Der Fall PHP2Shell hat uns im Oktober 2026 deutlich vor Augen geführt, wie sehr KI die Verletzlichkeit bestehender IT-Systeme gesteigert hat. Zwei kritische Lücken in PHP, eine Programmiersprache, auf der ein großer Teil aller Webanwendungen läuft – und zwischen Patch und ersten Angriffen lagen oft nur noch Stunden.

Es regnet Lücken

Seit PHP2Shell erleben wir, dass Sicherheitslücken in immer schnellerer Folge bekannt werden. KI hilft Sicherheitsforschenden ebenso wie Angreifern, Schwachstellen in Code, Bibliotheken und Standards zu finden. Und aus einem veröffentlichten Patch lässt sich in kurzer Zeit ableiten, wie die geschlossene Lücke auszunutzen ist.

Die Folge: Es kann sich niemand mehr verstecken. Früher schützte manche Systeme schlicht, dass sie zu klein, zu unbekannt oder zu speziell waren, um für Angreifer interessant zu sein. Wenn Werkzeuge das Internet automatisiert nach verwundbaren Versionen absuchen, spielt das keine Rolle mehr. Jedes erreichbare System wird gefunden.

Die Rechnung für jahrzehntelange Schlamperei

Was wir jetzt erleben, ist keine plötzliche Katastrophe, sondern die Folge jahrzehntelanger Schlamperei. Über viele Jahre wurden technische Schulden aufgebaut: aufgeschobene Updates, veraltete Komponenten, Provisorien, die zur Dauerlösung wurden, und Abhängigkeiten, die niemand mehr vollständig überblickt. Zwei Ursachen wirken dabei zusammen.

Komplexität und menschliche Fehler. Systeme sind über Jahre gewachsen, wurden erweitert, verbunden und umgebaut. Viele sind inzwischen so komplex, dass Menschen allein sie vielleicht nicht mehr in Gänze durchblicken. Wo Menschen arbeiten, passieren Fehler – und in komplexen Systemen bleiben sie länger unentdeckt.

Aufschieben aus Kostengründen. Notwendige Updates von Software und Systemen wurden immer wieder verschoben oder gar nicht durchgeführt, nach dem Motto „sieht keiner, merkt keiner“. Das ist kein Vorwurf an einzelne Auftraggeber: Auch unsere Branche hat dieses Muster zu oft mitgetragen, wenn Wartung aus dem Budget fiel, damit Geld für sichtbare Neuerungen blieb.

Diese Zeiten sind vorbei

„Sieht keiner, merkt keiner“ funktioniert nicht mehr. Ein verwundbares System wird heute gesehen – nur eben nicht von den Richtigen. Alle Unternehmen und Organisationen müssen deshalb in ihren Prozessen und Budgets vorsehen, dass ihre Systeme stetig überwacht und aktuell gehalten werden. Sonst drohen massive Schäden: abfließende Daten, Erpressung, ausgefallene Dienste, Haftungsfragen und ein Vertrauensverlust, der sich nur schwer reparieren lässt.

Auch der Gesetzgeber zieht nach

Die rechtlichen Anforderungen entwickeln sich in dieselbe Richtung:

  • DSGVO: Wer personenbezogene Daten verarbeitet, muss sie mit technischen und organisatorischen Maßnahmen schützen, die den Stand der Technik berücksichtigen (Art. 32). Der Stand der Technik verändert sich mit jedem Sicherheitsupdate.
  • NIS2: Seit dem 6. Dezember 2025 gilt in Deutschland das NIS-2-Umsetzungsgesetz. Es erweitert den Kreis der Unternehmen mit Pflichten zu Risikomanagement und Meldung von Sicherheitsvorfällen deutlich und nimmt die Geschäftsleitung ausdrücklich in die Verantwortung.
  • Cyber Resilience Act: Seit dem 11. September 2026 müssen Hersteller von Produkten mit digitalen Elementen aktiv ausgenutzte Schwachstellen melden. Ab dem 11. Dezember 2027 gelten die Anforderungen vollständig, darunter Sicherheitsupdates über den gesamten Unterstützungszeitraum.

Welche Pflichten im Einzelfall gelten, hängt vom Unternehmen und vom Produkt ab; dieser Überblick ersetzt keine Rechtsberatung.

Der Wettlauf hat begonnen

Der Wettlauf hat begonnen, und es wird ein harter Ritt. Die technischen Schulden wurden über Jahrzehnte aufgetürmt; abbauen lassen sie sich nicht in einem Quartal. Umso wichtiger ist es, jetzt anzufangen – geordnet und nach Risiko priorisiert.

Dabei hilft ausgerechnet die Technik, die die Lage verschärft hat: KI-gestützte Werkzeuge und Abläufe beschleunigen auch die Verteidigung, vom Inventarisieren über das Bewerten von Schwachstellen bis zum Einspielen und Dokumentieren von Updates. Wie wir selbst darauf umgestellt haben, beschreiben wir im Beitrag zu PHP2Shell und dem neuen Normal der IT-Sicherheit. Die Entscheidungen bleiben dabei bei erfahrenen Menschen.

Was jetzt zu tun ist

  1. Inventar anlegen: Wissen, welche Systeme, Versionen, Komponenten und Abhängigkeiten im Einsatz sind – auch die vergessenen.
  2. Risiken bewerten: Was ist aus dem Internet erreichbar, welche Daten verarbeitet es, was erhält keine Updates mehr?
  3. Wartung budgetieren: Updates, Monitoring und Pflege als feste, laufende Position einplanen, nicht als optionales Extra.
  4. Laufend überwachen: Sicherheitsmeldungen, Versionen und Systeme kontinuierlich beobachten, damit Lücken in Stunden statt in Wochen geschlossen werden.
  5. Den Ernstfall vorbereiten: Klare Zuständigkeiten und eingeübte Abläufe – wer bewertet, wer schaltet ab, wer patcht, wer informiert?
  6. Altlasten ablösen: Den Lebenszyklus jedes Systems planen und Systeme ohne Updates ersetzen oder migrieren, bevor sie zum Einfallstor werden.

Wie wir unterstützen

Wir betreiben selbst kritische Systeme für unsere Kunden und für eigene Produkte und haben unsere Abläufe auf diese Lage ausgerichtet. Gemeinsam mit Ihnen verschaffen wir uns einen Überblick über Ihre Systeme, bewerten die Risiken und planen den Abbau technischer Schulden – Schritt für Schritt und mit einem Budget, das planbar bleibt. Mehr dazu unter Datenschutz & Sicherheit und Betrieb & Weiterentwicklung.