PHP-Lücke: Wie gefährlich ist sie für Ihr KMU?

Für die meisten Schweizer KMU ist das Risiko deutlich kleiner, als die Schlagzeilen vermuten lassen. Als vor Kurzem in mehreren Medien stand, PHP sei grundsätzlich unsicher, haben uns Kunden direkt darauf angesprochen. Wir haben noch am selben Tag ein Screening über unseren gesamten Bestand gemacht. Von mehreren Hundert aktiven Kundenprojekten waren genau sechs betroffen.

Diese Zahl erklärt das Thema besser als jede technische Beschreibung. PHP ist die Sprache, auf der ein grosser Teil des Webs läuft, auch WordPress, TYPO3 oder Joomla. Wird irgendwo in diesem Ökosystem eine Schwachstelle gemeldet, titeln Medien gern «PHP unsicher». Ob Ihre Website wirklich angreifbar ist, hängt aber von Ihrer konkreten Konfiguration ab: welche PHP-Version läuft, welche Erweiterungen aktiv sind und wie viele Fremdbausteine mitlaufen.

Eine Sicherheitslücke ist keine automatische Katastrophe. Sie ist eine Information. Ob daraus ein Problem wird, entscheidet sich an einer einzigen Frage: Kümmert sich jemand regelmässig um Ihre Website, oder läuft sie seit Jahren unberührt vor sich hin?

In den meisten Fällen nicht persönlich und nicht panisch. Wenn Sie einen Wartungsvertrag haben, ist das Reagieren Aufgabe Ihrer Agentur, nicht Ihre. Handlungsdruck entsteht erst, wenn drei Dinge zusammenkommen: Die Lücke ist aktiv ausnutzbar, Ihre Version ist betroffen, und niemand pflegt das System.

Sinnvoll ist eine nüchterne Priorisierung statt Aktionismus. So ordnen wir intern ein, wie dringend eine gemeldete Lücke für ein Kundenprojekt ist:

Wenn Sie unsicher sind, in welche Zeile Ihre Website fällt, ist das bereits das eigentliche Problem. Dann fehlt Ihnen die laufende Übersicht. Genau diese Übersicht liefert eine strukturierte Website-Wartung und Support.

Das lässt sich in wenigen Minuten einschätzen, wenn Sie die richtigen Fragen stellen. Fragen Sie Ihre Agentur oder Ihren Hoster: Welche PHP-Version läuft? Wird sie noch mit Sicherheitsupdates versorgt? Und wie viele Plugins oder Module sind installiert?

Die PHP-Version ist der schnellste Anhaltspunkt. Veraltete Versionen erhalten keine Sicherheitsupdates mehr. Läuft Ihre Website noch auf einer solchen, ist sie unabhängig von einer konkreten Schlagzeile ein Risiko. Der zweite Punkt ist die Zahl der Fremdbausteine. Je mehr Plugins, Themes und Module von unterschiedlichen Anbietern zusammenspielen, desto mehr mögliche Einfallstore existieren.

Was wir in Projekten oft sehen: Websites, die vor fünf oder sechs Jahren gebaut und seither nicht angefasst wurden, tragen 20 oder mehr Plugins mit sich herum. Mehrere davon werden gar nicht mehr aktiv weiterentwickelt. Das ist der typische Zustand, bei dem eine PHP- oder Plugin-Lücke tatsächlich gefährlich wird.

Nicht das CMS selbst ist das Problem, sondern die Menge der Beteiligten. Ein System wie WordPress ist im Kern solide gepflegt. Gefährlich wird es durch das, was rundherum angebaut wird: Plugins von Dutzenden verschiedenen Entwicklern, Themes aus unbekannten Quellen, Erweiterungen, die seit Jahren kein Update mehr gesehen haben.

Jeder dieser Bausteine ist ein eigener Akteur mit eigenem Sicherheitsniveau. Sie als Inhaberin oder Inhaber haben keinen Einblick, wie sorgfältig ein einzelner Plugin-Entwickler arbeitet. Besteht eine Website aus 30 solchen Teilen, hängt ihre Sicherheit vom schwächsten davon ab. Ob Sie überhaupt eine Agentur, einen Webdesigner oder einen Baukasten brauchen, klären Sie vorab in Webdesigner, Webagentur oder Digitalagentur.

Wir setzen seit Längerem auf schlanke, eigens geschriebene Lösungen statt auf überladene Plugin-Landschaften. Das ist unsere Haltung, nicht erst eine Reaktion auf die aktuelle Welle. Alle Anwendungen, die wir in den letzten rund zwei Jahren gebaut haben, laufen stabil und waren von der jüngsten Meldung nicht betroffen.

Der Grund ist einfach: Wo wir den Code selbst schreiben, kontrollieren wir, welche Teile verbaut sind. Es gibt keine 25 Fremd-Plugins, die niemand mehr pflegt. Es gibt definierte Bausteine, die wir vollständig durchscannen und aktuell halten können. Die interne Vorgabe lautet: eigener, überschaubarer Code statt möglichst vieler fremder Akteure im Projekt.

2026 lässt sich das wirtschaftlich umsetzen. Mit heutigen Werkzeugen kann man für jeden Kunden mit vertretbarem Aufwand passenden Code schreiben, statt eine generische Baukasten-Installation mit Erweiterungen vollzustopfen. Unsere Empfehlung: Für neue Projekte und Relaunches ist der schlanke Weg mit wenig Fremdbausteinen klar die sicherere Wahl. Wie wir das technisch aufziehen, zeigt unsere Seite zur Webentwicklung.

