PHP2Shell: Was Betreiber von Websites und Onlineshops rechtlich beachten müssen

Zwei kritische PHP-Sicherheitslücken gefährden Websites und Onlineshops. Welche rechtlichen Pflichten treffen deren Betreiber? Wann kann eine Abschaltung erforderlich werden und wann bestehen datenschutzrechtliche Meldepflichten?

PHP2Shell: Kritische Sicherheitslücken gefährden Websites und Onlineshops

Am 21. Oktober 2026 wurden zwei kritische Sicherheitslücken in PHP bekannt (CVE-2026-109618 und CVE-2026-109619). Da PHP auf zahlreichen Websites und in Onlineshops eingesetzt wird, stellen die Schwachstellen für viele Betreiber ein Sicherheitsrisiko dar.

Für die betroffenen PHP-Versionen stehen inzwischen Sicherheitskorrekturen bereit. Ein Update der Website- oder Shopsoftware allein genügt allerdings nicht, da die Schwachstellen PHP selbst betreffen. Welche Installationen gefährdet sind und wie sie abgesichert werden können, erläutern das PHP-Projekt und die Sicherheitsexperten von Sansec.

Dass die Sicherheitslücken bereits ausgenutzt werden, zeigen Beobachtungen von Amazon Web Services. Dort wurde bereits am 17. Oktober 2026 ein erster Angriffsversuch festgestellt, also noch vor der öffentlichen Bekanntgabe der Schwachstellen. Am 21. Oktober folgten weitere Versuche. Inzwischen berichtet Amazon von einer breiten Ausnutzung der Sicherheitslücken.

Betreiber sollten daher unverzüglich für Sicherheitsupdates sorgen und prüfen lassen, ob ihre Systeme bereits angegriffen wurden. Denn ein erfolgreicher Angriff kann auch datenschutzrechtliche Meldepflichten auslösen, wie die folgenden Ausführungen zeigen.

Sicherheitsupdates sind rechtlich geboten

Art. 32 DSGVO verpflichtet Verantwortliche und Auftragsverarbeiter, bei der Verarbeitung personenbezogener Daten ein dem Risiko angemessenes Sicherheitsniveau zu gewährleisten. Dazu gehört insbesondere, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der eingesetzten Systeme und Dienste sicherzustellen.

Damit diese Sicherheit dauerhaft gewährleistet bleibt, müssen die getroffenen Schutzmaßnahmen regelmäßig überprüft und bewertet werden (Art. 32 Abs. 1 lit. d DSGVO). Werden Sicherheitslücken bekannt, ist daher zu prüfen, ob die eigenen Systeme betroffen sind und welche Maßnahmen erforderlich sind. Dazu kann insbesondere die zeitnahe Installation verfügbarer Sicherheitsupdates gehören.

Über den Schutz personenbezogener Daten hinaus enthält auch § 19 Abs. 4 TDDDG Sicherheitsanforderungen für die von der Vorschrift erfassten Anbieter. Sie müssen im Rahmen ihrer Verantwortlichkeit sowie soweit technisch möglich und wirtschaftlich zumutbar Sicherheitsvorkehrungen nach dem Stand der Technik treffen. Diese sollen insbesondere unerlaubte Zugriffe auf technische Einrichtungen und Störungen durch äußere Angriffe verhindern.

Eine allgemeine gesetzliche Frist für die Installation von Sicherheitsupdates gibt es allerdings nicht. Wie schnell gehandelt werden muss, hängt insbesondere von der Schwere der Sicherheitslücke und dem damit verbundenen Risiko ab. Bei PHP2Shell sprechen die bereits beobachteten Angriffe und die verfügbaren Sicherheitskorrekturen für unverzügliches Handeln.

Wer einen verwundbaren Server trotz bekannter Sicherheitslücken ohne ausreichende Schutzmaßnahmen weiterbetreibt, obwohl eine Aktualisierung möglich wäre, riskiert daher einen Verstoß gegen seine gesetzlichen Sicherheitspflichten.

Wann kann eine Abschaltung erforderlich werden?

Können die Sicherheitslücken nicht unverzüglich geschlossen werden, muss der Betreiber prüfen, ob sich die bestehenden Risiken bis zur Installation der Updates anderweitig ausreichend begrenzen lassen. Welche technischen Möglichkeiten hierfür bestehen, erläutert das PHP-Projekt.

