PHP2Shell und KI-Angriffe: Was du jetzt selbst tun kannst
PHP2Shell gefährdet Webserver. Was das für deine Daten bedeutet und wie du Konten schützt, echte Updates installierst und Betrugsversuche prüfst.
In diesem Artikel
Artikel
- Lesezeit
- 5 Min. Lesezeit
- Veröffentlicht
- Format
- Artikel
- Niveau
- Einsteiger
- Thema
- Datenschutz
Ein Onlineshop ist nicht erreichbar, ein Anbieter meldet ein Datenleck, eine Nachricht fordert plötzlich neue Zugangsdaten: Sicherheitsvorfälle können dich treffen, obwohl du selbst nichts falsch gemacht hast. Die aktuellen PHP2Shell-Lücken machen deutlich, wie abhängig wir vom Schutz fremder Server sind. Einige Risiken für deine eigenen Konten kannst du trotzdem verringern.
Zuerst erledigen: Sichere dein E-Mail-Konto mit einem eigenen Passwort und einem zweiten Anmeldefaktor. Installiere verfügbare Sicherheitsupdates über die Einstellungen deiner Geräte. Prüfe unerwartete Sicherheitsmeldungen über die bekannte Website oder App des Anbieters. Diese Schritte verbessern deinen persönlichen Schutz; die PHP-Lücken müssen die Verantwortlichen der betroffenen Server schließen.
Stand: 23. Oktober 2026. Die Hinweise gelten für den privaten Umgang mit Online-Diensten. In Unternehmen und Verwaltungen sind zusätzlich die Vorgaben und Anlaufstellen der eigenen IT maßgeblich.
Was PHP2Shell für deine Daten bedeutet
PHP ist eine Programmiersprache, mit der etwa WordPress-Websites auf dem Server arbeiten. Zwei kritische Fehler in der PHP-Laufzeitumgebung können unter bestimmten Bedingungen Befehle ohne vorherige Anmeldung ermöglichen. Forschende zeigten auch, dass sich sensible Inhalte aus dem Arbeitsspeicher auslesen lassen. KI half bei der Erforschung und der Entwicklung funktionierender Angriffe. Die Details hängen von Version, Konfiguration und Angriffspfad ab.
Cloudflare-Chef Matthew Prince berichtete am 22. Oktober von Millionen beobachteten Angriffsversuchen. Die Zahl bezieht sich auf das Cloudflare-Netzwerk. Sie nennt weder die Zahl erfolgreich übernommener Websites noch den Anteil der Angriffe, bei denen KI eingesetzt wurde.
Die PHP-Sicherheitsupdates sind seit dem 21. Oktober verfügbar. Die Lücken sitzen auf den Servern der Dienste. Ein Update deines Handys schließt sie dort nicht. Indirekte Folgen sind dennoch möglich: Ein Dienst fällt aus, gespeicherte Daten fließen ab oder Inhalte einer Website werden verändert. Welche Daten tatsächlich betroffen sind, muss der jeweilige Anbieter untersuchen und mitteilen.
Warum Websites in Deutschland offline gingen
Das Informationstechnikzentrum Bund teilte mit, wegen der beiden PHP-Lücken eigene Internetauftritte vorsorglich vom Netz genommen zu haben. Dazu zählten auch Websites der Bundesregierung. Nach Angaben des ITZBund war ein Hackerangriff nicht der Anlass. Die Abschaltung sollte einen möglichen Angriff verhindern.
Auch die Universität Ulm meldete eine vorsorgliche Abschaltung, unter anderem ihrer Lernplattform Moodle. Nach Installation der Updates gingen die Dienste wieder in Betrieb. Solche Ausfälle sind für die Menschen spürbar, die diese Angebote brauchen. Sie belegen für sich genommen keinen erfolgreichen Einbruch oder Datenverlust.
Sichere zuerst dein E-Mail-Konto
Über das E-Mail-Konto lassen sich bei vielen Diensten Passwörter zurücksetzen. Es verdient deshalb besondere Aufmerksamkeit. Verwende ein langes, eigenes Passwort, das du bei keinem anderen Dienst nutzt. Ein Passwortmanager hilft dabei, unterschiedliche Zugangsdaten zu erzeugen und zu verwalten. Das BSI empfiehlt eigene sichere Passwörter für jedes Konto.
Aktiviere zusätzlich die Zwei-Faktor-Authentisierung, häufig kurz 2FA genannt. Dann braucht es zur Anmeldung beispielsweise noch einen Sicherheitsschlüssel oder die Bestätigung über eine Authenticator-App. Bewahre angebotene Wiederherstellungscodes sicher auf, damit du bei einem verlorenen Gerät wieder Zugang erhältst. Die BSI-Erklärung zum zweiten Faktor beschreibt die Verfahren und ihre Grenzen.
Wenn dein Anbieter Passkeys unterstützt, sind sie eine sinnvolle Option: Dabei wird für die Anmeldung kein Passwort eingegeben, das eine gefälschte Website abfangen könnte. Herkömmliche Einmalcodes können dagegen auch bei Echtzeit-Phishing abgegriffen werden. Das erläutert das BSI in seinem Faktencheck zur E-Mail-Sicherheit.
