PHP-Sicherheitslücke „PHP2Shell“: Ist Ihre Ordinationswebsite betroffen?

Kurzantwort: Seit 21. Oktober 2026 ist eine schwere Sicherheitslücke in PHP bekannt – der Technik, mit der ein Großteil aller Websites betrieben wird, darunter fast alle WordPress-Seiten. Über die Lücke können Fremde die Kontrolle über eine Website übernehmen, ohne ein Passwort zu kennen. Ein Update schließt die Lücke. Es muss aber auf dem Server eingespielt werden, nicht im WordPress-Menü. Klären Sie das diese Woche mit Ihrem Website-Betreuer.

Die Website Ihrer Ordination ist mehr als eine digitale Visitenkarte. Patientinnen und Patienten schicken darüber Terminanfragen, füllen Formulare aus oder laden Befunde hoch. Wer die Website übernimmt, kommt im schlimmsten Fall an genau diese Daten. Deshalb betrifft die neue Lücke Arztpraxen und Kliniken besonders.

Was ist PHP2Shell? Die PHP-Sicherheitslücke einfach erklärt

PHP ist sozusagen der Motor im Hintergrund vieler Websites. Rund 70 % aller Websites mit bekannter Technik laufen damit, so der Statistikdienst W3Techs. Sie sehen PHP nicht, aber es arbeitet bei jedem Seitenaufruf mit.

In diesem Motor wurden zwei schwere Fehler gefunden. Ein Angreifer kann damit über das Internet eigene Befehle auf dem Server ausführen – ohne Passwort und ohne dass jemand in der Ordination etwas anklicken muss. Man kann es mit einem Generalschlüssel vergleichen, der plötzlich zu sehr vielen Haustüren passt.

Die österreichische Sicherheitsstelle CERT.at hat am 21. Oktober gewarnt und stuft die Lücken als kritisch ein. Laut ORF haben unter anderem die Universität Wien, die TU Wien und die NÖN ihre Websites vorübergehend vom Netz genommen. Laut heise online haben die ersten Angriffe bereits begonnen.

WordPress-Sicherheitslücke: Ist meine Praxiswebsite betroffen?

Sehr wahrscheinlich, wenn sie mit WordPress, Joomla, Drupal oder TYPO3 gebaut wurde. All diese Systeme laufen auf PHP. WordPress allein steckt laut W3Techs hinter rund 42 % aller Websites weltweit.

Drei Punkte sind für Sie als Ärztin oder Arzt wichtig:

„WordPress ist doch aktuell“ reicht diesmal nicht. Der Fehler steckt nicht in WordPress, sondern eine Ebene darunter, beim Server. Auch wenn im WordPress-Menü alles auf dem neuesten Stand ist, kann die Website angreifbar sein.

Ältere Websites sind am stärksten gefährdet. Wurde Ihre Website vor einigen Jahren erstellt und seither nur inhaltlich gepflegt, läuft sie oft auf einer veralteten PHP-Version. Für diese gibt es kein Update mehr. Dann muss die Website technisch umgestellt werden. Das sehen wir in unseren Website-Analysen regelmäßig.

Es geht um Gesundheitsdaten. Kontaktformulare, Terminanfragen oder Befund-Uploads enthalten besonders schützenswerte Daten. Die Datenschutz-Grundverordnung verpflichtet Sie, diese nach dem aktuellen Stand der Technik zu schützen. Eine bekannte Lücke offen zu lassen, passt damit kaum zusammen. Und: Kommt es zu einem Datenleck, muss es binnen 72 Stunden der Datenschutzbehörde gemeldet werden.

Dazu kommt der Imageschaden. Zeigt Google Ihre Website als „unsicher“ an oder ist sie tagelang offline, verlieren Sie Vertrauen und neue Patientinnen und Patienten.

Was Sie jetzt tun sollten: Update veranlassen

Sie müssen keine Technik verstehen, um richtig zu handeln. Es reichen drei Schritte:

1. Ihren Website-Betreuer kontaktieren. Das ist die Agentur, die IT-Firma oder der Webhoster, bei dem Ihre Website liegt. Fragen Sie schriftlich: „Ist das PHP-Sicherheitsupdate vom 21. Oktober 2026 auf unserer Website eingespielt?“
2. Auf eine klare Antwort bestehen. Ein „Wir kümmern uns darum“ reicht nicht. Lassen Sie sich bestätigen, dass das Update installiert ist, und wann.
3. Nachfragen, ob die Website sauber ist. War sie mehrere Tage ohne Update online, sollte geprüft werden, ob sich jemand Zugang verschafft hat.

Sie haben keinen festen Ansprechpartner, oder er reagiert nicht? Dann sollte jemand anderer die Website prüfen, am besten noch diese Woche. Die Sicherheitsbehörden raten: Was nicht sofort aktualisiert werden kann, lieber vorübergehend vom Netz nehmen.

