Lücke in der Firmenwebsite: Was in den ersten 24 Stunden zu tun ist

Eine E-Mail vom Hosting, eine Warnung von CERT Polska (dem polnischen Computer-Notfallteam) oder eine Nachricht vom Dienstleister Ihrer Website: In der Software Ihrer Website steckt eine Sicherheitslücke, die geschlossen werden muss. Eine Sicherheitslücke ist ein Fehler im Code, über den Fremde die Website übernehmen, eigenen Code einschleusen oder an Kundendaten gelangen können. Sobald die Information öffentlich ist, kennen sie auch Kriminelle, und verwundbare Websites suchen sie automatisiert. Die Sache auf nächste Woche zu verschieben, ist daher riskant.

Unten finden Sie einen Plan für die ersten 24 Stunden in einer Reihenfolge, die vor typischen Fehlern schützt: Prüfung, Backup, Patch, Passwörter und Spuren, am Ende die Bewertung eines Datenabflusses und die Meldungen. Die meisten Schritte erledigen Sie ohne IT-Fachkraft, und beim Rest sage ich Ihnen, was Sie dem Hosting oder dem Dienstleister auftragen sollten. Ich beschreibe den Stand vom 7. November 2026. Die Abschnitte zur DSGVO und zum polnischen KSC-Gesetz (ustawa o krajowym systemie cyberbezpieczeństwa, Gesetz über das nationale Cybersicherheitssystem) sind allgemeine Informationen und keine Rechtsberatung.

Die Stunden in den Überschriften sind Richtwerte. Wenn Sie von Anfang an vermuten, dass jemand an Kundendaten gelangt ist, lesen Sie sofort den Abschnitt über die UODO (die polnische Datenschutzbehörde), denn die 72-Stunden-Frist läuft ab der Feststellung der Verletzung.

Stunden 0–2: Prüfen Sie, ob die Lücke Ihre Website betrifft

Bevor Sie irgendetwas ändern, klären Sie drei Dinge: welche Software die Lücke betrifft, in welchen Versionen und ab welcher Version es einen Patch gibt. Diese Angaben nehmen Sie aus der Mitteilung des Herstellers (z. B. php.net, nodejs.org, die Seite des Plugins im Verzeichnis von WordPress.org) oder aus der Datenbank einer anerkannten Firma, bei Plugins zum Beispiel Wordfence oder Patchstack. Artikel in den Medien vereinfachen Versionsnummern oft.

Vergleichen Sie das dann mit Ihrer Website:

• WordPress: Öffnen Sie im Dashboard Werkzeuge → Website-Zustand → Bericht. Dort finden Sie die Versionen von WordPress, PHP, Theme und Plugins. Die Versionen der Plugins sehen Sie auch in der Liste im Menü Plugins.
• Shared Hosting: Die PHP-Version zeigt das Hosting-Panel, meist in den Einstellungen der Domain oder von PHP.
• Individuell programmierte Website, zum Beispiel mit Next.js oder Node.js: Fragen Sie den Dienstleister. Eine fertige Nachricht finden Sie weiter unten.

Wie Sie feststellen, worauf die Website läuft, wenn das in der Firma niemand weiß, beschreibe ich im Ratgeber zum Prüfen der Versionen von PHP, CMS und Plugins.

Prüfen Sie außerdem, ob die Lücke in der Praxis angegriffen wird. Die US-Behörde CISA führt den Katalog KEV, also eine Liste von Lücken, die in echten Angriffen ausgenutzt wurden. Steht die CVE-Nummer aus der Mitteilung dort, beschleunigen Sie alle weiteren Schritte. Zusätzlich können Sie im Dienst moje.cert.pl, den CERT Polska betreibt, einen kostenlosen Scan Ihrer Domain beauftragen. Das ersetzt nicht die Prüfung der Versionen, ist aber oft ein gutes zweites Paar Augen.

Stunde 2: Backup vor den Änderungen

Ein hastiges Update kann den Shop oder das Formular lahmlegen. Legen Sie deshalb vor jeder Änderung ein Backup der Dateien und der Datenbank an und laden Sie es auf einen Speicher außerhalb des Servers herunter. Ein Backup, das nur im Hosting-Panel liegt, kann zusammen mit der Website verschwinden.

