Sicherheitslücke in PHP: Was Betriebe fragen und was die Cyberversicherung sagt

Was bekannt ist

Auch Websites, Webshops und Kundenportale können mit PHP laufen, zum Beispiel mit WordPress, ohne dass der Betrieb es weiß. Laut dpa meldet das Sicherheitsunternehmen Cloudflare weltweit Millionen automatisierter Angriffsversuche. Dem BSI ist nach eigener Angabe bisher keine erfolgreiche Ausnutzung der Lücken in der Breite bekannt (Stand 22. Oktober 2026).

Einrichtungen haben ihre Websites vorsorglich vom Netz genommen, einige sind wieder erreichbar. Weder Panik noch Entwarnung, aber ein Grund zum Nachfragen.

Was Sie Ihren Hoster fragen können

Fragen Sie Ihren Hoster oder Ihre Agentur, ob das PHP-Sicherheitsupdate eingespielt ist, und lassen Sie sich den Stand schriftlich bestätigen.

Ein Update der Website-Software oder der Zusatzmodule allein genügt nicht, auch PHP auf dem Server muss aktualisiert sein.

Was die Cyberversicherung dazu sagt

Versicherungsfall ist laut den Musterbedingungen des Versichererverbands GDV der erstmals nachprüfbar festgestellte Schaden, wenn Angriff oder Schadsoftware Daten oder Systeme lahmlegen, verändern oder ausspähen; eine Lücke allein nicht.

Zu den Pflichten vor einem Schaden gehört laut Muster, relevante Sicherheitsupdates zeitnah einzuspielen und Systeme mit bekannten Sicherheitslücken nicht ohne zusätzliche Absicherung zu betreiben.

Der Betriebsausfall während einer geplanten Abschaltung ist im Muster ausgenommen, es sei denn, die Abschaltung gehört zu Maßnahmen gegen einen unmittelbar bevorstehenden Schaden. Ob eine Warnung vor einer Lücke als unmittelbar bevorstehender Schaden zählt, sagt das Muster nicht; fragen Sie im Zweifel vor Kosten bei Ihrem Versicherer nach.

Ihr Vertrag kann abweichen. Die erste Stunde nach einem Vorfall beschreibt der Artikel zum Cyberangriff.

Zurück in den Betrieb

Heute Abend, zehn Minuten: Schreiben Sie Ihrem Hoster oder Ihrer Agentur eine kurze Mail: „Läuft unsere Website mit PHP? Ist das Sicherheitsupdate vom 21. Oktober eingespielt? Bitte bestätigen Sie uns den Stand schriftlich.“ Prüfen Sie, ob eine aktuelle, getrennt gespeicherte Datensicherung vorhanden ist und sich zurückspielen lässt.

Ein Versicherungsschein ist kein Wecker: Er klingelt nicht, wenn ein Update fällig ist.

Gut zu wissen

• Allgemeine Informationen, Stand 22. Oktober 2026, keine individuelle Beratung. Die Lage kann sich schnell ändern. Grundlage sind die Hinweise von BSI, PHP-Projekt und Transferstelle Cybersicherheit im Mittelstand und die unverbindlichen Musterbedingungen des GDV (AVB Cyber, Stand Februar 2024).