Wer bezahlt am Ende für die vermeintlich kostenlosen Dienstleistungen im Internet?

Was PHP2Shell über Open Source, Werbung und Verantwortung lehrt

Ende Oktober waren Landesportale, Hochschulen und Kommunalverwaltungen stundenlang bis tagelang offline. Der Grund war PHP2Shell: zwei kritische Lücken in PHP, der Programmiersprache, auf der rund drei Viertel aller Webseiten laufen. Allein in Deutschland zählte die Sicherheitsfirma Censys knapp 11 Millionen PHP-Dienste, rund 4,2 Millionen davon mit einer als anfällig geltenden Version.

Repariert haben das Problem am Ende sehr wenige Menschen. Die Notfall-Updates stemmte ein kleines Team im PHP-Projekt. Einer von ihnen, Volker Dusch, Release-Manager von PHP 8.5, hat in einem Interview mit dem WDR beschrieben, wie das Team das Problem unter enormem Zeitdruck gelöst hat, in Nachtschichten und neben dem eigentlichen Beruf.

Zwei Jahre bekannt, in Stunden ausgenutzt

Das Bittere daran: Erste Hinweise auf den zugrunde liegenden Speicherfehler gab es laut PHP Foundation bereits 2024. Ein Fix scheiterte damals an Kompatibilitätsproblemen, die Lücke galt als schwer ausnutzbar und blieb liegen. Die PHP Foundation selbst nennt diese Verzögerung ein „strukturelles Versagen“. In einem Projekt, in dem gerade einmal elf bezahlte Entwickler den Kern einer Sprache für drei Viertel des Webs pflegen, ist das keine Nachlässigkeit, sondern eine Frage der Ressourcen.

Dann kam die KI. 2026 wiesen Sicherheitsforscher mit KI-Unterstützung nach, dass sich aus dem alten Fehler Codeausführung bauen lässt. Was jahrelang als theoretisch galt, war plötzlich praktisch angreifbar, und zwar für jeden, der ebenfalls KI einsetzt. KI verkürzt den Weg von der bekannten Schwachstelle zum funktionierenden Angriff drastisch. Lücken, die man mangels Geld und Personal liegen lässt, werden damit zur tickenden Zeitbombe.

Das ist kein Zufall und auch nicht die Schuld Einzelner. Es ist die Folge eines strukturellen Versagens, das aufgearbeitet werden muss.

Kostenlos gibt es nicht

Wir haben uns daran gewöhnt, dass im Internet alles kostenlos ist: Webseiten, Apps, Suchmaschinen, Software. Bezahlt wird trotzdem, nur eben anders:

• Mit unseren Daten: Werbung und Tracking durchleuchten uns auf allen Ebenen, vom Smartphone über den Browser bis zum Fernseher.
• Mit unbezahlter Arbeit: Die Grundlagen, auf denen das Netz läuft, pflegen oft Freiwillige oder kleine, unterfinanzierte Stiftungen.
• Mit Sicherheitslücken: Was niemand bezahlt, wird zu selten geprüft, zu spät modernisiert und zu langsam repariert.

Die Kostenlos-Mentalität hat das Netz nicht billiger gemacht. Sie hat die Rechnung nur verschoben: auf die Privatsphäre der Nutzer, auf die Freizeit einiger weniger Entwickler und am Ende auf alle, die nach einem Vorfall aufräumen müssen.

Tracking und Sicherheitslücken haben dabei dieselbe Wurzel: Wer nicht mit Geld bezahlt, bezahlt mit Daten oder lässt andere bezahlen. Werbefinanzierte Angebote holen sich ihr Geld über das Ausleuchten ihrer Nutzer zurück. Für die Grundlagen, auf denen sie laufen, zahlt dagegen kaum jemand. Ein großer Teil der werbefinanzierten Nachrichten- und Inhaltsseiten läuft selbst auf PHP, und ihre Werbeerlöse sind in unserer Rechnung unten noch nicht einmal enthalten.

Die Zahlen: ein Missverhältnis in Größenordnungen

Die PHP Foundation, die einen großen Teil der Arbeit am Kern von PHP bezahlt, hat 2025 weltweit rund 730.000 US-Dollar an Spenden erhalten, bei Ausgaben von rund 784.000 US-Dollar. Die Zahl der Unterstützer ist gegenüber dem Vorjahr deutlich gesunken. Mit diesem Budget haben elf bezahlte Entwickler rund 42 Prozent aller Änderungen am PHP-Kern geleistet.

