Inhalt 01 / 00
Automatisierte Sicherheitstests prüfen Websites und Server regelmäßig und ohne Handarbeit auf bekannte Schwachstellen. Die PHP-Lücke PHP2Shell vom Oktober 2026 hat gezeigt, warum das zählt: Das BSI hielt nach der Veröffentlichung der Updates am 21. Oktober 2026 eine breite Ausnutzung innerhalb weniger Stunden für wahrscheinlich. Wer seine Systeme nur von Hand prüft, ist in solchen Momenten zu langsam.
Ein automatisierter Sicherheitstest für Websites ist eine Software, die regelmäßig und ohne manuellen Aufwand prüft, ob Server und Anwendungen bekannte Schwachstellen wie PHP2Shell aufweisen. In diesem fünften und letzten Teil unserer Serie erklärt Aubrey Company, was solche Tests leisten, wo ihre Grenzen liegen und wie du sie in deine Abläufe einbindest.
Warum eine einmalige Prüfung nach PHP2Shell nicht reicht
Im zweiten Teil dieser Serie haben wir gezeigt, wie du deine Website in fünf Schritten von Hand prüfst. Das ist richtig und wichtig. Es zeigt aber nur den Stand eines Tages. Hoster spielen Korrekturen schrittweise ein, neue Installationen kommen dazu, Testumgebungen bleiben liegen, und die nächste Lücke ist nur eine Frage der Zeit.
Wie knapp die Zeit sein kann, zeigt der Ablauf von PHP2Shell. Laut Infosecurity Magazine beobachtete das Sicherheitsteam von Amazon einen ersten Angriffsversuch schon am 17. Oktober 2026, vier Tage vor der Veröffentlichung der Updates. Eine Prüfung, die erst nach Tagen jemand anstößt, kommt zu spät.
Was ein automatisierter Sicherheitstest prüft
Je nach System prüfen automatisierte Tests unter anderem, welche Software in welcher Version läuft, also PHP, das Content-Management-System und seine Erweiterungen. Diese Versionen gleichen sie mit bekannten Schwachstellen ab, die als CVE-Nummern veröffentlicht werden. Dazu kommen Hinweise aus der Serverkonfiguration und Veränderungen, die auf einen Einbruch deuten können, etwa unbekannte Dateien oder neue Administratorkonten.
Das Ergebnis ist kein Bauchgefühl, sondern eine Liste mit Prioritäten. Eine Lücke mit einem CVSS-Wert von 9,2 wie bei PHP2Shell steht dabei ganz oben.
Was ein automatisierter Test nicht kann
Ein Test schließt keine Lücke. Er zeigt, wo Handlungsbedarf besteht, das Update oder die Korrektur des Hosters bleibt nötig. Er erkennt außerdem nur Schwachstellen, die bereits bekannt sind. Die erste PHP2Shell-Lücke hat die Sicherheitsfirma Calif laut CNN schon im August 2026 gefunden, öffentlich bekannt wurde sie erst im Oktober.
Ein automatisierter Test ersetzt auch keinen Penetrationstest. Der Test arbeitet bekannte Prüfungen regelmäßig ab, bei einem Penetrationstest versuchen Fachleute gezielt und von Hand, in ein System einzudringen. Und weil manche Hoster Korrekturen einspielen, ohne die Versionsnummer zu ändern, braucht jedes Ergebnis eine fachkundige Einordnung.
Wie oft sollte eine Website geprüft werden?
Eine feste Zahl passt nicht für jedes Unternehmen. Als Faustregel gilt: Prüfe nach jedem Update, nach jeder Änderung an Server oder Hosting und sofort, wenn das BSI oder ein Hersteller vor einer kritischen Lücke warnt. Für Shops, Kundenportale und andere geschäftskritische Systeme lohnt eine laufende Überwachung.
Genau hier spielt die Automatisierung ihre Stärke aus. Sie prüft auch dann, wenn im Team gerade niemand daran denkt, und sie prüft alle Systeme auf dieselbe Weise.
Schnittstellen: So passen Tests in deine Abläufe
Ein Testergebnis hilft nur, wenn es bei den richtigen Menschen ankommt. Deshalb gehören Schnittstellen zum Kern eines guten Testsystems: zur eigenen IT, zum Ticketsystem, zur Zusammenarbeit mit dem Hoster oder zur Agentur, die deine Website betreut. Wer viele Websites betreibt, braucht außerdem einen gemeinsamen Überblick statt einzelner Prüfberichte.
Wichtig ist auch die rechtliche Seite: Prüfe nur Systeme, die du betreibst oder für die du einen Auftrag hast. Genau so arbeiten wir mit unserem eigenen PHP-Testsystem, das wir im vierten Teil dieser Serie vorstellen. Wir haben damit zuerst die Websites aller Kundinnen und Kunden der Aubrey Company geprüft und die Tests danach auf weitere Unternehmen ausgeweitet.
Drei Fragen für deine Website
Kennst du alle Websites und Systeme deines Unternehmens und weißt, auf welcher PHP-Version sie laufen? Wer bekommt Bescheid, wenn eine kritische Lücke bekannt wird, und wer handelt dann? Und wen rufst du an, wenn es nachts ernst wird?
Für die ersten beiden Fragen bauen wir bei Aubrey Company die Software, Systeme und Schnittstellen, schreib uns dafür über unsere Kontaktseite auf aubreyco.de. Für den akuten Notfall rund um die Uhr ist unser Partner Brandtiger da, alle Informationen stehen unter https://brandtiger.de/php-notfall/ bereit.
Häufige Fragen
Was ist ein automatisierter Sicherheitstest für Websites?
Ein automatisierter Sicherheitstest ist eine Software, die Websites und Server regelmäßig und ohne Handarbeit auf bekannte Schwachstellen prüft, zum Beispiel auf die PHP-Lücken CVE-2026-109618 und CVE-2026-109619 (PHP2Shell).
Wie oft sollte man eine Website auf Sicherheitslücken prüfen?
Nach jedem Update, nach jeder Änderung an Server oder Hosting und sofort, wenn das BSI vor einer kritischen Lücke warnt. Geschäftskritische Systeme wie Shops und Kundenportale sollten laufend überwacht werden.
Was ist der Unterschied zwischen einem Sicherheitsscan und einem Penetrationstest?
Ein Sicherheitsscan arbeitet bekannte Prüfungen automatisiert und regelmäßig ab. Bei einem Penetrationstest versuchen Fachleute gezielt und von Hand, in ein System einzudringen. Beides ergänzt sich.
Ersetzt ein automatisierter Test das PHP-Update?
Nein. Der Test zeigt, wo Handlungsbedarf besteht. Eine Lücke wie PHP2Shell schließt erst eine sichere PHP-Version oder eine bestätigte Korrektur des Hosters.
Diesen Beitrag gibt es nicht oder er ist noch nicht veröffentlicht. Zum Journal