Sicherheit im Onlineshop einer Buchhandlung

Beispiel: die Lücke „PHP2Shell“ im Oktober 2026

PHP ist die Programmiersprache, in der ein großer Teil aller Websites läuft, darunter viele Onlineshops und fast alle WordPress-Seiten. Am 21. Oktober 2026 wurden zwei Lücken in PHP veröffentlicht (CVE-2026-109618 und CVE-2026-109619, Bewertung 9,2 von 10). Über sie konnten Angreifer ohne Anmeldung eigenen Code auf dem Server ausführen, und zwar schon bei der Standardeinstellung. Am selben Tag erschienen korrigierte PHP-Versionen. Öffentlich verfügbare Testprogramme machten die Lücke schnell ausnutzbar.

So eine Lage ist typisch: Die Lücke ist öffentlich, der Fix ist vom Hersteller freigegeben, aber er steckt noch nicht in den fertigen Paketen, mit denen Shops betrieben werden. Dazwischen liegen Stunden bis Tage.

Wie wir bei Pagina reagiert haben

1. Betroffenheit klären: Welche PHP-Version läuft auf den Servern wirklich? Das prüfen wir am laufenden System, nicht in der Dokumentation.
2. Notmaßnahme am selben Tag: Rund eine Stunde nach der Veröffentlichung haben wir die betroffene Funktion abgeschaltet, die der Shop nicht braucht. Der Shop lief ohne Unterbrechung weiter.
3. Update nach Probelauf: Sobald die korrigierte Version verfügbar war, haben wir sie zuerst in einer Testumgebung mit allen automatischen Tests geprüft und am nächsten Tag eingespielt, mit Datensicherung vorher und vorbereitetem Rückweg. Die Unterbrechung lag bei wenigen Sekunden.
4. Alle Systeme nachziehen: nicht nur den Shop, sondern auch Kontaktformulare und Nebensysteme, die dieselbe Software nutzen.

Hinweise auf eine Ausnutzung gab es bei uns nicht.

Was ein Shop-Betreiber laufend tun sollte

• Sicherheitsupdates zeitnah einspielen: kritische Lücken innerhalb von Stunden bis wenigen Tagen, den Rest mit dem nächsten regulären Update.
• Feste Versionen statt „immer die neueste“: Wer genau weiß, welche Version läuft, erkennt sofort, ob er betroffen ist, und kann ein Update gezielt testen.
• Automatische Prüfung bekannter Lücken: Werkzeuge vergleichen die eingesetzten Programmpakete mit öffentlichen Lückendatenbanken und schlagen Alarm.
• Datensicherung, die man schon einmal zurückgespielt hat: Eine Sicherung zählt erst, wenn die Wiederherstellung getestet ist.
• Getrennte Daten pro Buchhandlung: Bei Pagina hat jede Buchhandlung eine eigene Instanz mit eigener Datenbank. Ein Fehler in einem Shop betrifft nicht die Daten eines anderen.
• Zugänge absichern: Verwaltungszugänge mit starken Passwörtern und Zwei-Faktor-Anmeldung, Serverzugang nur per Schlüssel.
• Altsysteme abschalten: Ein alter Shop, der „noch kurz“ weiterläuft, bekommt meist keine Updates mehr und ist oft die größte Lücke.

Fragen, die Sie Ihrem Shop-Anbieter stellen sollten

• Wer spielt Sicherheitsupdates ein, und ist das im Preis enthalten?
• Wie schnell reagieren Sie bei einer kritischen Lücke, und wie erfahre ich davon?
• Wo liegen die Daten meiner Kundschaft, und sind sie von anderen Kunden getrennt?
• Wie oft wird gesichert, wo liegt die Sicherung, und wann wurde zuletzt eine Wiederherstellung getestet?
• Was passiert bei einem Sicherheitsvorfall? Wer informiert mich, und wer kümmert sich um die Meldung an die Datenschutzbehörde?

Auch an die eigene Website denken

Viele Buchhandlungen haben neben dem Shop eine eigene Website, häufig mit WordPress. Auch sie läuft meist mit PHP und war von PHP2Shell betroffen. Fragen Sie Ihren Hoster bzw. Ihre Agentur, ob die Website aktualisiert wurde, und halten Sie WordPress, Themes und Plugins aktuell. Nicht genutzte Plugins löschen Sie am besten.

Wenn doch etwas passiert

Werden personenbezogene Daten Ihrer Kundschaft unbefugt zugänglich, muss das nach der DSGVO in der Regel innerhalb von 72 Stunden an die Datenschutzbehörde gemeldet werden (in Österreich die Datenschutzbehörde, in Deutschland die Aufsichtsbehörde des Bundeslandes). Verantwortlich ist die Buchhandlung als Shop-Betreiberin, der technische Dienstleister muss sie dabei unverzüglich informieren und unterstützen. Das regelt der Auftragsverarbeitungsvertrag.

Diese Seite beschreibt die Praxis aus Sicht eines Shop-Anbieters und ist keine Rechtsberatung.

Häufige Fragen