Persönliche Daten gehackt? Was die PHP-Sicherheitslücke für deine Daten bedeutet

MacWindowsiPhoneAndroidAktualisiert

Eine Sicherheitslücke ist eine Schwachstelle, und eine Schwachstelle auf einer Website heißt nicht, dass deine Daten weg sind. PHP2Shell sind zwei kritische Lücken in PHP, der Sprache, mit der viele Websites laufen, behoben am 21. Oktober 2026. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) schreibt, Angreifer könnten damit aus der Ferne Code auf Webservern mit PHP-Anwendungen ausführen. Stand 23. Oktober 2026 nennt kein offizieller Hinweis eine Liste betroffener Firmen oder Kunden.

Kurze Antwort

Nicht unbedingt. PHP2Shell ist eine Lücke in Webservern, und dass ein Server die Lücke hat, heißt nicht, dass dort Daten abgeflossen sind. Wird ein Dienst, den du nutzt, gehackt und besteht ein hohes Risiko für dich, muss er dich nach der DSGVO unverzüglich benachrichtigen. Bis dahin: eigene Passwörter je Dienst, Zwei-Faktor-Authentisierung, und Vorsicht bei Nachrichten über Datenlecks.

Heißt die PHP-Lücke, dass meine Daten gestohlen wurden?

Nein, nicht für sich genommen. PHP2Shell ist eine Schwachstelle, über die jemand auf einem nicht aktualisierten Server Code ausführen und dann an Daten kommen könnte. Ob von einer bestimmten Website tatsächlich etwas abgeflossen ist, hängt davon ab, ob sie angegriffen wurde, und das kann nur der Betreiber feststellen. Das BSI rät Betreibern, deren Server Kunden- oder Nutzerdaten enthalten, nach einem Angriff zu prüfen, ob ein Datenabfluss möglich war.

Was die offiziellen Stellen bisher sagen, Stand 23. Oktober 2026:

  • Das PHP-Projekt hat am 21. Oktober korrigierte Versionen veröffentlicht; laut Versionshinweisen ist das Update die einzige sichere Wahl.
  • Das BSI schreibt in Version 1.2 seiner Warnung, ihm sei noch keine erfolgreiche Ausnutzung in der Breite bekannt, und ihm lägen keine bestätigten Meldungen über erfolgreich kompromittierte Systeme aus der regulierten Wirtschaft oder der Bundesverwaltung vor. Erfolgreiche Angriffe könnten aber nicht ausgeschlossen werden.

Keine dieser Aussagen betrifft einen bestimmten Shop, eine Bank oder einen Dienst. Unsere Erklärung zur PHP-Sicherheitslücke beschreibt die Lücken selbst.

Wie erfahre ich, ob ein Dienst, den ich nutze, betroffen war?

Der Dienst muss dich in bestimmten Fällen informieren. Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) erklärt: Nach Art. 33 DSGVO muss ein Unternehmen eine Datenpanne unverzüglich und möglichst binnen 72 Stunden der zuständigen Aufsichtsbehörde melden. Nach Art. 34 DSGVO muss es die betroffenen Personen unverzüglich benachrichtigen, wenn der Vorfall voraussichtlich ein hohes Risiko für sie zur Folge hat.

Der normale Weg ist also eine E-Mail, ein Brief oder ein Hinweis vom Unternehmen selbst. Genau so eine Nachricht würden aber auch Betrüger schicken, deshalb zählen die nächsten Schritte.

Wenn du glaubst, dass ein Dienst betroffen sein könnte, geh über dessen offizielle Website oder App, nicht über Links in einer Nachricht. Das BSI rät bei verdächtigen Mails, die Adresse selbst einzugeben, etwa über ein Lesezeichen, statt dem Link zu folgen.

Sollte ich mein Passwort bei dem Dienst ändern?

Ja, wenn es einen Grund gibt: Das Unternehmen fordert dich dazu auf, oder du nutzt dasselbe Passwort auch anderswo. Das BSI rät, bei Missbrauch das Passwort des betroffenen Kontos sofort zu ändern, und auch bei anderen Konten, wenn du dort dasselbe Passwort verwendest oder die Konten verknüpft sind.

  1. Ruf den Dienst auf, indem du die Adresse selbst eingibst oder seine App nutzt, nicht über einen Link aus einer E-Mail oder SMS.
  2. Ändere das Passwort in den Sicherheitseinstellungen des Kontos.
  3. Ändere es überall, wo du dasselbe verwendet hast.
  4. Verwende für jeden Dienst ein eigenes, starkes Passwort. Laut BSI kann ein Passwort-Manager helfen, wenn du viele Passwörter verwaltest; als passwortlose Alternative nennt es Passkeys.

