Kurz gesagt: Sind Sie betroffen? Rufen Sie an. Wir helfen. Im Mittelstand fehlt oft die eigene Security-Abteilung, und genau dafür sind wir da: Wir übernehmen ab der ersten Nachricht remote die Erste Hilfe für Ihre Webserver, sichern Spuren, schließen die Lücke, bereinigen und dokumentieren, bis der Vorfall abgeschlossen ist.
Jetzt nichts löschen und nichts neu aufsetzen. Das gilt auch, wenn der Betrieb drängt und die Website wieder laufen soll. Erst sichern, dann reparieren. Notfall melden, wir sagen Ihnen, was Sie ohne Risiko selbst tun können.
Sind Sie betroffen? Typische Lage im Mittelstand
Wer ein Unternehmen mit 20, 200 oder 800 Beschäftigten führt, hat meist einen oder zwei Menschen für die IT, eine Agentur für die Website und einen Hoster für den Server. Das ist normal, macht aber im Ernstfall Lücken sichtbar. Eine akute Gefährdung liegt nahe, wenn:
- Ihre Website, Ihr Kundenportal oder Ihr Onlineshop auf PHP läuft und niemand sicher weiß, welche Version genau.
- Ein Hoster, ein Kunde oder eine Warnung im Browser Auffälligkeiten meldet.
- Ihr Admin berichtet, dass Dateien oder Konten auf dem Webserver nicht erklärbar sind.
- Sie nicht wissen, welche Systeme überhaupt öffentlich erreichbar sind.
- Der Webserver Zugang zu internen Systemen, Datenbanken oder Dateiablagen hat.
Dass nahezu alle PHP-Versionen betroffen sein können, nennt die Fachpresse als Hintergrund: Laut Berichten sind Versionen bis zurück zu PHP 5.4 betroffen. Wie die Lage im Mittelstand aussieht, beschreibt die Seite IT-Sicherheit für Mittelstand und Industrie.
Was Sie jetzt sofort tun
- Krisenrunde bilden. Geschäftsführung, IT, gegebenenfalls Datenschutz: wenige Personen, ein Entscheider.
- Systeme sammeln. Welche Server, Websites und Portale sind betroffen oder könnten es sein? Eine einfache Liste genügt.
- Nichts verändern. Keine Aufräumaktionen, keine Neuinstallation, keine Rückspielung von Sicherungen.
- Verbindungen prüfen lassen. Hängt der Webserver am internen Netz? Dann kann ein Angriff auf die Website mehr betreffen als nur die Website.
- Hoster und Agentur ansprechen. Bitten Sie beide, Protokolle zu bewahren und Stand und Verantwortlichkeiten zu bestätigen. Wie, steht unter So fragen Sie Ihren Hoster nach dem Patch-Status.
- Zugänge sichern. Passwörter und Schlüssel nur nach Absprache und von sauberen Geräten ändern.
- Melden Sie sich jetzt. Rufen Sie an oder schreiben Sie per WhatsApp.
Erste Hilfe für Webserver: Wie wir im Mittelstand vorgehen
Ein mittelständischer Betrieb kann sich keinen Stillstand leisten, aber auch keinen unkontrollierten Eingriff. Deshalb arbeiten wir in Stufen, die den laufenden Betrieb so wenig wie möglich stören:
- Stufe 1, Abschotten: Wir klären, ob die betroffenen Server vorübergehend eingeschränkt werden müssen. Das BSI empfiehlt bei PHP2Shell, Webserver vom Netz zu nehmen, wenn ein Update nicht sofort möglich ist.
- Stufe 2, Sichern: Wir sichern Logs, Dateien und Datenbanken, damit der Vorfall belegbar bleibt.
- Stufe 3, Beheben: Patch oder Konfiguration, Neustart aller PHP-Prozesse, Schließen unbekannter Zugänge.
- Stufe 4, Prüfen: Wir suchen auf dem System und im Umfeld nach Spuren und Folgeschäden, auch an angrenzenden Servern.
Ein entscheidender Punkt für Entscheider: Ein CMS-Update, etwa von WordPress, schließt die PHP-Lücke nicht, und ein Patch entfernt keinen bereits eingeschleusten Schadcode. Wer nach dem Update „fertig“ sagt, hat die Hälfte der Arbeit nicht gemacht.
Typische Fehler im Mittelstand in den ersten Stunden
Aus der Praxis kennt man einige Muster, die den Schaden vergrößern. Erstens wird die Verantwortung hin- und hergeschoben: Der Hoster verweist auf den Kunden, die Agentur auf den Hoster, der Admin auf die Geschäftsführung. Legen Sie deshalb früh fest, wer entscheidet. Zweitens wird zu schnell wiederhergestellt. Ein altes Backup einzuspielen, ohne die Einfallstür zu schließen, bringt den Angreifer gleich mit zurück. Drittens bleibt die Kommunikation liegen: Mitarbeitende, Kunden und Geschäftspartner erfahren vom Vorfall aus zweiter Hand.
