Letzte Woche ging eine Sicherheitslücke in PHP durch die Nachrichten. Ich habe daraufhin in einer Facebook-Gruppe für Selbstständige gefragt, wer sich eigentlich um eure Website kümmert. Über 30 Kommentare kamen zusammen, und die häufigste Antwort lautete sinngemäß: Mich betrifft das nicht.
Gerade wer sich sicher fühlt, weil er kein WordPress nutzt, sollte genauer hinschauen. Vier Sätze kamen in der Diskussion immer wieder. Jeder davon klingt vernünftig, und jeder schiebt die Verantwortung an die Technik ab. Hier steht, wo bei jedem Satz der Haken liegt und welche drei Fragen du für deine Website klären solltest, bevor die nächste Schlagzeile kommt.
Satz 1: „Meine Seite ist nur HTML.“
Eine reine HTML-Seite braucht kein PHP, das stimmt. Sie liegt aber selten allein auf dem Server. Im Hosting-Paket laufen das Webmail, die Datenbank-Verwaltung und das Kundenmenü des Hosters mit, und all das ist sehr oft in PHP geschrieben. Hat deine Seite ein Kontaktformular, schickt sie die Anfrage meistens an ein kleines PHP-Skript, das daraus eine Mail macht.
In der Diskussion schrieb jemand, bei ihm laufe nur die Anfragefunktion über PHP. Genau diese Funktion ist aber der Teil der Seite, der mit dem Server spricht. „Nur HTML“ beschreibt, wie die Seite gebaut ist. Wie sicher sie ist, hängt am Server darunter.
Satz 2: „Ich hab Cloudflare.“
Cloudflare und ähnliche Dienste stehen wie ein Türsteher vor deiner Website. Sie erkennen bekannte Angriffsmuster und halten viel davon ab, und nach großen Lücken ergänzen die Anbieter ihre Regeln oft schnell. Das ist sinnvoll, und ich empfehle es auch.
Die Lücke auf dem Server schließt der Türsteher aber nicht. Er hält die Angriffe ab, die er erkennt. Wer einen Weg an ihm vorbei findet, etwa direkt über die Adresse des Servers, steht vor derselben offenen Tür. Zu ist sie erst, wenn jemand das Update auf dem Server einspielt.
Satz 3: „Ich nutze gar kein PHP.“
Dann nutzt deine Seite eine andere Technik, und die hat eigene Lücken. Am selben Tag, an dem die PHP-Lücke bekannt wurde, hat Node.js zehn Sicherheitslücken geschlossen, vier davon mit hoher Einstufung (Quelle: securityonline.info). Node.js steckt hinter vielen modernen Websites und Web-Apps.
Damit will ich niemanden verunsichern. Es zeigt nur, dass die Technik nicht darüber entscheidet, ob du betroffen bist. Jede Software bekommt irgendwann ein Sicherheitsupdate. Entscheidend ist, wie schnell es jemand einspielt.
Satz 4: „Mein Hoster macht das.“
Meistens stimmt das. Bei normalem Webhosting ist der Hoster dafür zuständig, die Server-Software zu aktualisieren, und bei der PHP-Lücke haben viele große Hoster innerhalb eines Tages reagiert. Mein eigener hat seine Server vorsorglich abgeschaltet und nach und nach aktualisiert, mein Webmail war deshalb zeitweise nicht erreichbar. Wer einen Baukasten wie Wix oder Jimdo nutzt, ist hier ebenfalls gut aufgehoben, weil sich der Anbieter um die gesamte Technik kümmert.
Mein eigener Hoster ALL-INKL.COM hat seinen Kunden ein paar Tage später geschrieben, was genau passiert ist. Die Updates waren nach etwa acht Stunden auf allen Servern. Ein Satz aus dieser Kundeninformation betrifft jeden, der sich auf seinen Hoster verlässt: „Eine mögliche Ausnutzung vor Installation der Sicherheitsupdates lässt sich allerdings nicht vollständig ausschließen.“ Der Hoster empfiehlt deshalb, die eigene Website auf unbekannte Dateien, unerwartete Änderungen und neu angelegte Benutzerkonten zu prüfen. Das kann er dir nicht abnehmen, das liegt bei dir oder bei der Person, die sich um deine Seite kümmert.