Dein E-Mail-Konto zählt am meisten. Das BSI rät bei einem gehackten Konto, mit den Zugangsdaten des E-Mail-Kontos zu beginnen.

Sollte ich die Zwei-Faktor-Authentisierung einschalten?

Ja, überall, wo sie angeboten wird. Das BSI rät: „Aktivieren Sie die Zwei-Faktor-Authentisierung, wo möglich.“ Sie macht es Kriminellen schwerer, in Konten zu kommen, selbst wenn ein Passwort bekannt geworden ist.

Beginne mit deinem E-Mail-Konto, dann Online-Banking und Shopping. Für ein Apple-Konto lies unseren englischen Ratgeber zur Zwei-Faktor-Authentifizierung für deinen Apple Account.

Wie erkenne ich Betrugsversuche, die die Nachrichten ausnutzen?

Rechne damit. Das BSI schreibt: „Kein Kreditkarteninstitut und kein seriöser Anbieter fordert Sie per E-Mail auf, vertrauliche Zugangsdaten preiszugeben“. Es rät außerdem, nie auf Links in dubiosen E-Mails zu klicken und stets die Adressleiste im Browser zu prüfen.

Zwei Punkte aus der Checkliste des BSI und der Polizeilichen Kriminalprävention:

  • Öffne keine Links oder Anhänge aus unbekannten oder verdächtigen Nachrichten.
  • Betrüger nutzen laut Checkliste auch Daten aus Datenlecks, etwa Ausweiskopien, um vertrauenswürdig zu wirken, und setzen Phishing-Mails ein, um an weitere Daten zu kommen.

Was sollte ich in meinen Konten prüfen?

Die BSI-Checkliste nennt als Anzeichen für Identitätsdiebstahl Anmeldungen, Abbuchungen und Bestellungen, die du nicht selbst vorgenommen hast, veränderte Profil-Einstellungen und Nachrichten an Bekannte, die du nicht geschickt hast.

  1. Prüf deine Kontoauszüge und lass unberechtigte Abbuchungen umgehend klären.
  2. Prüf in deinen Konten hinterlegte E-Mail-Adressen, Telefonnummern und verbundene Geräte; Täter ändern diese laut BSI mitunter ab.
  3. Melde dich bei allen aktiven Sitzungen ab und entferne unbekannte Zugriffe.
  4. Bei Missbrauch informiere deine Bank oder deinen Zahlungsdienstleister und lass Karten, Konten oder Zugänge sperren.
  5. Ist dir Schaden entstanden, erstatte Anzeige, laut BSI insbesondere bei finanziellem Schaden. In Deutschland geht das über die Onlinewache der Polizei deines Bundeslandes.

Weitere Fragen

Kann ich prüfen, ob meine E-Mail-Adresse in einem Datenleck vorkommt?

Ja. Der Cybersicherheits-Lotse auf den Verbraucherseiten des BSI nennt zwei Leakchecker, die die Frage beantworten, ob persönliche Daten und Passwörter im Internet offengelegt wurden: den Leakchecker der Universität Bonn und den des Hasso-Plattner-Instituts. Beide beziehen sich nicht speziell auf PHP2Shell.

Muss mich ein Unternehmen immer über ein Datenleck informieren?

Nicht immer. Laut BfDI müssen Betroffene nach Art. 34 DSGVO benachrichtigt werden, wenn der Vorfall voraussichtlich ein hohes Risiko für sie zur Folge hat. Ein Vorfall mit geringerem Risiko erreicht dich also unter Umständen nicht direkt. Du kannst beim Unternehmen jederzeit nachfragen.

Wer ist für die Datenschutzaufsicht über ein Unternehmen zuständig?

Laut BfDI werden Privatunternehmen meist von den Datenschutzbehörden der Länder beaufsichtigt, mit einigen Ausnahmen. Der BfDI listet die Landesbehörden mit Kontaktdaten. In Österreich ist es die Datenschutzbehörde, in der Schweiz der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB).

Wo bekomme ich Hilfe, wenn ich unsicher bin?

Das Service-Center des BSI beantwortet Fragen zur IT-Sicherheit unter 0800 274 1000 oder per E-Mail an service-center@bsi.bund.de. Laut BSI kann es keinen direkten Support für dein IT-Gerät leisten, aber persönlich beraten.

Muss ich auf meinem Handy oder Computer etwas installieren?

Nicht wegen PHP2Shell. Die Lücken stecken in Webservern, die der Betreiber aktualisiert. Das BSI rät trotzdem allgemein, verfügbare Sicherheitsupdates zeitnah zu installieren.

Quellen