad/zur/datei.php
- Logs aufbewahren: Zugriffs- und Fehlerprotokolle von Webserver und PHP nicht überschreiben lassen. Die Fachpresse rät, Server-Logs ab dem 20.10.2026 aufzubewahren.
- Server abschotten, wenn nötig: Wenn Sie vermuten, dass Daten abfliessen, nehmen Sie die Seite vom Netz. Wie Sie dabei Beweise erhalten, beschreibt Beweise sichern, bevor Sie neu aufsetzen.
- Uns informieren, bevor Passwörter geändert oder Dateien bereinigt werden.
Wie hilft PHP SOS konkret?
- Lage aufnehmen: Was wurde gefunden, wo, wann und von wem? Welche Systeme liegen auf demselben Server?
- Sichern und schliessen: Wir sichern den Fund, Dateien, Datenbank und Logs und sperren Zugänge, die verdächtig wirken.
- Prüfen und bereinigen: Wir suchen nach weiteren Webshells, geänderten Kerndateien, versteckten Cronjobs, fremden Admin-Konten und unbekannten SSH-Schlüsseln, und entfernen sie. Das Vorgehen entspricht der Leistung Malware und Webshells entfernen.
- Härten und berichten: Wir benennen das wahrscheinliche Einfallstor, schliessen es und sichern den Server ab. Sie erhalten eine Dokumentation mit Funden und Zeitleiste.
Wie kam die Webshell auf den Server?
Typische Wege sind veraltete Plugins oder Erweiterungen, unsichere Datei-Uploads, gestohlene Zugangsdaten und Lücken in der Software des Servers. Seit der Veröffentlichung von PHP2Shell kommt eine weitere Möglichkeit hinzu: PHP ohne die Fixes aus 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 kann aus der Ferne zur Ausführung von Code missbraucht werden. Bestätigte Indicators of Compromise gibt es dazu nicht, die Erkennung beruht auf Verhalten. Ob der Einstieg bei Ihnen über PHP2Shell oder einen anderen Weg lief, lässt sich nur aus den Spuren ableiten, und wir kennzeichnen, was belegt und was Vermutung ist. Wie Logs dabei helfen, zeigt Webserver-Logs auswerten.
Ein Patch entfernt dabei keine vorhandene Webshell. Auch der Schutz gegen künftige Funde gehört dazu: PHP-Ausführung in Upload-Ordnern verbieten verhindert viele Fälle. Bedenken Sie ausserdem die Grenzen von Malware-Scannern: Ein Scan ohne Fund ist kein Entwarnungssignal.
Wenn Sie wissen müssen, was genau geschehen ist, etwa für Versicherer oder Behörden, kann eine IT-Forensik sinnvoll sein.
Und wenn die Webshell nach dem Löschen wiederkommt?
Das passiert häufig und hat meist zwei Gründe. Entweder gibt es mindestens eine weitere Hintertür, die den Fund neu anlegt, oder das Einfallstor ist weiter offen und der Angreifer kommt einfach erneut. Beides lässt sich nicht durch wiederholtes Löschen lösen. Wir suchen deshalb nach der Gesamtheit der Veränderungen: neue und geänderte Dateien, Einträge in Datenbank und Konfiguration, geplante Aufgaben, Konten. Eine Liste der kürzlich geänderten Dateien ist dabei ein sinnvoller Anfang, ersetzt aber nicht die Prüfung durch Fachleute.
Was Sie uns schicken sollten
- Pfad und Name der Datei, möglichst als Kopie mit Zeitstempeln (Übergabeweg stimmen wir ab)
- Ausschnitte aus den Zugriffslogs rund um diese Datei, wenn Sie Zugang haben
- Serverart, Hoster, PHP-Version und Betriebsart, falls bekannt
- welche Websites und Anwendungen auf dem Server laufen
- wann zuletzt Updates, Uploads oder Änderungen stattfanden
Warum PHP SOS
Wir arbeiten Made in Germany und seit über 25 Jahren mit unserem Partnernetzwerk aus Cyber-Profis auf IT-Sicherheit spezialisiert. Ein Ansprechpartner führt Sie durch den Vorfall. Wir arbeiten remote ohne Anfahrt in ganz Schweiz und Europa, dokumentieren jeden Schritt und machen keine Versprechen, die niemand halten kann. Wir bleiben dran, bis der Vorfall abgeschlossen und dokumentiert ist.
Sind Sie betroffen? Rufen Sie an. Wir helfen.
Eine gefundene Webshell ist ein Warnzeichen, das Sie ernst nehmen sollten. Melden Sie sich jetzt, per Anruf oder WhatsApp, und wir übernehmen ab der ersten Nachricht. Jetzt Notfall melden
Häufige Fragen
Ich habe eine Webshell gefunden. Darf ich die Datei einfach löschen?
Bitte nicht als Erstes. Die Datei zeigt, wann und womit der Angreifer gekommen ist. Sichern Sie sie zuerst samt Zeitstempeln und Besitzer, dann wird sie gezielt entfernt. Wer nur löscht, lässt meist weitere Zugänge zurück.
Soll ich die verdächtige Datei im Browser aufrufen, um zu sehen, was sie tut?
Nein. Ein Aufruf kann den Schadcode ausführen und weitere Spuren verwischen. Prüfen Sie die Datei nur lesend und am besten auf einer Kopie.
Reicht ein Malware-Scanner, um alle Webshells zu finden?
Nicht zuverlässig. Scanner erkennen bekannte Muster, aber verschleierte oder neu gebaute Webshells entgehen ihnen. Ein sauberer Scan beweist nicht, dass nichts mehr da ist.
Woher weiss ich, wie lange die Webshell schon auf dem Server liegt?
Hinweise geben Änderungsdatum, Zugriffs- und Fehlerlogs sowie Vergleiche mit anderen neuen Dateien. Zeitstempel lassen sich aber fälschen. Deshalb bewerten wir mehrere Quellen und kennzeichnen, was belegt und was Vermutung ist.
Muss ich den Fund melden?
Sobald personenbezogene Daten betroffen sein könnten, kann eine Meldung an die Aufsichtsbehörde nötig sein. Dazu beraten Datenschutzbeauftragte oder Anwälte; wir liefern die technischen Fakten.