Dass dieser Ansatz in der Praxis trägt, zeigen konkrete Projekte. Das Modellflugzentrum betreibt einen Shop mit über 6'800 Produkten und TWINT-Zahlung, gepflegt per Prompt. Kundinnen von Inner Beauty und Help4Cats bloggen über ein eigenes Backend mit KI-Unterstützung selbst. Für Damian Maxson läuft ein Blog in acht Sprachen mit automatischer Übersetzung, Online-Coaching und Apps in beiden App Stores. In all diesen Fällen hängt die Sicherheit nicht an einem Flickenteppich fremder Plugins.

Immer eine, die noch offiziell mit Sicherheitsupdates versorgt wird. Konkret bedeutet das: eine aktuelle, unterstützte PHP-Version und keine, deren Support ausgelaufen ist. Welche genau das ist, verschiebt sich jährlich, deshalb nennen wir hier bewusst keine fixe Nummer, die in einem Jahr überholt wäre.

Wichtiger als die exakte Zahl ist das Prinzip dahinter. Eine zeitgemässe Website verwendet Software, die ihr Hersteller aktiv pflegt, und ein Betreiber hält diese Software aktuell. Das gilt für PHP genauso wie für das CMS und jeden einzelnen Baustein. Fällt eines dieser Teile aus dem Support, entsteht ein blinder Fleck, den auch das beste Hosting nicht ausgleicht.

Das hängt vom Zustand ab, in dem sie heute ist. Bei einer gepflegten Website mit Wartungsvertrag kostet das Reagieren auf eine neue Lücke in der Regel nichts Zusätzliches, weil es Teil der laufenden Betreuung ist. Teuer wird es erst, wenn jahrelang nichts gemacht wurde und ein ganzer Berg an Updates, veralteten Plugins und Altlasten auf einmal aufgeräumt werden muss.

Bei uns beginnen neue Websites bei einem Festpreis von CHF 990 inklusive Hosting und Domain, umfangreichere KMU-Websites liegen zwischen CHF 3'990 und CHF 9'990. Eine Homepage ist in etwa drei Wochen online, typische KMU-Projekte dauern vier bis acht Wochen. Für bestehende Websites ist oft der günstigere Weg ein Wartungsvertrag statt einer teuren Notfallsanierung nach einem Vorfall. Was eine neue Website kostet und wie sich das rechnet, erklären wir in Was kostet eine Website in der Schweiz 2026.

Die Verantwortung für die Daten Ihrer Kundinnen und Kunden liegt grundsätzlich bei Ihnen als Betreiberin oder Betreiber. Das revidierte Datenschutzgesetz (revDSG) ist seit dem 1. September 2023 in Kraft und verlangt angemessene Sicherheitsmassnahmen für Personendaten. Wird Ihre Website gehackt und gelangen Kundendaten nach aussen, müssen Sie das gegenüber den Betroffenen und der Aufsichtsbehörde verantworten.

Eine Agentur kann Ihnen die technische Pflege abnehmen, aber die Pflicht, dass überhaupt jemand pflegt, bleibt bei Ihnen. Deshalb raten wir dazu, Verantwortlichkeiten schriftlich festzuhalten: Wer macht Updates, wie oft, und wer meldet sich bei einem Vorfall. Ein ungepflegtes System ist aus Datenschutzsicht das grösste Risiko, weil hier «angemessene Massnahmen» schlicht fehlen.

Sicherheit ist kein einmaliger Zustand, sondern ein laufender Prozess mit wenig überladener Technik. Aus unseren Projekten lässt sich das auf wenige klare Punkte verdichten:

• Setzen Sie auf schlanke Systeme mit möglichst wenig Fremdbausteinen statt auf Plugin-überladene Installationen.
• Halten Sie PHP, CMS und alle Bausteine auf unterstützten, gepflegten Versionen.
• Vereinbaren Sie eine laufende Wartung, damit auf Meldungen jemand reagiert, ohne dass Sie es merken müssen.
• Prüfen Sie bei einem Relaunch, ob ein neuer, schlanker Aufbau günstiger ist als das Flicken des Alten.
• Klären Sie die Verantwortlichkeiten schriftlich, besonders mit Blick auf das revDSG.

Ob sich ein Wechsel lohnt, entscheidet nicht die aktuelle Schlagzeile, sondern der Gesamtzustand. Ist Ihre Website alt, voller ungepflegter Plugins und schwer wartbar, ist ein sauberer Neuaufbau meist der ruhigere und oft günstigere Weg. Wir beraten Sie dazu neutral unter Webseiten erstellen lassen. Worauf Sie bei der Qualität achten sollten, zeigt ausserdem Professionelles Webdesign erkennen.

Die aktuelle PHP-Welle ist ein gutes Beispiel dafür, wie Schlagzeilen und reales Risiko auseinanderliegen. Sechs von mehreren Hundert unserer Kunden waren betroffen, alle neueren, schlank gebauten Projekte gar nicht. Die eigentliche Lehre ist nicht «PHP ist unsicher», sondern: Überladene Systeme mit vielen Fremdbausteinen und ohne laufende Pflege sind das Risiko. Wer 2026 neu baut, sollte auf schlanken, kontrollierbaren Code und einen festen Wartungsweg setzen.