Der Bund hat PHP über den Sovereign Tech Fund bzw. die Sovereign Tech Agency von 2023 bis 2026 mit insgesamt rund 430.000 Euro gefördert. Ausgerechnet ein so finanziertes Audit hatte 2024 auf den Fehler hingewiesen, aus dem später PHP2Shell wurde.

Dem steht gegenüber, was auf PHP erwirtschaftet wird, etwa im Onlinehandel auf PHP-Shopsystemen, durch die Arbeit von PHP-Entwicklern sowie bei Hostern, Agenturen und Plugin-Anbietern:

Ein einziges Promille des weltweiten Gewinns würde die Finanzierung fast verdreißigfachen. Und selbst wenn jede unserer Annahmen zehnfach zu hoch wäre, bliebe ein Verhältnis von rund 3.000 zu 1.

Auch die Schadensseite haben wir abgeschätzt: Prüfen, Patchen, Notbetrieb, Ausfälle öffentlicher Stellen und Nachkontrollen dürften allein in Deutschland direkte Kosten von grob 80 bis 620 Millionen Euro verursacht haben, realistisch um 250 Millionen Euro. Folgeschäden durch übernommene Seiten, Phishing und Erpressung kommen über Monate hinzu. Das ist rund das 580-Fache der gesamten Bundesförderung für PHP und mehr, als der Sovereign Tech Fund 2023 und 2024 zusammen für alle geförderten Projekte ausgegeben hat.

Unsere Annahmen: Umsatz, Gewinn und Finanzierung

Unsere Annahmen: direkte Kosten von PHP2Shell in Deutschland

Kein PHP-Problem, sondern ein Systemproblem

PHP ist nur das aktuelle Beispiel. Eine Studie der Harvard Business School schätzt, dass es rund 4,15 Milliarden US-Dollar kosten würde, die meistgenutzte Open-Source-Software neu zu schreiben, während ihr Wert für die nutzenden Unternehmen bei 8,8 Billionen US-Dollar liegt. Rund 5 Prozent der Entwickler, etwa 3.000 Menschen, stehen dabei für über 90 Prozent dieses Werts.

Das Muster kennen wir: Heartbleed in OpenSSL (2014), Log4Shell (2021), die Hintertür in xz (2024). Jedes Mal hing ein Teil der weltweiten Infrastruktur an einer Handvoll Menschen, die kaum jemand kannte, bis es brannte.

Nutzen, erweitern, abladen

Das Problem ist nicht, dass Unternehmen und Verwaltungen Open Source einsetzen. Das ist richtig und gewollt. Das Problem ist das Muster, nach dem es häufig geschieht:

• Die Software wird kostenlos übernommen und um eigene Funktionen, Plugins und Integrationen erweitert, oft ohne eigene Sicherheitsprüfung. Jede Erweiterung bringt neue Angriffsfläche.
• Alte Versionen laufen weiter, weil Modernisierung Geld kostet. Bei PHP2Shell lief ein großer Teil der erreichbaren Systeme auf Versionen, für die es gar kein offizielles Update mehr gab.
• Wenn es kracht, wird die Verantwortung zurückgereicht: an die Community, die das Problem lösen soll, möglichst sofort und kostenlos.

Gewinne werden privatisiert, Risiken vergemeinschaftet, und die Rechnung landet bei denen, die am wenigsten dafür bezahlt werden.

Der öffentliche Sektor: lautstark gefordert, kaum beigetragen

Besonders deutlich zeigt sich das Missverhältnis im öffentlichen Sektor. Kaum jemand fordert so laut digitale Souveränität und Open Source wie Verwaltung und Politik. Und kaum jemand nutzt Open Source so umfassend: Landesportale, Bürgerdienste und unzählige kommunale Webseiten laufen auf PHP und darauf aufbauenden Systemen.

Finanziell beigetragen wird dagegen wenig. Es gibt öffentliche Stellen, die die Projekte, auf die sie angewiesen sind, über Mitgliedschaften unterstützen, aber sie sind die Ausnahme. Souveränität entsteht nicht durch den Einsatz von Open Source allein, sondern erst durch die Bereitschaft, ihre Pflege mitzutragen.