Reichen solche Schutzmaßnahmen nicht aus, kann es erforderlich sein, die betroffene Website oder das jeweilige Online-Angebot vorübergehend abzuschalten. Drohen erhebliche und vermeidbare Sicherheitsrisiken für personenbezogene Daten, rechtfertigen wirtschaftliche Interessen allein keinen Weiterbetrieb eines unzureichend geschützten Systems.

Was ist nach dem Sicherheitsupdate zu beachten?

Mit der Installation des Sicherheitsupdates ist die Angelegenheit noch nicht unbedingt erledigt. Da bereits vor der öffentlichen Bekanntgabe der Sicherheitslücken Angriffe beobachtet wurden, empfiehlt sich auch eine Untersuchung, ob die eigenen Systeme bereits angegriffen wurden. Dabei sollte mindestens der Zeitraum ab dem 17. Oktober 2026 berücksichtigt werden.

Ergeben sich Hinweise auf einen erfolgreichen Angriff, muss geklärt werden, welche Folgen dieser hatte und ob personenbezogene Daten gefährdet oder kompromittiert wurden. Die technische Untersuchung und gegebenenfalls erforderliche weitere Schutzmaßnahmen gehören in die Hände des Hostinganbieters oder qualifizierter IT-Fachleute. Sobald ausreichende Erkenntnisse vorliegen, ist auch zu beurteilen, ob datenschutzrechtliche Meldepflichten bestehen.

Besteht eine Cyberversicherung, sind vor der Beauftragung externer IT-Fachleute außerdem die Versicherungsbedingungen zu beachten. Neben der Pflicht zur unverzüglichen Schadenanzeige nach § 30 VVG können besondere Vorgaben für die Untersuchung und Behebung von Sicherheitsvorfällen bestehen. Werden diese verletzt, kann dies unter den Voraussetzungen des § 28 VVG Auswirkungen auf den Versicherungsschutz haben.

Wann muss eine Datenschutzverletzung gemeldet werden?

Nicht jede Sicherheitslücke stellt bereits eine Datenschutzverletzung dar. Dazu kommt es erst, wenn beispielsweise Unbefugte Zugriff auf personenbezogene Daten erlangen oder deren Verfügbarkeit oder Integrität beeinträchtigt wird. Eine Meldung an die Datenschutzaufsichtsbehörde ist nach Art. 33 Abs. 1 DSGVO erforderlich, sofern die Verletzung voraussichtlich nicht ohne Risiko für die Rechte und Freiheiten der Betroffenen bleibt.

Bei PHP2Shell stellt sich daher insbesondere die Frage, ob Angreifer tatsächlich auf personenbezogene Daten zugreifen konnten. Ein bloßer Angriffsversuch genügt hierfür nicht. Gibt es jedoch Hinweise auf eine erfolgreiche Ausnutzung der Schwachstellen, müssen diese unverzüglich untersucht werden.

Ergeben sich trotz angemessener Untersuchung keine konkreten Anhaltspunkte für eine Datenschutzverletzung, besteht nach unserer Einschätzung zunächst keine Meldepflicht. Die Entscheidung und ihre Begründung sollten allerdings dokumentiert und bei neuen Erkenntnissen überprüft werden.

Anders liegt es, wenn Angreifer die Schwachstellen erfolgreich ausgenutzt und auf dem betroffenen Server eigenen Code ausgeführt haben. Konnten sie dadurch auf personenbezogene Daten zugreifen, ist regelmäßig von einer Verletzung der Vertraulichkeit auszugehen. Dass sich nicht nachweisen lässt, welche Daten tatsächlich eingesehen wurden, schließt eine Meldepflicht nicht aus. Entscheidend bleibt, ob die Verletzung voraussichtlich ein Risiko für die Rechte und Freiheiten der Betroffenen mit sich bringt.

Ist eine Meldung erforderlich, muss sie unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden der Datenschutzverletzung erfolgen. Auch eine entsprechende Mitteilung des Hostinganbieters kann hierfür maßgeblich sein. Handelt dieser als Auftragsverarbeiter, muss er den Verantwortlichen nach Art. 33 Abs. 2 DSGVO unverzüglich über eine festgestellte Datenschutzverletzung informieren.

