Selbstverständlich ging die Meldung über die kritischen Sicherheitslücken in PHP auch an uns nicht spurlos vorbei. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnte eindringlich vor zwei schwerwiegenden Schwachstellen – und zack, schon machte sich vielerorts Panik breit. „Was muss ich jetzt tun?“

Wie in fast allen Lebenslagen gilt auch hier zunächst: Ruhe bewahren und nichts überstürzen. Gleichzeitig heißt es aber auch, aufmerksam zu bleiben und notwendige Sicherheitsmaßnahmen schnellstmöglich umzusetzen.

Zwei Sicherheitslücken, von denen die breite Öffentlichkeit bis dahin nichts wusste, sorgten plötzlich weltweit für Aufregung. Und das aus gutem Grund: PHP ist eine der am weitesten verbreiteten Programmiersprachen für Webseiten und Webanwendungen. Entsprechend viele Systeme waren potenziell betroffen. Darunter auch zahlreiche Webseiten, die mit WordPress betrieben werden. So auch die Seiten unserer Kunden. Man muss dazu sagen, dass wir die Sicherheitslücken in PHP nicht selbst schließen können. Der Hintergrund ist, dass wir zwar Zugriff auf das Backend der jeweiligen WordPress-Webseiten haben, die Schwachstellen aber nicht in WordPress selbst, sondern in der zugrunde liegenden PHP-Laufzeitumgebung liegen. Diese müssen durch entsprechende Sicherheitsupdates behoben werden. Und dafür sind in erster Linie die jeweiligen Hoster beziehungsweise Serverbetreiber zuständig.

Was wir aber getan haben: Zuerst haben wir im Backend von WordPress nachgeschaut, welche PHP-Version auf dem jeweiligen Server verwendet wird. Diese Informationen haben wir anschließend mit den Angaben und Sicherheitsmeldungen der jeweiligen Hoster abgeglichen. In den meisten Fällen hatten die Hoster die betroffenen PHP-Versionen bereits durch entsprechend korrigierte Versionen ersetzt. So konnten wir unsere Kunden umgehend informieren. Und das bereits proaktiv, ohne dass diese erst bei uns nachfragen mussten. Denn auch das ist eine Form der Kommunikation, die ein Kunde von einer guten Agentur erwarten darf.

Bei den wenigen Hostern, die nicht ganz so schnell waren, haben wir uns ebenfalls proaktiv Informationen eingeholt und diese transparent an unsere Kunden weitergegeben. In einzelnen Fällen haben wir zudem die in den Datenbanken gespeicherten Endkundendaten exportiert und anschließend gelöscht, soweit diese nicht mehr benötigt wurden und keine Aufbewahrungspflichten entgegenstanden. Das ist grundsätzlich eine Maßnahme, die wir ohnehin regelmäßig durchführen. Deshalb waren auch keine großen Datenmengen vorhanden. Zwar lassen sich dadurch die PHP-Sicherheitslücken nicht beheben, allerdings reduziert eine konsequente Datenminimierung die Menge an Informationen, die bei einem möglichen Sicherheitsvorfall gefährdet sein könnten.

Wenige Stunden später waren auch die übrigen betroffenen PHP-Installationen bei den Hostern auf korrigierte Versionen aktualisiert. Damit waren die beiden bekannt gewordenen Schwachstellen nach unserem Kenntnisstand auch dort behoben. Natürlich bedeutet ein installiertes Update nicht automatisch, dass zuvor kein Angriff stattgefunden hat. Es beseitigt aber die entsprechenden Schwachstellen für zukünftige Angriffsversuche. Selbstverständlich haben wir auch diese Informationen immer wieder an unsere Kunden weitergegeben. Denn gerade bei einem sicherheitsrelevanten Thema sollte niemand im Ungewissen gelassen werden.

Unser Fazit:

Selbst wenn eine kritische Sicherheitslücke bekannt wird, die außerhalb unseres direkten Einflussbereichs liegt, sollte eine transparente Information an den Kunden immer möglich sein. Schließlich gehört es für uns zu einer guten Betreuung, nicht erst dann aktiv zu werden, wenn ein Kunde nachfragt, sondern auch selbst aufmerksam zu bleiben und entsprechend zu handeln.