Benennen Sie das Backup mit Datum und Uhrzeit, zum Beispiel VOR-PATCH-2026-11-07-10-00. Wenn Sie vermuten, dass schon jemand eingedrungen ist, ist dieses Backup auch ein Beweismittel: Spielen Sie es später nicht als „saubere“ Version ein. Warum ein Backup zu wenig ist und wie Sie die Wiederherstellung prüfen, beschreibe ich im Ratgeber zum Website-Backup und zur 3-2-1-Regel.

Stunden 2–6: Update oder Workaround

Der sicherste Weg ist das Update auf die vom Hersteller genannte Version mit dem Patch. In WordPress beginnen Sie mit dem Plugin oder Theme, das die Lücke betrifft, und spielen danach die übrigen Updates ein. Prüfen Sie nach jeder Änderung die Startseite, das Kontaktformular und im Shop den gesamten Bestellvorgang.

Gibt es noch keinen Patch oder können Sie ihn nicht sofort einspielen, setzen Sie einen Workaround ein, also einen vorübergehenden Schutz, den der Hersteller in seiner Mitteilung beschreibt. Das kann das Deaktivieren eines Plugins sein, das Abschalten einer einzelnen Funktion in der Konfiguration oder eine Regel der Web Application Firewall (WAF) beim Hosting. Ein Workaround verschafft Zeit, erledigt die Sache aber nicht, tragen Sie daher sofort einen Termin für das vollständige Update in den Kalender ein.

Die Versionen mit dem Patch ändern sich manchmal: Der Hersteller veröffentlicht einen weiteren Patch, wenn sich der erste als unvollständig erwiesen hat. Prüfen Sie vor dem Update die Mitteilung auf der Website des Herstellers noch einmal, statt sich nur auf eine Notiz von vor zwei Tagen zu verlassen.

Läuft die Website auf einer alten Version von PHP oder Node.js, die keine Sicherheitskorrekturen mehr erhält, gibt es für sie womöglich gar keinen Patch. Dann bedeutet das Update den Umstieg auf eine neuere Version. Das ist eine größere Änderung, die Sie besser einer technisch versierten Person übertragen, aber schieben Sie sie nicht auf.

Stunden 6–12: Konten, Passwörter, Logs und neue Dateien

Das Update schließt die Tür, sagt aber nicht, ob jemand vor Ihnen hereingekommen ist. Prüfen Sie deshalb die Spuren.

Administratorkonten. Öffnen Sie in WordPress Benutzer und wählen Sie die Rolle Administrator. Jedes Konto, das in der Firma niemand kennt, ist ein Alarmsignal: Notieren Sie Login, E-Mail und Anlagedatum und löschen Sie es erst danach. Sehen Sie auch die Benutzer des Hosting-Panels und der Google Search Console durch.

Passwörter. Ändern Sie die Passwörter für das Backend der Website, das Hosting, FTP/SFTP und die Datenbank, außerdem API-Schlüssel (z. B. für Zahlungen oder den E-Mail-Versand), wenn sie auf dem Server gespeichert waren. Tun Sie das an einem Computer, bei dem Sie keine Zweifel haben, und aktivieren Sie die Zwei-Faktor-Authentifizierung überall, wo es möglich ist.

Logs. Bitten Sie das Hosting um die Zugriffs- und Fehlerlogs seit dem Tag, an dem die Lücke bekannt wurde, bevor sie überschrieben werden. Suchen Sie nach wiederholten Anfragen an die Adressen, die von der Lücke betroffen sind, und nach Anmeldungen im Backend von unbekannten IP-Adressen.

Neue und geänderte Dateien. Sortieren Sie im Dateimanager die Dateien nach Änderungsdatum. Verdächtig sind Änderungen, die niemand vorgenommen hat, und PHP-Dateien in Verzeichnissen für Bilder (in WordPress wp-content/uploads).

Finden Sie Spuren eines Einbruchs, wechseln Sie zum Plan aus dem Ratgeber WordPress gehackt: Was in der ersten Stunde zu tun ist. Die meisten Schritte passen auch zu Websites mit anderer Software.

