Zum Inhalt
pandaworks

Website gehackt: was Kita-Träger in den ersten Stunden tun

Woran Sie die häufigsten Angriffe erkennen, was in den ersten Stunden zu tun ist und wann der Träger eine Datenpanne melden muss. Dazu, was die Sicherheitslücken PHP2Shell vom Oktober 2026 für Ihre Website heißen.

PHP2Shell: die Sicherheitslücken vom Oktober 2026

Stand: 30.10.2026, nach BSI und php.net

Was passiert ist
Am 21. Oktober 2026 hat das PHP-Projekt zwei kritische Sicherheitslücken geschlossen (CVE-2026-109618 und CVE-2026-109619). Über sie können Angreifer ohne Anmeldung eigenen Code auf einem Webserver ausführen. Auf PHP laufen unter anderem WordPress, TYPO3, Drupal und Joomla.
Warnung
Das BSI hat mit der zweithöchsten Stufe gewarnt: Maßnahmen müssen unverzüglich ergriffen werden. Angriffsversuche gab es; eine erfolgreiche Ausnutzung in der Breite war dem BSI am 22. Oktober nicht bekannt.
Behoben in
PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 sowie allen späteren Versionen.
Prüfen
Das Update spielt Ihr Hoster auf dem Server ein, nicht die Website. Fragen Sie ihn schriftlich, ob der Schutz gegen PHP2Shell installiert ist; das rät auch das BSI. Die Versionsnummer allein reicht nicht immer, weil manche Server den Schutz nachgereicht bekommen, ohne dass sich die Nummer ändert.
Nummer finden
In WordPress steht die PHP-Version unter Werkzeuge → Website-Zustand → Bericht, im Abschnitt „Server“.
Alte Versionen
PHP 8.1 und älter bekommen vom PHP-Projekt keine Updates mehr, PHP 8.2 nur noch bis zum 31. Dezember 2026. Läuft Ihre Website auf einer dieser Versionen, steht ein Wechsel an.
Vor dem Update
War die Website vor dem Update erreichbar, lassen Sie prüfen, ob in dieser Zeit jemand eingedrungen ist. Die Anzeichen stehen unten.
Mit Betreuung
In der Betreuung halte ich die PHP-Version Ihrer Website aktuell; wichtige Sicherheitsupdates spiele ich binnen eines Werktags nach Erscheinen ein.
Quelle
BSI-IT-Sicherheitshinweis BITS-H Nr. 2026-297981-1232, Version 1.2 vom 22.10.2026; php.net, Meldung vom 21.10.2026

Woran Sie die häufigsten Angriffe erkennen

  • Japanische Seiten bei Google (Japanese Keyword Hack): Unter Ihrer Adresse stehen Seiten mit japanischen Zeichen.
  • Fremde Werbung: Links und Texte, etwa zu Medikamenten, oft nur für Google sichtbar.
  • Weiterleitung: Besucher landen auf fremden Seiten, oft nur über Google oder vom Handy aus.
  • Fremde Benutzer und Hintertüren: Unbekannte Benutzer und versteckte Zugänge, über die der Angreifer nach einer Bereinigung zurückkommt.
  • Spam-Mails: Ihre Website verschickt Spam. Dann kann der Server auf Sperrlisten landen, und Mails von dort kommen nicht mehr an, etwa aus Ihren Formularen. Kommen gefälschte Mails mit Ihrem Absender an, hilft der Ratgeber „Gefälschte Mails“.

Erkennt Google veränderte oder neue Seiten, steht in den Suchergebnissen „Diese Website wurde möglicherweise gehackt“.

Hinein kommen Angreifer laut Google vor allem über erratene oder mehrfach verwendete Passwörter und über Erweiterungen ohne Updates. Bei WordPress steckten 2025 neun von zehn neu gefundenen Sicherheitslücken in Erweiterungen (Patchstack).

Geben Sie bei Google „site:“ und direkt dahinter Ihre Adresse ein. Stehen dort Seiten, die Sie nicht kennen, ist das ein deutliches Zeichen.

