# Ratgeber: PHP- und Server-Sicherheit > Ratgeber zu PHP-Sicherheit: Webshells, Backdoors, php.ini, SQL-Injection, XSS, Uploads, Logs, Backups und Sicherheits-Header. Quelle: https://phpsos.de/ratgeber/ Stand: 25.10.2026 Anbieter: PHP SOS, PHP-Notfallhilfe und Server-Sicherheit. Soforthilfe per WhatsApp: https://wa.me/491736494914?text=Hallo%20PHP%20SOS%2C%20wir%20brauchen%20Hilfe%20mit%20unserem%20PHP-Server.%20Firma%3A%20%E2%80%A6%20Website%3A%20%E2%80%A6 Fachartikel für Admins und Entwickler: Webshells erkennen, php.ini härten, Logs auswerten, sicher programmieren. - [PHP2Shell-Zeitlinie: Chronologie vom 17. bis 25. Oktober 2026](https://phpsos.de/ratgeber/php2shell-chronologie/): Alle belegten Daten zu PHP2Shell in einer Übersicht, vom ersten beobachteten Angriffsversuch bis zum Stand 25.10.2026, und was daraus für Ihre Prüfung folgt. - [Hoster-PHP-Update-Bestätigung: So fragen Sie nach dem Patch-Status](https://phpsos.de/ratgeber/hoster-patch-status-erfragen/): Eine angezeigte PHP-Version beweist nach PHP2Shell wenig. Mit dieser Vorlage fordern Sie bei Ihrem Hoster eine Bestätigung an, die Sie dokumentieren können. - [Webshell erkennen und entfernen](https://phpsos.de/ratgeber/webshell-erkennen/): Wie Sie Hintertüren auf PHP-Webservern aufspüren, ohne Spuren zu zerstören, und warum Löschen allein selten reicht. - [WordPress-Backdoor finden: Hintertüren systematisch aufspüren](https://phpsos.de/ratgeber/backdoor-wordpress-finden/): Wo sich Hintertüren in WordPress typischerweise verstecken und wie Admins sie mit WP-CLI und wenigen Befehlen systematisch aufspüren. - [php.ini sicher konfigurieren](https://phpsos.de/ratgeber/php-ini-sicher-konfigurieren/): Welche Einstellungen in der php.ini die Angriffsfläche verkleinern, wie Sie sie gegen Überschreiben schützen und was nach PHP2Shell zusätzlich gilt. - [PHP disable_functions richtig einsetzen](https://phpsos.de/ratgeber/disable-functions/): Mit disable_functions sperren Sie riskante PHP-Funktionen. Wie Sie die Liste passend zu Ihrer Anwendung festlegen, ohne die Website lahmzulegen. - [open_basedir und Isolation pro Website](https://phpsos.de/ratgeber/open-basedir/): Wie Sie mit open_basedir, eigenen Systembenutzern und getrennten PHP-FPM-Pools verhindern, dass ein Einbruch in eine Website alle anderen auf dem Server trifft. - [Dateirechte auf dem Webserver](https://phpsos.de/ratgeber/dateirechte-webserver/): Warum der Webserver seinen eigenen Code nicht ändern darf, welche Rechte für Dateien und Ordner sinnvoll sind und wie Sie den Ist-Zustand schnell prüfen. - [composer audit: Abhängigkeiten auf Lücken prüfen](https://phpsos.de/ratgeber/composer-abhaengigkeiten-pruefen/): Wie Entwickler mit composer audit bekannte Sicherheitslücken in Bibliotheken finden, die Prüfung automatisieren und typische Fehler im Deployment vermeiden. - [PHP-End-of-Life: Risiken veralteter Versionen](https://phpsos.de/ratgeber/php-end-of-life-risiken/): Was das Supportende einer PHP-Version bedeutet, welche Zweige nach PHP2Shell noch offizielle Patches erhalten und wie Sie die Migration planbar machen. - [SQL-Injection in PHP verhindern](https://phpsos.de/ratgeber/sql-injection-php/): Wie Entwickler SQL-Injection in PHP-Anwendungen mit Prepared Statements, Whitelists und minimalen Datenbankrechten zuverlässig ausschließen. - [XSS in PHP verhindern: Cross-Site-Scripting sicher abwehren](https://phpsos.de/ratgeber/xss-php/): Wie Entwickler Cross-Site-Scripting in PHP-Anwendungen verhindern: kontextgerechte Kodierung, Auto-Escaping in Templates, Bereinigung von HTML und eine Content Security Policy. - [Datei-Uploads in PHP