PHP-Version prüfen: So sehen Sie es selbst in WordPress

Wenn Sie Zugang zum WordPress-Menü Ihrer Website haben, können Sie die PHP-Version in einer Minute selbst nachsehen:

1. Melden Sie sich in WordPress an.
2. Klicken Sie links auf Werkzeuge und dann auf Website-Zustand.
3. Öffnen Sie oben den Reiter Bericht und klappen Sie den Bereich Server auf.
4. Dort steht die PHP-Version. Sicher sind 8.2.35, 8.3.36, 8.4.27, 8.5.12 oder neuer.

Steht dort eine niedrigere Zahl, etwa 8.1 oder 7.4, ist Ihre Website ungeschützt. Leiten Sie das Ergebnis an Ihren Betreuer weiter. Selbst ändern sollten Sie die Version nicht, weil die Website danach unter Umständen nicht mehr richtig funktioniert.

Website gehackt? Woran Sie es erkennen und was zu tun ist

Ein Angriff ist nicht immer sofort sichtbar. Diese Warnzeichen sollten Sie ernst nehmen:

• Besucher werden auf fremde Seiten weitergeleitet, etwa zu Werbung oder Glücksspiel.
• Google zeigt bei Ihrer Website den Hinweis „Diese Website wurde möglicherweise gehackt“.
• Im WordPress-Menü tauchen Benutzer auf, die Sie nicht kennen.
• Ihr Kontaktformular verschickt Spam, oder Patienten melden seltsame E-Mails.
• Die Website ist auffällig langsam oder zeigt Inhalte, die Sie nicht erstellt haben.

Bemerken Sie eines dieser Zeichen, lassen Sie die Website sofort von Fachleuten prüfen und bereinigen. Könnten Patientendaten betroffen sein, etwa aus Formularen, ist das eine Datenpanne: Sie muss binnen 72 Stunden der Datenschutzbehörde gemeldet werden. Halten Sie dabei Rücksprache mit Ihrer Rechtsberatung.

Fazit: Jetzt handeln – der Aufwand ist klein

PHP2Shell ist kein theoretisches Risiko. Sicherheitsbehörden in Österreich, Deutschland und der EU raten zum sofortigen Update, und erste Angriffe laufen. Für eine Ordination ist das Update meist schnell erledigt, solange es jetzt passiert. Teuer und unangenehm wird es erst, wenn eine gehackte Website bereinigt, der Vorfall gemeldet und Patientinnen und Patienten informiert werden müssen.

Der Fall zeigt auch: Eine Praxiswebsite braucht laufende technische Betreuung, nicht nur gelegentliche Textänderungen. Sicherheitsupdates, Überwachung und Datensicherungen sind deshalb bei KOSMAS fester Bestandteil unserer Leistung Sicherheit & Updates und des Programms Digitale Sichtbarkeit.

Sicherheitscheck für Ihre Praxiswebsite. Sie wissen nicht, ob Ihre Website betroffen ist, oder Ihr Betreuer meldet sich nicht? Wir prüfen Ihre Website, klären die Technik mit Ihrem Hoster und spielen die Updates ein – auch wenn Ihre Website nicht von uns stammt. Kontaktieren Sie uns für einen kurzfristigen Sicherheitscheck.

Häufige Fragen

Was ist PHP2Shell?

PHP2Shell ist der Name für zwei schwere Sicherheitslücken in PHP, einer Technik, mit der die meisten Websites betrieben werden. Angreifer können darüber ohne Passwort die Kontrolle über eine Website übernehmen. Seit 21. Oktober 2026 gibt es ein Update, das die Lücken schließt.

Ist meine WordPress-Website von der Sicherheitslücke betroffen?

Sehr wahrscheinlich, solange das Update nicht auf dem Server eingespielt wurde. WordPress läuft immer auf PHP. Ob Ihre Website geschützt ist, kann Ihnen Ihr Website-Betreuer oder Hoster sagen.

Wie finde ich heraus, welche PHP-Version meine WordPress-Website hat?

Im WordPress-Menü unter Werkzeuge → Website-Zustand → Bericht → Server. Sicher sind die Versionen 8.2.35, 8.3.36, 8.4.27, 8.5.12 oder neuer. Eine niedrigere Zahl bedeutet: Update nötig.

Reicht ein WordPress-Update gegen die PHP-Lücke?

Nein. Der Fehler liegt nicht in WordPress, sondern auf dem Server darunter. Das PHP-Update muss Ihr Hoster oder Ihre IT-Betreuung einspielen.

Wie erkenne ich, ob meine Website gehackt wurde?

Typische Zeichen sind Weiterleitungen auf fremde Seiten, eine Warnung bei Google, unbekannte Benutzer im WordPress-Menü oder Spam aus Ihrem Kontaktformular. Bei Verdacht sollte die Website sofort von Fachleuten geprüft werden.

Wo melde ich eine Datenpanne in Österreich?

Bei der österreichischen Datenschutzbehörde, binnen 72 Stunden nach Bekanntwerden. Das gilt, wenn Patientendaten betroffen sein könnten. Lassen Sie den Einzelfall rechtlich prüfen.