Die ersten Stunden

  1. Notieren Sie, was wann aufgefallen ist, mit Uhrzeit und Bildschirmfotos.
  2. Informieren Sie Ihren Hoster oder Dienstleister und Ihren Datenschutzbeauftragten.
  3. Leitet die Website auf fremde Seiten weiter, lassen Sie sie vom Netz nehmen, bis sie bereinigt ist.
  4. Ändern Sie die Passwörter für das Hosting und alle Administrator-Zugänge, von einem Gerät, das nicht betroffen ist.
  5. Löschen Sie nichts und spielen Sie nicht selbst eine Sicherung ein: Sonst fehlen die Spuren, und die Lücke bleibt offen.
  6. Klären Sie mit Ihrem Datenschutzbeauftragten, ob eine Datenpanne vorliegt. Die Frist dafür läuft ab jetzt.

Datenpanne: was bei Kita-Trägern dazukommt

Über die Website kommen Anmeldungen mit Daten von Kindern und Bewerbungen mit Lebensläufen. Konnte ein Angreifer diese Daten sehen oder kopieren, ist das eine Datenpanne.

Melden muss sie der Träger, nicht sein Dienstleister: an die zuständige Datenschutzaufsicht, unverzüglich und möglichst binnen 72 Stunden, nachdem er davon erfahren hat (Art. 33 DSGVO). Katholische Träger melden nach § 33 KDG mit derselben Frist, evangelische nach § 32 DSG-EKD unverzüglich.

Nach DSGVO und KDG entfällt die Meldung nur, wenn die Panne voraussichtlich kein Risiko für die Betroffenen bringt; nach DSG-EKD muss gemeldet werden, wenn das Risiko nicht unerheblich ist. Daten von Kindern erhöhen das Risiko eher (EDSA, Leitlinien 9/2022). Ist es hoch, müssen auch Eltern und Bewerber informiert werden (Art. 34 DSGVO).

In Österreich gilt dieselbe Frist; zuständig ist die Datenschutzbehörde.

Nach der Bereinigung

  • Die Ursache ist gefunden und geschlossen, sonst kommt der Angreifer zurück.
  • Alle Passwörter sind neu, unbekannte Benutzer gelöscht. Wer welche Zugänge halten sollte, steht im Ratgeber „Anbieter wechseln“.
  • Bei Google ist eine Überprüfung beantragt, damit Warnhinweise verschwinden.
  • Die Website wird danach jeden Tag geprüft und gesichert. Was tägliche Kontrolle und Sicherung im Monat kosten, steht im Ratgeber „Website-Kosten“.
Wie sicher ist die Website Ihres Trägers?

Hilfe von pandaworks

Bei einem Notfall schreiben Sie „Notfall“ in den Betreff. Sie bekommen binnen vier Stunden eine Antwort mit den nächsten Schritten, gerechnet von Montag bis Freitag, 9 bis 17 Uhr; im Urlaub und bei Krankheit binnen 24 Stunden.

Notfall per Mail melden

Für Websites ohne Betreuung gibt es die Hilfe nach einem Angriff als Paket für 1.490 €: bis zu acht Stunden Bereinigung, Bericht für die Meldung an die Aufsichtsbehörde und 30 Tage Nachkontrolle.

Mit Betreuung läuft Ihre Website im Notfall binnen vier Stunden wieder (Montag bis Freitag, 9 bis 17 Uhr; im Urlaub und bei Krankheit binnen 24 Stunden eine Antwort), nach einem Angriff mit bis zu zehn Stunden Bereinigung ohne Aufpreis.

Ob Ihre Website heute angreifbar ist, zeigt die Prüfung für 790 €.

Ich halte Ihre Website auf dem Stand, wenn sich Gesetze, Google oder Software ändern, und entwickle sie weiter, wenn Sie Neues brauchen.

Quellen

Stand: 31. Oktober 2026

Weitere Ratgeber

Wie steht es um Ihre Website?

Erstgespräch vereinbaren

hallo@pandaworks.de