Dortmund, 22. Oktober. IT-Sicherheit ist ein Thema für die Titelseiten - wieder einmal. "Nicht der Patch allein entscheidet über den Schaden, vielmehr spielt die Geschwindigkeit eine entscheidende Rolle, mit der ein Angriff bemerkt wird", so Sebastian Struwe, CEO des Dortmunder Cybersecurity-Spezialisten Cybersense.
Was ist passiert: Zwei kritische Lücken in der Programmiersprache PHP, geführt als CVE-2026-109618 und CVE-2026-109619 und zusammengefasst unter dem Namen "PHP2Shell", wurden jeweils mit 9,2 von 10 Punkten auf der CVSS-v4.0-Skala bewertet. Die Schwachstellen erlauben das Ausführen beliebiger Schadcodes über das Netz; das PHP-Projekt veröffentlichte die Korrekturen am 21. Oktober um 16:00 Uhr MESZ. Die meisten Websites, die heute ausgeliefert werden, laufen über PHP. Wenn eine Software betroffen ist, die so große Teile des Internets trägt, und das ganz vorne an der Front, dann hat das einen riesigen Impact. Die Reaktionen fielen drastisch aus, Abschaltungen waren die Folge.
Ein Wettlauf gegen die Uhr
Besonders brisant: Nach Einschätzung der Experten von Cybersense gelangten Details zur Schwachstelle bereits vor der offiziellen Bekanntgabe in falsche Hände, woraufhin die Sicherheitsupdates vorgezogen wurden. Doch selbst dann vergeht wertvolle Zeit. "Ich kann aus eigener Erfahrung sagen: Selbst unser Hosting-Anbieter hat die Sicherheitspatches erst gegen 1 Uhr nachts eingespielt." Die eigene Website betreibt Cybersense aus genau solchen Gründen vollständig abgekapselt von allen anderen Systemen bei einem separaten Hoster. Zwischen Bekanntwerden und Patch klafft also ein gefährliches Zeitfenster. Wer dies nicht absichern kann, hat kaum eine andere Wahl, als den Stecker zu ziehen.
Der Mittelstand als blinder Fleck
Die meisten KMUs sind nicht gut geschützt. Sebastian Struwes Appell: "Man muss sich mit jeder Sicherheitslücke beschäftigen. Dabei zählt in diesem Moment vor allem Geschwindigkeit." Dass PHP2Shell ein Einzelfall bleibt, glaubt der Experte nicht. Zero-Day-Lücken werden häufiger ausgenutzt werden, Betreiber müssen damit rechnen. Umso wichtiger ist die Frage, was passiert, wenn ein Angreifer bereits im System ist: "Der Angreifer möchte ja nicht auf einem System bleiben. Sobald der Angreifer sich weiter ausbreiten will, ist das der Moment, in dem wir ihn mit unserer Deception-Strategie bemerken und täuschen können. Dann kann das Opfer schneller reagieren, abschalten, den Stecker ziehen und den Schaden minimieren."
Deception als Teil der Lösung aus Deutschland
Statt einen Angriff am Perimeter verhindern zu wollen - was bei unbekannten Lücken naturgemäß scheitern kann - macht sie den Angreifer im Inneren sichtbar. Cybersense platziert digitale "Stolperdrähte" in der IT-Umgebung, die Angreifer bereits beim Ausspähen der Systeme, bei der seitlichen Ausbreitung im Netz und bei der Ausweitung ihrer Berechtigungen erkennen. Dazu werden Traps, Lures und Decoys gezielt im Netzwerk, auf Anwendungsebene und im Active Directory verteilt; Decoys sind dabei realitätsgetreue Attrappen wie virtuelle Server, die zwischen den echten Assets stehen und bei jeder Interaktion in Echtzeit Alarm auslösen.
Der Vorteil gerade bei Zero-Days: Weil keine Signaturen oder statischen Muster verwendet werden, bleibt das Verfahren auch gegen bisher unbekannte Angreifer und neue Ransomware wirksam. Da reguläre Mitarbeiter und Anwendungen die versteckten Fallen nie benötigen, ist jede Berührung ein bewusster, unbefugter Zugriff, was Fehlalarme praktisch ausschließt. Die Lösung arbeitet agentenlos. Auf Wunsch übernimmt ein deutsches SOC-Team in Dortmund im Co-Managed-Betrieb die Bewertung der Alarme. Kurz: Der Patch schließt die Tür, Deception meldet, wer schon im Haus ist.
Cybersense-CEO Sebastian Struwe: "Ich fürchte, wir haben uns schon viel zu sehr an Cyberattacken gewöhnt"