sicher umsetzen: PHP-Upload-Sicherheit](https://phpsos.de/ratgeber/datei-upload-sicher/): Upload-Formulare sind ein häufiger Weg für Webshells. So prüfen Sie Dateitypen richtig, speichern Dateien sicher und verhindern, dass der Server hochgeladene Skripte ausführt. - [Sessions in PHP absichern: PHP-Session-Sicherheit in der Praxis](https://phpsos.de/ratgeber/session-sicherheit-php/): Sessions halten Nutzer angemeldet und sind damit ein lohnendes Ziel. So konfigurieren Sie Cookies, Session-IDs und Speicherorte sicher und setzen den PHP2Shell-Hinweis zum Upload-Progress um. - [Unsichere Deserialisierung in PHP: unserialize und Sicherheit](https://phpsos.de/ratgeber/deserialisierung-php/): unserialize() mit fremden Daten kann im schlimmsten Fall zur Codeausführung führen. So ersetzen Sie es durch JSON, schränken es ein, wo es bleiben muss, und finden riskante Stellen im Code. - [Local File Inclusion in PHP verhindern: LFI und RFI](https://phpsos.de/ratgeber/lfi-rfi/): Wenn include oder require Pfade aus der Anfrage übernehmen, können Angreifer fremde Dateien laden. So bauen Sie Seitenauswahl und Vorlagen sicher und sichern den Server zusätzlich ab. - [Admin-Logins gegen Brute Force schützen: Brute-Force-Schutz für jedes Login](https://phpsos.de/ratgeber/brute-force-login-schutz/): Automatisierte Passwortversuche treffen jede erreichbare Anmeldeseite. So bremsen Sie Angreifer mit Rate-Limiting und Fail2ban, schützen Konten mit zweitem Faktor und speichern Passwörter richtig. - [DDoS oder Hackerangriff? Angriffe richtig einordnen](https://phpsos.de/ratgeber/ddos-oder-exploit/): Langsame Website, hohe Last, seltsame Dateien: Ob ein DDoS oder ein Einbruch dahintersteckt, entscheidet über die richtige Reaktion. So ordnen Sie die Lage mit wenigen Prüfungen ein. - [Webserver-Logs nach einem Angriff auswerten: Access-Log richtig lesen](https://phpsos.de/ratgeber/logfiles-auswerten/): Logdateien sind nach einem Angriff oft die wichtigste Spur. So sichern Sie Access-, Error- und PHP-Logs richtig, finden auffällige Anfragen und vermeiden typische Fehler bei der Auswertung. - [Zwei-Faktor-Authentifizierung für Admin-Zugänge einrichten](https://phpsos.de/ratgeber/zwei-faktor-admin/): Ein gestohlenes Passwort darf nicht reichen, um Ihren Server oder Shop zu übernehmen. So wählen Sie das passende Verfahren, sichern alle Admin-Zugänge ab und planen Notfallzugänge. - [Backup-Strategie für Server: Backups nach der 3-2-1-Regel](https://phpsos.de/ratgeber/backups-3-2-1/): Ein Backup hilft nur, wenn es einen Angriff übersteht und sich zurückspielen lässt. So setzen Sie die 3-2-1-Regel für Webserver um und planen Aufbewahrung und Tests richtig. - [Security Header für Websites: Sicherheits-Header richtig setzen](https://phpsos.de/ratgeber/sicherheits-header/): Sicherheits-Header weisen den Browser an, Ihre Besucher besser zu schützen. So setzen Sie die wichtigsten Header in Nginx und Apache, führen eine Content-Security-Policy schrittweise ein und prüfen das Ergebnis. - [Google-Warnung „Diese Website wurde gehackt“ entfernen](https://phpsos.de/ratgeber/google-warnung-entfernen/): Eine Hack-Warnung in den Suchergebnissen kostet Besucher und Vertrauen. So bereinigen Sie die Website gründlich, finden versteckte Spam-Seiten und beantragen die Überprüfung in der Search Console. - [Checkliste nach einem Hack: 20 Punkte für die Nachbereitung](https://phpsos.de/ratgeber/checkliste-nach-dem-hack/): Nach einem Angriff zählt die richtige Reihenfolge. Diese Checkliste führt in 20 Punkten durch Eindämmung, Beweissicherung, Bereinigung, neue Zugänge, Pflichten und den dokumentierten Abschluss.