PHP2Shell: Was Unternehmen aus der globalen Sicherheitslücke für ihre Krisenkommunikation lernen können

In Kürze:
Die kritische Sicherheitslücke „PHP2Shell“ hat im Oktober 2026 Behörden, Hochschulen und Unternehmen dazu gezwungen, ihre Websites vom Netz zu nehmen. Von Behördenwebsites über Ticketverkauf bis zu Rechnungssoftware zeigt der Fall: Schon der bloße Verdacht auf eine Schwachstelle kann eine volle Kommunikationskrise auslösen, nicht erst ein bestätigter Hack. Unternehmen sollten für ihre Krisenkommunikation ein vorbereitetes Playbook haben: mit definierten Sprecher:innen, Textbausteinen und einer geordneten Kommunikation während des Vorfalls.

Ein technischer Fehler mit globaler Reichweite

Mitte Oktober 2026 meldete das Bundesamt für Sicherheit in der Informationstechnik (BSI) gleich zwei kritische Schwachstellen in der Programmiersprache PHP, bekannt geworden unter dem Namen „PHP2Shell“. Das BSI stufte das Risiko mit der Warnstufe „3 / Orange“ als außerordentlich hoch ein. Als Reaktion mussten Unternehmen, Universitäten, Stadtverwaltungen oder Kliniken schnell Sicherheitsupdates einspielen, viele nahmen ihre Online-Angebote vorsorglich vom Netz. Denn PHP ist ein Grundbaustein vieler Websites.

Für die betroffenen Organisationen war damit nicht nur ein IT-Problem, sondern auch ein Fall von Krisenkommunikation entstanden: Mitarbeitende, Kund:innen und die Öffentlichkeit brauchten innerhalb von Stunden verlässliche Antworten, zugleich war die technische Lage noch immer in Bewegung.

Konkrete Fälle: Wer in Deutschland offline ging

• Üstra (Hannover): Website vorübergehend abgeschaltet, Fahrkartenkauf sowie die Anzeige bereits gekaufter Tickets in der App waren betroffen – eine direkte Einschränkung für Fahrgäste.
• Polizei Nordrhein-Westfalen / Landesamt für Zentrale Polizeiliche Dienste: Mehrere Onlinedienste, darunter Online-Anzeigen und die Anmeldung von Versammlungen, waren über Stunden nicht erreichbar.
• easybill: Der Anbieter von Rechnungssoftware schaltete sowohl seine Anwendung als auch seine Website ab – eine Unterbrechung direkt an der Kundenschnittstelle eines Geschäftsdienstes.
• Mainz, Potsdam und Halberstadt: Städtische Websites beziehungsweise Internetdienste wurden vorsorglich abgeschaltet.
• Charité Berlin und zahlreiche Kliniken in NRW: Klinikwebsites waren zeitweise nicht erreichbar. Für die NRW-Kliniken wurde ausdrücklich klargestellt, dass die Patientenversorgung selbst nicht betroffen war. Das zeigt die Breite der Betroffenen – und wie schnell ein Cybersecurity-Risiko Unternehmen bedrohen kann, unabhängig von ihrem Tätigkeitsfeld. All diese Unternehmen und Organisationen mussten gegenüber echten Nutzer:innen – Fahrgästen, Bürger:innen, Patient:innen, Geschäftskund:innen – kommunizieren, dass und warum ein Dienst nicht funktioniert. Auch ohne vorliegenden Schadensfall – und ohne ein komplett klares Bild der Situation. Diese Gratwanderung zwischen Transparenz und Alarmismus ist die eigentliche kommunikative Herausforderung des Falls.

Warum Unternehmen nicht erst dann anfangen dürfen, wenn es brennt

Wer in einer solchen Lage erst beginnt, Verantwortlichkeiten zu klären, Formulierungen abzustimmen oder herauszufinden, wer überhaupt sprechen darf, verliert wertvolle Zeit – und mit ihr die Deutungshoheit über die eigene Erzählung. Deshalb entscheidet sich der Erfolg der Kommunikation in einer Cyberkrise lange vor dem eigentlichen Vorfall.

