Ein klarer Auftrag.
Ein überprüfbares Ergebnis.
Für Unternehmen mit verdächtigen Dateien, bestätigter Schadsoftware oder wiederkehrenden Manipulationen.
- Einordnung und Sicherung relevanter Funde im vereinbarten Verfahren
- Untersuchung möglicher weiterer Zugänge und Persistenz
- Bereinigungsentscheidung mit überprüfbaren Wiederanlaufkriterien
Konkrete Durchführung durch die im Auftrag benannten Beteiligten. Alle Arbeiten nur mit autorisiertem Zugriff.
Den Fund sichern und richtig einordnen
Notieren Sie Pfad, Zeitpunkt und Anlass des Fundes, ohne die verdächtige Datei auszuführen. Falls Ihr Sicherheitswerkzeug eine Meldung erzeugt hat, halten Sie deren Inhalt und Zeitpunkt fest. Der Umgang mit der Datei und weiteren Beweisen wird anschliessend mit der zuständigen IT abgestimmt.
Nicht jede unbekannte Datei ist automatisch Schadsoftware, und nicht jede Schadsoftware stammt aus derselben Schwachstelle. Der Auftrag beginnt deshalb mit einer fachlichen Einordnung. Ein Hinweis aus einem Scanner wird als Ausgangspunkt genutzt, nicht als alleinige Erklärung des gesamten Vorfalls.
Ursache, Zugriff und Wiederkehr zusammen untersuchen
Wird eine Hintertür bestätigt, ist zu klären, welche Berechtigungen sie hatte und welche weiteren Informationen erreichbar waren. Zu berücksichtigen sind je nach System Konten, Konfigurationen, geplante Aufgaben und angrenzende Anwendungen. Der Umfang wird aus dem Befund und den verfügbaren Nachweisen abgeleitet.
Tauchen gelöschte Dateien erneut auf, muss ein weiterer Zugriffsweg oder ein noch vorhandener Mechanismus untersucht werden. Wiederholtes Löschen ohne Ursachenprüfung kann den Eindruck einer Reparatur erzeugen, obwohl die Kontrolle über das System ungeklärt bleibt. Solche Beobachtungen sind für den Untersuchungsplan besonders relevant.
Bereinigung oder Neuaufbau begründet auswählen
Die Entscheidung hängt davon ab, wie zuverlässig sich der saubere Zustand der Umgebung feststellen lässt. Ein Neuaufbau kann sinnvoll sein, wenn die Herkunft vieler Komponenten unklar ist oder weitreichende Rechte betroffen waren. Dabei müssen Datenübernahme und Anwendungsfunktion gesondert geprüft werden.
Nach den vereinbarten Massnahmen werden relevante Zugangsdaten koordiniert erneuert und Funktionstests durchgeführt. Der Abschluss benennt den Untersuchungsumfang, entfernte oder ersetzte Komponenten sowie verbleibende Unsicherheiten. Ein einzelner unauffälliger Scan wird nicht zur Garantie für sämtliche früheren Aktivitäten erklärt.
Ihre Checkliste für den nächsten Schritt
- Fundpfad und Zeitpunkt dokumentieren; verdächtige Dateien nicht ausführen.
- Vorhandene Sicherheitsmeldungen bereithalten.
- Wiederkehrende Veränderungen und eigene Eingriffe aufzeichnen.
Häufige Fragen
Soll ich die gefundene Datei sofort löschen?
Stimmen Sie den Umgang mit Ihrer IT ab. Unkoordiniertes Löschen kann wichtige Spuren beseitigen; zugleich muss eine laufende Schadwirkung begrenzt werden.
Beseitigt das PHP-Update die Webshell?
Ein Laufzeitupdate entfernt keine bereits angelegte Hintertür. Beides muss im passenden Umfang gesondert bearbeitet werden.
Quellen & weiterführende Informationen
PHP-Projekt: Sicherheitsveröffentlichungen Oktober 2026 ↗CERT-EU: Critical Vulnerabilities in PHP, 2026-018 ↗Fachliche Orientierung, Stand 25.10.2026. Der konkrete Befund erfordert Zugriff auf die betroffene Umgebung und eine abgestimmte Prüfung.