Datenabfluss: UODO, Kundschaft und CERT Polska

Dieser Teil betrifft Situationen, in denen jemand Zugriff auf Kundendaten gehabt haben könnte: Bestellungen, Konten oder Nachrichten aus dem Formular. Eine Lücke, die niemand ausgenutzt hat, ist für sich noch keine Verletzung des Schutzes personenbezogener Daten.

UODO binnen 72 Stunden (Art. 33 DSGVO)

Nach Art. 33 DSGVO meldet der Verantwortliche eine Verletzung dem Präsidenten der UODO unverzüglich und möglichst nicht später als 72 Stunden nach ihrer Feststellung. Eine Meldung ist nicht nötig, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten der Personen führt. Einer Meldung, die nach Ablauf von 72 Stunden erfolgt, ist eine Begründung für die Verzögerung beizufügen.

Die Meldung reichen Sie online über das Formular auf biznes.gov.pl ein, signiert mit dem profil zaufany (der polnischen elektronischen Identität) oder mit einer qualifizierten elektronischen Signatur. Läuft die Frist ab und kennen Sie noch nicht alle Einzelheiten, senden Sie eine vorläufige Meldung und ergänzen Sie sie später. Ein Muster des Formulars finden Sie auf der Website der UODO, und bei allgemeinen Fragen hilft die Hotline der Behörde: 606 950 000, werktags von 10 bis 14 Uhr.

Art. 33 Abs. 5 DSGVO verlangt, jede Verletzung zu dokumentieren, auch eine, die Sie der UODO nicht melden: was passiert ist, welche Auswirkungen sie hat und was unternommen wurde. Notizen, die Sie nach diesem Plan führen, sind ein guter Anfang. Die Risikobewertung im konkreten Fall besprechen Sie mit einer Rechtsberatung oder einer Datenschutzberatung.

Benachrichtigung der Kundschaft (Art. 34 DSGVO)

Kann die Verletzung ein hohes Risiko für die Kundschaft mit sich bringen, zum Beispiel weil Passwörter zu ihren Konten abgeflossen sind, verlangt Art. 34 DSGVO die Benachrichtigung der betroffenen Personen selbst, ebenfalls unverzüglich. Schreiben Sie in klarer, einfacher Sprache: was passiert ist, welche Folgen es haben kann, was bereits unternommen wurde und an wen man sich mit Fragen wenden kann. Passen Sie das Muster unten an die Fakten an und tragen Sie nur ein, was Sie sicher wissen:

Guten Tag, am [Datum] haben wir einen unbefugten Zugriff auf unsere Website festgestellt. Möglicherweise wurden Vor- und Nachname, E-Mail-Adresse und Telefonnummer offengelegt, die bei der Bestellung angegeben wurden. Wir haben die Lücke geschlossen, die Passwörter geändert und den Vorfall der UODO gemeldet. Bitte seien Sie vorsichtig bei Nachrichten, die sich auf Ihre Bestellung berufen und um eine Nachzahlung oder um Anmeldedaten bitten: Solche Anfragen versenden wir nicht. Fragen richten Sie bitte an [E-Mail].

CERT Polska

Einen Vorfall können Sie CERT Polska über das Formular incydent.cert.pl melden. Das Team gehört zum NASK (einem staatlichen polnischen Forschungsinstitut) und bearbeitet auch Meldungen von Firmen, die nicht unter das KSC-Gesetz fallen. Das ersetzt nicht die Meldung an die UODO: Es sind zwei verschiedene Institutionen mit zwei verschiedenen Zwecken.

NIS2 und das KSC-Gesetz

Ist Ihre Firma eine wesentliche oder wichtige Einrichtung im Sinne des 2026 novellierten Gesetzes über das nationale Cybersicherheitssystem (Dz.U. 2026 poz. 252, polnisches Gesetzblatt), gelten für sie eigene Fristen für die Meldung erheblicher Sicherheitsvorfälle an das zuständige CSIRT-Team, darunter eine Frühwarnung spätestens 24 Stunden nach der Erkennung. Die meisten kleinen Firmen fallen nicht unter dieses Gesetz. Wie Sie das prüfen, beschreibe ich im Ratgeber Wen betrifft NIS2?

