News

Das Wichtigste vorweg: Für alle wieder freigegebenen Projekte haben wir die nötigen Sicherheitsmaßnahmen umgesetzt. Du musst deshalb nichts tun, mit einer Ausnahme: Projekte mit einer PHP-Version unter 5.6 bleiben vorerst deaktiviert und brauchen ein Update.

Keine Sorge: Die angezeigte Version heißt nicht, dass dein Projekt ungeschützt ist. Für alle wieder freigegebenen Projekte haben wir die Updates bereits eingespielt. An der Anzeige arbeiten wir.

Woran erkenne ich, dass mein Projekt geschützt ist?

Wenn wir dein Projekt wieder freigegeben haben, sind auf unserer Seite alle nötigen Schutzmaßnahmen umgesetzt. Die Updates haben wir serverseitig eingespielt. Du musst nichts installieren und keine Dienste neu starten.

Ausnahme: Projekte mit PHP unter 5.6 bleiben deaktiviert, weil es für diese Versionen keine Sicherheitsupdates gibt.

Muss ich meine PHP-Version jetzt aktualisieren?

Wegen PHP2Shell nicht, sofern dein Projekt wieder freigegeben ist. Trotzdem empfehlen wir dir, Anwendungen und PHP-Versionen regelmäßig zu aktualisieren.

Du willst auf eine neuere PHP-Version wechseln? Prüf vorher, ob dein CMS oder Shopsystem und alle Themes und Plugins damit kompatibel sind. Die neueste Version ist nicht automatisch die beste Wahl für jede bestehende Website.

Mein Projekt ist noch deaktiviert. Was muss ich tun?

Nutzt dein Projekt eine PHP-Version unter 5.6, brauchst du ein Update. Für diese alten Versionen gibt es keine passenden Sicherheitspatches. Prüf zuerst, mit welcher neueren PHP-Version deine Anwendung kompatibel ist, und plan dann das Update.

Du kannst dein Projekt zwar selbst wieder aktivieren. Damit setzt du es aber einem hohen Risiko aus. Davon raten wir dringend ab, solange du nicht auf eine sichere PHP-Version gewechselt hast.

Warum habt ihr auch Projekte ohne PHP deaktiviert?

Uns ging es vor allem darum, die gesamte Hosting-Infrastruktur zu schützen.

Zum Zeitpunkt der Abschaltung konnten wir nicht sicher ausschließen, dass Systeme schon kompromittiert waren. Hätten wir nur einzelne Projekte abgeschaltet, wären mehr Prüfungen nötig gewesen. Die Ausfälle hätten dann womöglich deutlich länger gedauert.

Deshalb haben wir uns für eine vorsorgliche Abschaltung entschieden. Sie betraf auch Projekte, die selbst kein PHP nutzen.

Warum habt ihr keine Wartungsseite angezeigt?

Wir haben verschiedene Wege geprüft und uns bewusst gegen eine Wartungsseite entschieden. Damit niemand die Sicherheitslücke ausnutzen konnte, haben wir das gesamte System abgeschaltet. Für eine Wartungsseite hätten außerdem Teile der betroffenen Systeme weiterlaufen müssen. In dieser kritischen Lage wollten wir dieses Risiko nicht eingehen.

War auch mein E-Mail-Verkehr betroffen?

Nein. Unsere E-Mail-Dienste waren zu keiner Zeit von der Lücke oder den Abschaltungen betroffen.

Gibt es Hinweise, dass Angreifer die Lücke ausgenutzt haben?

Nach unserem aktuellen Kenntnisstand gibt es keine Hinweise darauf, dass jemand die Lücke in unserer Hosting-Infrastruktur erfolgreich ausgenutzt hat. Wir behalten die Lage weiter im Blick. Gibt es neue Erkenntnisse, die dich betreffen, melden wir uns direkt bei dir.

Danke für deine Geduld

Uns ist bewusst: Die Abschaltung hat deine Websites, Projekte und Abläufe getroffen. Wir verstehen deinen Ärger.

Unser Ziel war, dich und deine Daten so gut wie möglich zu schützen. Auch wenn das hieß, unter Zeitdruck eine schwere Entscheidung zu treffen.

Danke für dein Vertrauen.