Ihre Website läuft seit Jahren zuverlässig. Genau deshalb denkt im Alltag kaum jemand an sie, bis eine Meldung über eine PHP-Sicherheitslücke auftaucht. Dann stellt sich schnell eine unbequeme Frage: Wer in Ihrem Unternehmen weiß eigentlich, auf welcher Grundlage die Seite läuft und wer sie aktuell hält?
Was eine Sicherheitslücke für Ihre Website bedeutet
Stellen Sie sich einen frisch renovierten Empfangsbereich vor, dessen Eingangstür aber noch mit einem alten Schloss gesichert ist. Von außen sieht alles einwandfrei aus, bis jemand den Schwachpunkt entdeckt. Eine Sicherheitslücke ist eine solche Schwachstelle in Software. Sie kann es Unbefugten ermöglichen, mehr zu tun, als vorgesehen ist, etwa Daten auszulesen oder Inhalte zu verändern.
PHP ist eine Programmiersprache, die im Hintergrund vieler Websites arbeitet, auch vieler WordPress-Seiten. Ihre Besucher sehen sie nie, aber sie bildet das Fundament. Wird eine Lücke in diesem Fundament öffentlich, kann sie zahlreiche Seiten gleichzeitig betreffen. Genau deshalb lohnt es sich, Meldungen nicht als Fachchinesisch abzuheften, sondern als Hinweis auf einen möglichen Handlungsbedarf zu lesen.
Warum Updates keine Kür sind
Ein Update wirkt oft wie eine lästige Pflicht ohne sichtbaren Nutzen. Dabei schützt es genau die Bereiche, die Sie nicht sehen. Drei Gründe sprechen dafür, veraltete Stände ernst zu nehmen:
- Ältere Versionen erhalten neue Schutzmaßnahmen nicht mehr automatisch, wenn sie nicht mehr gepflegt werden.
- Öffentliche Sicherheitsmeldungen zeigen allen Beteiligten, wo eine Schwachstelle liegt, auch denjenigen, die sie ausnutzen wollen.
- Ein geplantes Update kostet überschaubar Zeit. Ein unbemerkter Angriff kann dagegen Ausfälle, Datenverlust und Vertrauensschäden nach sich ziehen.
Wann Ihre Website wirklich betroffen ist
Nicht jede Meldung betrifft jede Website. Entscheidend ist, welche PHP-Version auf Ihrem Server läuft, welche Erweiterungen installiert sind und ob diese aktiv gepflegt werden. Eine Meldung über eine Lücke ist deshalb zunächst eine Frage an Ihren Dienstleister: Sind wir davon betroffen, und was ist zu tun?
Versionsnummer und Support-Ende prüfen
Jede PHP-Version hat einen offiziell angekündigten Zeitraum, in dem sie Sicherheitsaktualisierungen erhält. Danach gilt sie als nicht mehr unterstützt. Ob Ihre Website auf einer solchen Version läuft, lässt sich meist beim Hosting-Anbieter oder bei Ihrem Dienstleister klären. Diese Information sollte in jeder Projektdokumentation stehen, nicht nur im Kopf eines einzelnen Technikers.
Erweiterungen nicht vergessen
Eine Website besteht selten nur aus dem Grundgerüst. Designvorlagen, Zusatzfunktionen für Formulare, Galerien oder Terminbuchungen sind die Stellen, an denen Veraltetes am häufigsten auffällt. Eine aktuelle PHP-Version nützt wenig, wenn eine veraltete Erweiterung sie wieder umgeht. Prüfen Sie deshalb den gesamten Bestand, nicht nur die Serverversion.
Fragen, die Sie Ihrem Dienstleister stellen sollten
- Welche PHP-Version läuft auf unserer Website, und wann endet ihre Unterstützung?
- Wer prüft Erweiterungen und Designvorlagen, und in welchem Rhythmus geschieht das?
- Gibt es vor jedem größeren Update eine vollständige Sicherung?
- Werden Updates zuerst in einer Testumgebung geprüft, bevor die Live-Seite betroffen ist?
- Wer informiert uns, wenn eine kritische Meldung unseren Bestand betrifft, und wie schnell?
Verantwortung im Projekt klären
Viele Sicherheitsprobleme entstehen nicht aus Nachlässigkeit, sondern aus ungeklärter Zuständigkeit. Die Agentur hat die Seite gebaut, das Hosting läuft bei einem anderen Anbieter, und intern kümmert sich niemand. Wer diese Lücke in der Organisation sieht, hat schon den wichtigsten Schritt getan. Mehr dazu, wie sich Pflege und Verantwortung nach dem Livegang sinnvoll regeln lassen, finden Sie in unserem Beitrag Website live, Projekt nicht: Wer kümmert sich um Updates?.
Auch die Frage, wie Änderungen gefahrlos getestet werden, bevor sie live gehen, ist zentral. Unser Beitrag Website-Sicherheit: Updates, Backups, Staging erklärt die Grundprinzipien in verständlicher Form.
Dieser Beitrag nennt bewusst keine einzelnen Lücken mit Kennungen oder Datum. Sicherheitsmeldungen ändern sich laufend, und maßgeblich sind die offiziellen Mitteilungen des PHP-Projekts sowie die Hinweise Ihres Dienstleisters.
Häufig gestellte Fragen
Ist jede Website durch eine PHP-Sicherheitslücke gefährdet?
Nein. Entscheidend sind die eingesetzte PHP-Version, die installierten Erweiterungen und ob diese gepflegt werden. Eine Meldung ist deshalb ein Anlass zur Prüfung, nicht automatisch ein Zeichen akuter Gefahr.
Wie finde ich heraus, welche PHP-Version meine Website nutzt?
Am schnellsten erfahren Sie es von Ihrem Hosting-Anbieter oder Ihrem Dienstleister. Die Information sollte in der Projektdokumentation hinterlegt sein, damit sie bei Rückfragen sofort verfügbar ist.
Reicht ein WordPress-Update, um sicher zu sein?
Nicht unbedingt. WordPress selbst, Designvorlagen, Erweiterungen und die PHP-Version sind getrennte Ebenen. Jede davon braucht eine eigene Prüfung und bei Bedarf ein eigenes Update.
Wo finde ich verlässliche Informationen zu aktuellen Lücken?
Maßgeblich sind die offiziellen Veröffentlichungen des PHP-Projekts und die Hinweise Ihres Dienstleisters. Sicherheitsmeldungen sollten immer an der Quelle geprüft werden, nicht nur anhand von Zusammenfassungen.
Wissen, wo Ihre Website steht
Wir prüfen gemeinsam mit Ihnen, auf welchem Stand Ihre Website läuft, welche Pflege sinnvoll ist und wer im Projekt Verantwortung übernimmt. Schreiben Sie uns, dann finden wir den nächsten Schritt.