Ein belastbares Krisenhandbuch definiert im Vorfeld, wer informiert wird, wer entscheidet und wer nach außen spricht, inklusive Vertretungsregelungen und 24/7-Erreichbarkeit. Dazu gehört auch, explizit offizielle Sprecher:innen zu benennen und sie auf den Ernstfall vorzubereiten. Statement-Vorlagen, Q&A-Dokumente und Kunden-E-Mails lassen sich für die häufigsten Cyber-Szenarien bereits im Vorfeld entwerfen – inklusive eines Bausteins speziell für „Vorsichtsmaßnahme ohne bestätigten Schaden“, wie ihn PHP2Shell typisch zeigt: Dienst ist aus Sicherheitsgründen eingeschränkt, ein konkreter Angriff ist nicht bestätigt.

Alternative Kommunikationskanäle einplanen

Ein Cyberangriff oder eine vorsorgliche Abschaltung legt häufig genau die Systeme lahm, über die normalerweise kommuniziert würde: E-Mail, Intranet, Ticketsysteme, mitunter sogar die eigene Website. Ein Plan B (Telefonlisten, Messenger, Social-Media-Kanäle) muss deshalb Teil der Vorbereitung sein, ebenso eine Offline-Kopie der Krisenstrategie.

Bei den gesetzlichen Fristen lohnt sich Präzision, da hier zwei Meldewege parallel laufen können:
DSGVO (Art. 33): Bei einem Vorfall mit personenbezogenen Daten muss die zuständige Datenschutzbehörde innerhalb von 72 Stunden informiert werden.

NIS-2 / BSIG §32 (für regulierte Einrichtungen): Der Meldeprozess ans BSI ist dreistufig und strenger als oft angenommen – eine frühe Erstmeldung innerhalb von 24 Stunden, eine Folgemeldung mit erster Bewertung nach 72 Stunden und ein Abschlussbericht spätestens einen Monat später. Beide Fristen laufen unabhängig voneinander und bei Bedarf parallel.

Diese Fristen müssen den Verantwortlichen – nicht nur der Rechtsabteilung, sondern auch dem Kommunikationsteam – im Vorfeld klar sein, da sie den Takt vorgeben, in dem überhaupt kommuniziert werden kann und muss. Nicht zuletzt zeigen Tabletop-Übungen und Simulationen, ob Prozesse, Kontaktlisten und Zuständigkeiten tatsächlich funktionieren. Sie decken außerdem Lücken auf, bevor sie in einer echten Krise sichtbar werden.

Stakeholder schnell und in der richtigen Reihenfolge informieren

Bei einem Vorfall wie PHP2Shell sind viele Gruppen gleichzeitig betroffen: Mitarbeitende, Kund:innen, Partner, Aufsichtsbehörden und Medien. Empfehlenswert ist eine vorab festgelegte Informationskaskade: etwa zuerst der Krisenstab, dann die Belegschaft und gegebenenfalls Investor:innen, erst danach externe Kommunikation an Kund:innen, Partner und Medien.

Der PHP2Shell-Fall zeigt zudem, wie wichtig es ist, den eigenen Kenntnisstand ehrlich zu benennen, statt ihn zu beschönigen oder zu dramatisieren: Offen benennen, was bereits bekannt ist, was noch geprüft wird und was Betroffene konkret tun sollten, ohne daraus voreilig eine „Alles ist sicher“- oder „Wir wurden gehackt“-Aussage zu machen, die später widerrufen werden müsste. Kommunikation darf forensische Untersuchungen und die Arbeit von Behörden zudem nicht beeinträchtigen. Das schließt Spekulation über Täter, Ursache oder Ausmaß aus, auch wenn Medien oder Kund:innen schnelle Antworten fordern.

Kontinuierlich Updates liefern

Eine einmalige Stellungnahme reicht bei einer sich entwickelnden Lage nicht aus. Regelmäßige, klar getaktete Updates – etwa sobald Patches eingespielt wurden oder neue Erkenntnisse vorliegen – signalisieren Kontrolle über die Situation und verhindern, dass Stakeholder mit veralteten oder widersprüchlichen Informationen arbeiten müssen. Das Klinikum Glauchau etwa kommunizierte aktiv und frühzeitig, dass keine unbefugten Zugriffe festgestellt wurden – ein Beispiel dafür, wie proaktive, klar abgegrenzte Updates Vertrauen erhalten, statt Spekulationen Raum zu geben.

Nach der akuten Phase entscheidet sich, ob eine Krise nachwirkt oder abgeschlossen werden kann. Wer nachvollziehbar erklärt, welche Schutzmaßnahmen nun gelten, bleibt auch dann im Austausch mit Stakeholdern, wenn die akute Phase vorbei ist. Manche Organisationen gehen noch weiter und veröffentlichen einen öffentlichen Lessons-Learned-Bericht.