Bei Krisenkommunikation nach einem Angriff finden Sie Hinweise, wie sich das ruhig lösen lässt. Als Faustregel gilt: lieber wenig sagen, das aber belegt.
Wie hilft PHP SOS konkret?
- Lage aufnehmen: Wir klären mit Ihnen die Systeme, die Betriebsart (PHP-FPM, mod_php oder LiteSpeed), die Daten und die Ansprechpartner. Ein erster Überblick entsteht schnell, auch ohne Detailkenntnisse.
- Sichern und schließen: Wir sichern Spuren und schließen die Einfallstür, ohne Ihre Abläufe unnötig zu stören.
- Prüfen und bereinigen: Webshells, Hintertüren, Cronjobs und fremde Konten werden gesucht und entfernt. Details dazu bei Malware und Webshells entfernen lassen.
- Härten und berichten: Sie bekommen einen Bericht für Geschäftsführung, Datenschutz und Versicherer. Auf Wunsch bauen wir mit Ihnen die Vorsorge auf, etwa über einen Security-Wartungsvertrag.
Wächst der Vorfall über einen Webserver hinaus, gehen wir in eine strukturierte Incident Response.
Danach: Vorsorge ohne eigene Security-Abteilung
Ist der Vorfall abgeschlossen, bleibt die Frage, wie Sie den nächsten verhindern oder wenigstens früher erkennen. Für Unternehmen ohne eigenes Sicherheitsteam sind vier Dinge am wichtigsten: ein aktuelles Inventar aller Websites und Server, ein klarer Ansprechpartner für Updates, geprüfte Sicherungen und ein kurzer IT-Notfallplan.
Ob Ihr Unternehmen unter die Pflichten von NIS2 fällt, ist eine Rechtsfrage, die wir nicht beantworten. Allgemeine Informationen finden Sie auf unserer Seite, die Einordnung treffen Anwalt oder Datenschutzbeauftragte.
Was Sie uns schicken sollten
- eine kurze Schilderung des Vorfalls und des Zeitpunkts
- eine Liste der Websites, Shops und Portale mit Hoster und, soweit bekannt, PHP-Version
- Namen von Admin, Agentur und Hoster, die das System kennen
- Hinweise, ob der Webserver mit internen Systemen verbunden ist
- Angaben zu Sicherungen und zu einer bestehenden Cyberversicherung
Warum PHP SOS
Wir arbeiten Made in Germany und seit über 25 Jahren mit unserem Partnernetzwerk aus Cyber-Profis auf IT-Sicherheit spezialisiert. Für Sie heißt das: ein Ansprechpartner statt vieler, Arbeit remote ohne Anfahrt in ganz Deutschland und Europa, und eine Dokumentation, mit der Sie gegenüber Kunden, Versicherer und Behörden bestehen. Wir trennen offen zwischen belegt, wahrscheinlich und unbekannt und versprechen nichts, was niemand halten kann.
Sind Sie betroffen? Rufen Sie an. Wir helfen.
Sie brauchen für die Erste Hilfe keine eigene Security-Abteilung, sondern einen Ansprechpartner, der anfängt. Wir übernehmen ab der ersten Nachricht und bleiben dran, bis der Vorfall abgeschlossen und dokumentiert ist. Jetzt Notfall melden.
Häufige Fragen
Was tun bei einem Cyberangriff ohne eigene IT-Sicherheitsabteilung?
Spuren erhalten, nichts löschen, Entscheider benennen und externe Hilfe holen. Ein Mittelständler muss nicht alles selbst können. Wir übernehmen die technische Seite und arbeiten mit Ihrem Admin, Ihrer Agentur oder Ihrem Hoster zusammen.
Sind kleine und mittlere Unternehmen überhaupt Ziel von Angriffen?
Ja. Automatisierte Scans suchen nach ungepatchten Servern, ohne auf Firmengröße zu achten. Bei PHP2Shell zählte Palo Alto Networks (Unit 42) mehr als 22,6 Millionen exponierte, potenziell verwundbare Instanzen.
Muss unser Betrieb stehen, wenn der Webserver angegriffen wurde?
Nicht zwingend. Oft lassen sich Website und Shop abschotten, während interne Systeme weiterlaufen. Wir klären zuerst, ob Verbindungen zwischen dem Webserver und Ihrem internen Netz bestehen.
Gilt NIS2 für uns und was bedeutet das im Vorfall?
Ob Ihr Unternehmen unter NIS2 fällt, hängt von Branche und Größe ab und ist eine Rechtsfrage. Einen Überblick gibt unsere Seite zu NIS2; die Einordnung für Ihren Fall gehört zu Anwalt oder Datenschutzbeauftragten.
Wie bereiten wir uns auf den nächsten Vorfall vor?
Mit einem Inventar der Systeme, einem benannten Ansprechpartner, geprüften Backups und einem kurzen Notfallplan. Wir helfen beim Aufbau, nachdem der akute Vorfall abgeschlossen ist.