Bei einem meiner Kunden lief es anders. Sein Hoster hatte sich am Tag danach noch nicht öffentlich geäußert, und mein Kunde musste selbst nachfragen. „Mein Hoster macht das“ ist also eine Annahme. Ob sie stimmt, weißt du erst, wenn du weißt, wo dein Hoster solche Meldungen veröffentlicht.
Was alle vier Sätze gemeinsam haben
Alle vier geben die Verantwortung an die Technik ab: an HTML, an Cloudflare, an eine andere Programmiersprache oder an den Hoster. Das verstehe ich gut. Wer sich nicht täglich mit Websites beschäftigt, möchte das Thema abgeben, und abgeben ist auch richtig. Es braucht dafür nur einen Menschen, der weiß, dass er zuständig ist.
Sicher ist eine Website, wenn jemand weiß, worauf sie läuft, und nachschaut, sobald eine Meldung kommt. Das kannst du selbst sein, deine Agentur oder jemand wie ich. Es darf nur nicht niemand sein.
Drei Fragen, die du heute klärst
- Worauf läuft meine Seite? WordPress, ein anderes System, ein Baukasten oder reines HTML. Wenn du es nicht weißt, frag die Person, die deine Seite gebaut hat, oder schau in den Vertrag mit deinem Hoster.
- Wer ist mein Hoster, und wo meldet er sich? Speichere dir seine Statusseite oder die Seite mit seinen Neuigkeiten als Lesezeichen, dazu die Mailadresse des Supports.
- Wer kümmert sich, wenn etwas zu tun ist? Schreib einen Namen auf. Wenn dort „ich“ steht, ist das in Ordnung, solange du weißt, was im Ernstfall zu tun ist.
Mit diesen drei Antworten weißt du bei der nächsten Schlagzeile in zwei Minuten, ob du etwas tun musst. Was bei der PHP-Lücke selbst passiert ist und welche Schritte du jetzt konkret gehen solltest, steht in meinem Artikel PHP-Sicherheitslücke: Weißt du, wer sich um deine Website kümmert? Und wenn du schon dabei bist, prüf gleich mit, ob dein Webhosting-Paket noch zu dir passt und ob deine Daten gesichert sind.
Häufige Fragen
Ist eine reine HTML-Website sicher?
Die Seite selbst bietet wenig Angriffsfläche, weil auf ihr kein Programm läuft. Sicher ist sie trotzdem nur so weit wie der Server, auf dem sie liegt. Kontaktformulare, Webmail und das Kundenmenü des Hosters laufen meist über PHP oder andere Software, die Updates braucht.
Schützt Cloudflare meine Website vor Sicherheitslücken?
Cloudflare filtert bekannte Angriffe heraus, bevor sie deinen Server erreichen. Die Lücke selbst schließt nur ein Update auf dem Server. Cloudflare ist eine zusätzliche Schutzschicht und ersetzt das Update nicht.
Muss ich mich bei einem Website-Baukasten um Updates kümmern?
Bei Baukästen wie Wix, Jimdo oder Squarespace spielt der Anbieter die Updates der Server-Software selbst ein. Du kümmerst dich um sichere Zugangsdaten und um deine Inhalte.
Woher weiß ich, ob mein Hoster ein Sicherheitsupdate eingespielt hat?
Die meisten Hoster veröffentlichen Störungen und Wartungen auf einer Statusseite oder in einem Blog, manche schicken zusätzlich eine Mail. Findest du dort nichts, frag beim Support nach.
Was soll ich nach einer Sicherheitslücke auf meiner Website prüfen?
Auch wenn dein Hoster das Update eingespielt hat, lohnt ein kurzer Blick: Gibt es Benutzerkonten in deinem Backend, die du nicht kennst? Liegen auf dem Server Dateien, die niemand angelegt hat? Hat sich auf der Seite etwas verändert, ohne dass jemand daran gearbeitet hat? Wenn eine dieser Fragen mit Ja beantwortet wird, frag sofort deinen Hoster oder deine Agentur.
Stand: 25.10.2026.
Du möchtest bei der nächsten Schlagzeile nicht selbst recherchieren müssen?
Ich halte deine Website sicher und aktuell und sage dir Bescheid, bevor du dir Sorgen machen musst.
