Wie erkenne ich, ob meine Webseite betroffen ist?
Wer als CMS WordPress verwendet, nutzt grundsätzlich auch PHP. Die eingesetzte Version lässt sich im Verwaltungsbereich unter „Werkzeuge > Website-Zustand > Info > Server“ nachsehen.
Für PHP 8.2 bis 8.5 stehen Sicherheitsupdates bereit. Ältere Versionen werden vom PHP-Projekt nicht mehr offiziell unterstützt. Manche Hosting-Anbieter liefern allerdings eigene Sicherheitskorrekturen. Betreiber sollten deshalb schnellstmöglich prüfen, ob ihr Anbieter die Lücke bereits geschlossen hat. Wichtig: Ein WordPress-Update allein reicht nicht aus.
Sind bereits Daten gestohlen worden?
Die Hacker sind bereits im Angriffsmodus. Amazon verzeichnete schon am 17. Oktober erste Attacken und auch der Internet-Dienstleister Cloudflare beobachtet aktuell, wie die Zahl der gezielten Attacken auf die ungestopften Lücken rasant in die Höhe schießt.
Das heißt allerdings noch nicht, dass Kundendaten tatsächlich gestohlen wurden. Webseitenbetreiber können ihre Serverprotokolle und Dateien auf verdächtige Aktivitäten untersuchen lassen. Vollständige Gewissheit gibt es dabei nicht immer. Ein Sicherheitsupdate verhindert weitere Angriffe über die geschlossenen Lücken, beseitigt aber keine bereits erfolgte Infektion.
Müssen kleine Webseitenbetreiber haften?
Auch kleine Onlineshops und Blogs müssen persönliche Kundendaten angemessen schützen. Wird eine Sicherheitslücke ausgenutzt, können nach der Datenschutz-Grundverordnung Meldepflichten entstehen. Bei entsprechendem Risiko muss die zuständige Datenschutzbehörde innerhalb von 72 Stunden informiert werden.
Schadenersatzansprüche sind ebenfalls denkbar. Allerdings haftet ein Betreiber nicht automatisch, nur weil seine Webseite eine Sicherheitslücke hatte. Entscheidend sind unter anderem ein Datenschutzverstoß und ein dadurch entstandener Schaden.
Sind andere Programmiersprachen sicherer?
Es gibt keine Programmiersprache die grundsätzlich sicher ist. Auch andere Systeme können schwerwiegende Fehler enthalten. Entscheidend ist, wie schnell solche Fehler entdeckt und behoben werden und ob Betreiber die verfügbaren Updates installieren.
Was können Verbraucher jetzt tun?
Die Schwachstellen befinden sich auf den Servern der Webseiten, nicht auf den Smartphones oder Computern der Besucher. Über Dienste wie „Have I Been Pwned“ lässt sich prüfen, ob die eigene E-Mail-Adresse in bekannten Datenlecks auftaucht. Neue oder bislang unentdeckte Datenabflüsse werden dort allerdings nicht zuverlässig erkannt.
Passwörter bei Diensten wie MVG oder DB Navigator müssen deshalb nicht vorsorglich geändert werden. Sinnvoll ist ein Wechsel, wenn ein konkreter Datenabfluss bekannt wird oder dasselbe Passwort auch bei anderen Diensten verwendet wird. Das Nutzen von Passwort-Managern, starke Passwörter und die Zwei-Faktor-Authentifizierung bieten grundsätzlich mehr Schutz.