Gehe danach weitere wichtige Konten durch. Wenn du dasselbe Passwort mehrfach verwendest, ersetze diese Wiederholungen. Ein zweiter Faktor erschwert die Übernahme deines Kontos mit einem gestohlenen Passwort. Er verhindert aber keinen Datenabfluss durch eine Sicherheitslücke auf dem Server des Anbieters.
Installiere Updates über die echten Einstellungen
Öffne die Einstellungen von Smartphone, Computer und Browser und prüfe, ob Sicherheitsupdates bereitstehen. Aktiviere automatische Updates, wo sie angeboten werden. Auch dein Router und andere vernetzte Geräte brauchen weiter gepflegte Software. Die Basistipps des BSI empfehlen, Sicherheitsupdates zeitnah einzuspielen.
Lass dich dabei nicht von einer plötzlich eingeblendeten Website-Warnung zur Installation drängen. Öffne den bekannten Update-Weg selbst. Die Aktualisierung deiner Geräte schützt vor deren eigenen bekannten Sicherheitsproblemen. Bei PHP2Shell bleibt zusätzlich das Update der betroffenen Server notwendig.
Prüfe dringende Nachrichten über einen zweiten Weg
Eine Nachricht mit deinem Namen oder einer plausiblen Bestellnummer ist noch kein Beweis für ihre Echtheit. Wirst du überraschend aufgefordert, ein Konto zu retten oder eine Zahlung freizugeben, öffne die bekannte App oder gib die dir bekannte Internetadresse selbst ein. Verwende für Rückfragen eine bereits bekannte Kontaktmöglichkeit. Die Verbraucherzentrale warnt vor Links und Rückrufnummern in solchen SMS.
Gib bei unerwarteten Anrufen keine Passwörter oder Bestätigungscodes weiter und bestätige keine Anmeldung, die du nicht selbst gestartet hast. Ein behaupteter Sicherheitsvorfall ist kein Grund, den Zugriff auf dein Gerät freizugeben. Bei angeblichen Zahlungsproblemen lässt sich in der echten App prüfen, ob die behauptete Buchung überhaupt existiert. Die Verbraucherzentrale beschreibt diesen Weg anhand gefälschter Amazon- und PayPal-Anrufe.
Die Größe einer Website liefert dir keinen verlässlichen Nachweis ihres Patchstands. Statt pauschal alle kleinen Angebote zu meiden, achte auf konkrete Sicherheitsmitteilungen und nutze für sensible Vorgänge die bekannte Originaladresse. Kaufe aus einer alarmierenden Nachricht heraus keine zusätzliche Sicherheits-App, bevor du den Anlass unabhängig geprüft hast.
Wenn ein Konto oder eine Zahlung auffällig ist
Prüfe eine Warnung direkt beim betroffenen Dienst. Wenn dein Passwort offengelegt worden sein könnte, ändere es dort und überall, wo du es ebenfalls verwendet hast. Prüfe die angebotene Geräte- und Sitzungsübersicht und beende Zugriffe, die du nicht zuordnen kannst. Folge den Wiederherstellungs- und Sicherheitshinweisen des Anbieters. Bei einem vermuteten Zugriff auf das E-Mail-Konto gehören auch unbekannte Weiterleitungen und geänderte Wiederherstellungsdaten zur Prüfung.
Bei unbekannten Kontobewegungen kontaktiere deine Bank umgehend über die offizielle App oder eine bekannte Telefonnummer. Sichere verdächtige Nachrichten und relevante Angaben für die weitere Prüfung. Die Verbraucherzentrale beschreibt weitere Schritte bei gestohlenem Geld und schädlichen Apps. Aus der Nachricht eines fremden Kontakts allein lässt sich noch keine Kontenübernahme ableiten.
Wenn du selbst eine Website betreibst
Frage deinen Hosting-Anbieter oder die zuständige IT, ob alle für deine Website verwendeten PHP-Umgebungen gegen beide Lücken aktualisiert und die betroffenen Prozesse neu gestartet wurden. Ein Update von WordPress oder seinen Plugins allein reicht nicht aus. Die ersten korrigierten PHP-Versionen sind 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Einige Hersteller liefern die Korrektur als sogenannten Backport mit einer älteren Versionsnummer. Maßgeblich ist deshalb auch deren Sicherheitsmitteilung. Die Einzelheiten stehen im PHP-Advisory von CERT-EU.
Ist ein Update kurzfristig unmöglich, muss die zuständige IT das weitere Vorgehen bewerten. CERT-EU empfiehlt, eine vorübergehende Trennung öffentlich erreichbarer Anwendungen vom Internet zu erwägen. Bei Verdacht auf einen Einbruch ist zusätzlich eine Untersuchung nötig: Ein nachträglich installiertes Update belegt nicht, dass vorher keine Daten abgeflossen sind.