Was Sie dem Hosting und dem Dienstleister auftragen sollten

Hosting und Dienstleister haben oft, was Sie nicht haben: Server-Logs, technischen Zugang und Backups der letzten Tage. Wer wofür zuständig ist, hängt von der Art des Hostings und vom Vertrag ab, darüber schreibe ich im Ratgeber dazu, wer für Website-Updates zuständig ist. Bitten Sie in den ersten 24 Stunden um konkrete Dinge, am besten per E-Mail, damit es schriftlich festgehalten ist:

Guten Tag, im Zusammenhang mit der Sicherheitslücke [Name und CVE-Nummer] bitte ich um: 1) die Information, ob die Website [Adresse] eine verwundbare Version verwendet und wann sie aktualisiert wird; 2) ein Backup der Dateien und der Datenbank aus der Zeit vor dem Update; 3) die Zugriffs- und Fehlerlogs seit [Datum der Veröffentlichung der Lücke]; 4) die Information, ob Spuren einer Ausnutzung der Lücke zu sehen sind. Bitte antworten Sie heute bis [Uhrzeit].

Verarbeitet das Hosting oder der Dienstleister die Daten Ihrer Kundschaft in Ihrem Auftrag, verpflichtet Art. 33 Abs. 2 DSGVO ihn, Sie unverzüglich über die Verletzung zu informieren. Die Entscheidung über die Meldung an die UODO liegt aber bei Ihnen als Verantwortlichem im Sinne der DSGVO, warten Sie also nicht passiv auf deren Einschätzung.

Checkliste für 24 Stunden zum Ausdrucken

Drucken Sie sie aus und bewahren Sie sie zusammen mit den Hosting-Zugangsdaten auf. Notieren Sie bei jedem Punkt die Uhrzeit und die Person, die ihn erledigt hat.

1. Ich habe die Mitteilung des Herstellers: Name der Software, verwundbare Versionen, Version mit dem Patch, CVE-Nummer.
2. Ich weiß, welche Version meine Website verwendet und ob die Lücke im KEV-Katalog steht.
3. Das Backup der Dateien und der Datenbank ist außerhalb des Servers gespeichert und mit Datum beschriftet.
4. Der Patch ist eingespielt oder der Workaround aktiv, und der Termin für das vollständige Update steht im Kalender.
5. Website, Formular und Bestellungen funktionieren nach den Änderungen.
6. Liste der Administratoren geprüft, unbekannte Konten notiert und gelöscht.
7. Passwörter und API-Schlüssel geändert, Zwei-Faktor-Authentifizierung aktiviert.
8. Logs und neue Dateien durchgesehen oder dem Hosting übertragen.
9. Bewertung, ob personenbezogene Daten abgeflossen sein können. Wenn ja: Meldung an die UODO binnen 72 Stunden und Entscheidung über die Benachrichtigung der Kundschaft.
10. Notiz zum Ablauf des Vorfalls gespeichert.
11. Entscheidung über eine Meldung bei CERT Polska.

Zusammenfassung

Die Reihenfolge zählt: Klären Sie zuerst, ob die Lücke Sie betrifft, dann folgen Backup, Patch, Passwörter und Spuren, am Ende die Bewertung eines Datenabflusses und die Meldungen. Notieren Sie alles laufend, denn diese Notizen brauchen sowohl die Behörde als auch der Dienstleister.

Wenn Sie möchten, dass jemand das für Sie im Blick behält, wählen Sie die technische Betreuung. Im Paket Wache (ab 149 PLN netto pro Monat) überwache ich die Website alle 5 Minuten, mache jede Woche ein Backup außerhalb des Servers und spiele dringende Sicherheitsupdates innerhalb von 2 Tagen ein. Standard (ab 349 PLN netto pro Monat) bietet tägliche Backups und eine Reaktion innerhalb von 1 Werktag, Pro (ab 749 PLN netto pro Monat) eine Reaktion innerhalb von 4 Stunden, bei einem Ausfall auch am Wochenende. Nach einem Vorfall lohnt sich ein Sicherheitsaudit mit Bericht und Korrekturen, ab 990 PLN netto. Betrifft die Lücke Ihre Website schon jetzt, schreiben Sie mir: Ich antworte innerhalb von 24 Stunden.