Die 72-Stunden-Frist beginnt dabei nicht erst mit Abschluss der technischen Untersuchung. Liegen bereits ausreichende Erkenntnisse über eine meldepflichtige Datenschutzverletzung vor, muss die Meldung auch dann erfolgen, wenn noch nicht alle Einzelheiten geklärt sind. Fehlende Informationen können nach Art. 33 Abs. 4 DSGVO nachgereicht werden. Wird die Frist überschritten, ist die Verzögerung zu begründen.

Für die Meldung können unsere Mandanten auf das Muster zur Meldung einer Datenpanne an die Datenschutzaufsichtsbehörde zurückgreifen.

Wann müssen auch die Betroffenen informiert werden?

Führt eine Datenschutzverletzung voraussichtlich zu einem hohen Risiko für die persönlichen Rechte und Freiheiten der Betroffenen, müssen diese nach Art. 34 DSGVO unverzüglich benachrichtigt werden.

Das kann bei PHP2Shell etwa der Fall sein, wenn Angreifer Zugangsdaten zu Nutzer- oder Kundenkonten erlangt haben. Die Benachrichtigungspflicht kann nach Art. 34 Abs. 3 lit. b DSGVO allerdings entfallen, wenn die Zugangsdaten zurückgesetzt und weitere Zugriffsmöglichkeiten unterbunden wurden und das hohe Risiko dadurch aller Wahrscheinlichkeit nach beseitigt ist.

Bei offengelegten Passwörtern lässt sich das jedoch nicht ohne Weiteres annehmen. Nutzer verwenden dieselben Passwörter möglicherweise auch für andere Dienste, sodass ein Zurücksetzen beim betroffenen Online-Angebot nicht zwangsläufig ausreicht, um das Risiko zu beseitigen.

Für die Benachrichtigung betroffener Kunden stellt die IT-Recht Kanzlei ihren Mandanten ein entsprechendes Muster zur Verfügung.

Gelten weitere Meldepflichten?

Unternehmen, die nach dem BSIG als besonders wichtige oder wichtige Einrichtungen gelten, müssen erhebliche Sicherheitsvorfälle nach § 32 BSIG melden. Vorgesehen sind eine erste Meldung spätestens innerhalb von 24 Stunden und eine weitere Meldung spätestens innerhalb von 72 Stunden nach Kenntniserlangung. Die Abschlussmeldung muss spätestens einen Monat nach der 72-Stunden-Meldung erfolgen. Dauert der Sicherheitsvorfall zu diesem Zeitpunkt noch an, ist zunächst eine Fortschrittsmeldung erforderlich.

Auch der Cyber Resilience Act (CRA) sieht seit dem 11. September 2026 Meldepflichten vor. Nach Art. 14 CRA müssen Hersteller von Produkten mit digitalen Elementen unter anderem aktiv ausgenutzte Schwachstellen melden. Hierfür sind eine Frühwarnung innerhalb von 24 Stunden und eine weitere Meldung innerhalb von 72 Stunden nach Kenntniserlangung vorgesehen. Der Abschlussbericht muss spätestens 14 Tage nach Verfügbarkeit einer Korrektur- oder Risikominderungsmaßnahme eingereicht werden.

Die Meldepflichten nach dem CRA können beispielsweise Hersteller treffen, die Software oder Geräte mit einer verwundbaren PHP-Komponente vertreiben. Wer PHP dagegen lediglich für den Betrieb einer Website oder eines Onlineshops einsetzt, unterliegt deshalb noch keiner Meldepflicht nach dem CRA.

Welche rechtlichen Folgen drohen?

Werden erforderliche Sicherheitsmaßnahmen unterlassen oder datenschutzrechtliche Meldepflichten verletzt, drohen aufsichtsbehördliche Maßnahmen und gegebenenfalls Bußgelder nach Art. 83 Abs. 4 lit. a DSGVO. Entstehen durch eine Datenschutzverletzung Schäden, kommen zudem Schadensersatzansprüche nach Art. 82 DSGVO in Betracht.

Fazit

Betreiber betroffener Websites und anderer Online-Angebote sollten die Sicherheitslücken unverzüglich schließen und prüfen lassen, ob ihre Systeme bereits angegriffen wurden. Ergeben sich Hinweise auf eine Datenschutzverletzung, müssen sie mögliche Melde- und Benachrichtigungspflichten prüfen.

Sowohl die ergriffenen Schutzmaßnahmen als auch die Entscheidung über eine Meldung sollten sie sorgfältig dokumentieren.