PHP-Sicherheitslücke: Pflichten für Unternehmen und Geschäftsleitung

Sicherheitslücke auf der Website: Was DSGVO und BSI-Gesetz bei Updates, Datenpanne und Meldepflicht verlangen

Medienberichten zufolge sind im Kern der weit verbreiteten Programmiersprache PHP zwei kritische Schwachstellen bekannt geworden, über die Angreifer ohne Anmeldung Webserver übernehmen können sollen. Das BSI hat eine Warnung der Stufe 3 (Orange) herausgegeben; einige öffentliche Stellen haben Online-Dienste vorsorglich abgeschaltet. Für Unternehmen mit Website, Onlineshop oder Kundenportal ist das auch eine Rechtsfrage.

Sicherheit nach dem Stand der Technik

Wer personenbezogene Daten verarbeitet, etwa Kundenkonten oder Kontaktformulare, muss nach Art. 32 Abs. 1 DSGVO „unter Berücksichtigung des Stands der Technik“ angemessene technische und organisatorische Schutzmaßnahmen treffen und diese regelmäßig überprüfen. Dazu gehört, bekannte Lücken zeitnah zu schließen. Bleibt ein verfügbares Update liegen, lässt sich die Angemessenheit kaum begründen.

Der Europäische Gerichtshof hat klargestellt: Ein erfolgreicher Angriff beweist allein nicht, dass die Schutzmaßnahmen unzureichend waren. Im Schadensersatzprozess muss aber das Unternehmen beweisen, dass sie geeignet waren (EuGH, Urteil vom 14.12.2023 – C-340/21). Betroffene können unter Umständen schon wegen der begründeten Sorge vor Datenmissbrauch Schadensersatz verlangen. Eine lückenlose Dokumentation ist daher entscheidend.

Wann eine Meldung nötig ist

Eine Schwachstelle allein ist noch keine Datenpanne. Meldepflichtig ist erst eine Verletzung des Schutzes personenbezogener Daten, etwa ein unbefugter Zugriff, aber auch Manipulation, Verlust oder Verschlüsselung von Daten. Dann ist die Datenschutzaufsicht „unverzüglich und möglichst binnen 72 Stunden“ nach Kenntnis zu informieren, es sei denn, die Verletzung führt voraussichtlich zu keinem Risiko für die Betroffenen; eine spätere Meldung ist zu begründen (Art. 33 Abs. 1 DSGVO). Bei hohem Risiko sind auch die Betroffenen zu benachrichtigen (Art. 34 DSGVO). Hoster und andere Auftragsverarbeiter, also Dienstleister, die Daten im Auftrag verarbeiten, müssen ihren Kunden Verletzungen unverzüglich melden (Art. 33 Abs. 2 DSGVO).

Zusätzliche Pflichten nach dem BSI-Gesetz

Seit dem 6.12.2025 gilt das neu gefasste BSI-Gesetz (BSIG) zur Umsetzung der europäischen NIS-2-Richtlinie. Es erfasst in bestimmten Branchen bereits Unternehmen ab 50 Beschäftigten oder mit jeweils mehr als 10 Mio. Euro Jahresumsatz und Bilanzsumme; verbundene Unternehmen können mitzählen. Erfasste Unternehmen müssen sich beim BSI registrieren, Schwachstellen systematisch managen (§ 30 BSIG) und erhebliche Sicherheitsvorfälle gestuft melden: unverzüglich, spätestens 24 Stunden nach Kenntnis, eine Erstmeldung, spätestens nach 72 Stunden eine ausführlichere Meldung und einen Monat danach eine Abschlussmeldung (§ 32 Abs. 1 BSIG).

Verantwortung der Geschäftsleitung

Nach § 38 BSIG muss die Geschäftsleitung die Sicherheitsmaßnahmen umsetzen, überwachen und regelmäßig an Schulungen teilnehmen. Verletzt sie diese Pflichten schuldhaft, haftet sie der Gesellschaft nach Gesellschaftsrecht, bei der GmbH nach § 43 Abs. 2 GmbHG. Auch außerhalb des BSIG gehört eine angemessene IT-Sicherheitsorganisation zur „Sorgfalt eines ordentlichen Geschäftsmannes“ (§ 43 Abs. 1 GmbHG). Gegen das Unternehmen selbst können Bußgelder verhängt werden, nach der DSGVO bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes – jeweils der höhere Betrag (Art. 83 Abs. 4 DSGVO).

Praxis-Checkliste

• Klären, welche Systeme PHP nutzen, auch beim Hoster.

• Updates einspielen lassen und dokumentieren.

• Nicht mehr unterstützte Versionen abschotten oder ersetzen.

• Protokolle sichern, bevor Systeme bereinigt werden.

• Bei Verdacht auf Zugriff Meldefristen gegenüber Datenschutzbehörde und gegebenenfalls BSI prüfen.

• Verträge mit IT-Dienstleistern auf Sicherheits-, Informations- und Unterstützungspflichten prüfen (Art. 28 Abs. 3 DSGVO).

• Klären, ob das Unternehmen unter das BSIG fällt.

Fazit

Wer bekannte Lücken zügig schließt und dies dokumentiert, senkt technische wie rechtliche Risiken. Sprechen Sie uns bei Fragen gern an.

Stand: 22.10.2026

NIETZER Rechtsanwälte · Attorneys at Law (USA) · Heilbronn · www.unternehmensrecht.com

Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung im Einzelfall.