Wie sich das konkret zeigt, beschreibt Günter Born in seinem Blog anhand einer Messung des Anbieters ShiftPress: Von 1.071 Gemeinde-Webseiten, die ihre PHP-Version offen zeigen, meldeten 21 Prozent PHP 8.1 oder älter, also Versionen, für die das PHP-Team keine Updates mehr liefert. 31 Gemeinden zeigten sogar noch PHP 5, das seit Ende 2018 nicht mehr gepflegt wird. Eine alte Versionsnummer heißt nicht automatisch, dass eine Seite angreifbar ist, denn viele Hoster haben den Fix eingebaut, ohne die Nummer zu ändern. Sie heißt aber, dass der Schutz bei dieser und jeder weiteren Lücke allein vom Hoster abhängt. Quelle: Borns IT- und Windows-Blog, 3.11.2026.

Und die Souveränität?

Eine zweite Frage wird in der Debatte kaum gestellt. Entdeckt, analysiert und mit KI-Unterstützung als ausnutzbar nachgewiesen wurde die Lücke von amerikanischen Firmen, unter Beteiligung eines amerikanischen KI-Anbieters. Die US-Regierung war laut Weißem Haus bereits am 16. Oktober informiert, fünf Tage vor der Veröffentlichung. Ob und wann europäische Stellen vorab Bescheid wussten, ist öffentlich nicht bekannt. Das BSI warnte jedenfalls erst mit dem Update, zeitgleich mit allen anderen.

Das ist kein Einzelfall. Auch das weltweite System zur Erfassung von Sicherheitslücken (CVE) wird von einer US-Organisation betrieben und von einer US-Behörde finanziert. Im April 2025 stand diese Finanzierung praktisch über Nacht vor dem Aus, erst wenige Stunden vorher verlängerte die US-Cybersicherheitsbehörde den Vertrag. Inzwischen ist die Finanzierung neu geregelt, die Verträge bleiben aber selbst für Mitglieder des zuständigen Gremiums weitgehend undurchsichtig. Wenige Wochen nach der Krise startete die EU-Agentur ENISA die bereits länger geplante Europäische Schwachstellendatenbank, die als Schritt zu mehr Unabhängigkeit gilt.

Die unbequeme Frage lautet deshalb: Was machen wir, wenn solche Informationen nicht mehr oder erst nach anderen geteilt werden? Wer digitale Souveränität ernst meint, muss Software nicht nur selbst betreiben können, sondern auch eigene Kapazitäten haben, sie zu prüfen, Lücken zu finden und sie zu beheben. Genau das kostet Geld, das bisher kaum jemand bereitstellt.

Was sich ändern muss

Wir halten eine Grundsatzdiskussion für überfällig. Ansätze gibt es genug:

• Beitrag nach Nutzen: Wer mit Open Source Geld verdient, sollte einen kleinen, festen Anteil in dessen Pflege stecken. Ein Promille würde reichen.
• Vergabe mit Verantwortung: Öffentliche Ausschreibungen sollten berücksichtigen, ob Anbieter zu den eingesetzten Projekten beitragen.
• Förderung in passender Größenordnung: Die Sovereign Tech Agency ist der richtige Weg, aber um Größenordnungen zu klein für das, was auf dieser Software aufbaut.
• Wissen, was drinsteckt: Unternehmen und Verwaltungen müssen wissen, welche Open-Source-Komponenten sie einsetzen und wer sich um deren Aktualisierung kümmert. Der Cyber Resilience Act geht hier in die richtige Richtung.

Zur Einordnung

Nicht jeder teilt die Dramatik. Der Sicherheitsforscher Marcus Hutchins etwa sieht PHP2Shell nur auf halbem Weg zu Log4j, weil PHP seltener tief in fremder Software steckt. Und die bisherige Förderung war nicht nutzlos: Sie hat den Fehler überhaupt erst gefunden. Unsere Kritik richtet sich deshalb nicht an Entwickler, Förderer oder einzelne Nutzer, sondern an die Größenordnung, in der Nutzen und Beitrag auseinanderklaffen.

Quellen & weiterführende Links

• The PHP Foundation

  Impact and Transparency Report 2025
• heise online

  php2shell: Millionen PHP-Dienste in Deutschland verwundbar
• Borns IT- und Windows-Blog

  php2shell: Webseiten von Gemeinden als Sorgenkind? (3.11.2026)
• Harvard Business School

  The Value of Open Source Software
• Sovereign Tech Agency

  PHP
• The Record

  CISA extends CVE program contract with MITRE
• CSO Online

  CVE program funding secured, easing fears of repeat crisis
• Infosecurity Magazine

  European Vulnerability Database Launches Amid US CVE Chaos

Stand der Recherche: 3. November 2026