Sicherheitslage Herbst 2026: Was sich für Kommunen und Mittelstand ändert

Weniger Opfer zahlen Lösegeld, und die Summen sinken – das klingt nach Entspannung. Ist es aber nicht. Die Angriffe gehen weiter, sie treffen weiterhin vor allem den Mittelstand, und sie werden schneller. Wie schnell, hat der Oktober 2026 gezeigt: Zwischen der Veröffentlichung der PHP-Lücke PHP2Shell und den ersten übernommenen Firewalls lagen keine drei Tage. Was die Zahlen zeigen, was sich durch KI verändert und welche fünf Punkte für Kommunen und Unternehmen jetzt zählen.

Die Lage in Zahlen

Die Zahlen zu Zahlungen und Opfern stammen aus dem Quartalsbericht des Incident-Response-Dienstleisters Coveware, der laufend Erpressungsfälle auswertet. Bemerkenswert ist seine Unterscheidung nach Unternehmensgröße: Große Organisationen werden eher gezielt über Identitäten angegriffen, kleine und mittlere eher über ungepatchte Lücken und kompromittierte Fernzugänge. Genau das sind die Punkte, um die es im Oktober ging.

Das Lehrstück des Herbstes: PHP2Shell

Zwei kritische Lücken in PHP, der Grundlage unzähliger Webseiten, Portale und Geräteoberflächen, haben im Oktober wie unter dem Mikroskop gezeigt, wie Angriffe heute ablaufen. Wir haben die Entwicklung täglich in unserer Statusübersicht begleitet. Der Ablauf in Kürze:

Vier Lehren aus diesem Fall gelten weit über PHP hinaus:

• Der Angriff kann vor dem Patch kommen. Bei PHP2Shell gab es Angriffsversuche, bevor die Lücke offiziell bekannt war – Informationen waren vorzeitig durchgesickert. Ein Muster, das wir schon in Wenn der Angriff vor dem Patch kommt beschrieben haben.
• Geräte am Netzwerkrand sind das Einfallstor. Die bestätigten Einbrüche liefen nicht über Webseiten, sondern über Verwaltungsoberflächen von Firewalls, die aus dem Internet erreichbar waren. Dasselbe Muster zeigten in den Wochen davor die Lücken in Citrix NetScaler und Cisco-Firewalls.
• Altlasten bremsen das Patchen. Fast die Hälfte aller PHP-Webseiten läuft auf Versionen ohne offizielle Updates. Und die angegriffenen Firewalls enthielten nicht nur ein veraltetes PHP, sondern auch einen Linux-Kern, dessen bekannte Lücke seit fünf Monaten behoben war. Mehr dazu in PHP-Version und Update-Pfad für CMS.
• Der Weg führt ins Active Directory. Auf dem Verwaltungsserver der Firewall lag das Kennwort eines LDAP-Dienstkontos. Damit griffen die Täter das Active Directory an – begünstigt durch fehlende Kontosperre und Standardeinstellungen. Mehr dazu in Welche Rechte hat Ihr Webserver? und Active Directory härten.

Was sich durch KI verändert

Künstliche Intelligenz verändert die Sicherheitslage nicht durch einen spektakulären neuen Angriff, sondern durch Tempo und Masse. Vier Entwicklungen zeichnen sich deutlich ab:

Ausblick: Erste Versuche, Angriffe weitgehend von einer KI ausführen zu lassen, sind dokumentiert – sie laufen noch holprig, werden aber besser. Wir erwarten für 2027, dass sich das Zeitfenster zwischen Update und Angriff bei Geräten am Netzwerkrand weiter auf Stunden verkürzt, dass Hersteller häufiger außerplanmäßig patchen und dass monatliche Wartungsfenster für kritische Systeme nicht mehr ausreichen. Die gute Nachricht: Auch die Verteidigung wird schneller, und die wirksamsten Gegenmittel bleiben dieselben. Sie müssen nur konsequenter und automatisierter umgesetzt werden.

Weitere Maschen, die gerade wirken

• Gefälschte Captchas: Bei ClickFix und der Variante TerminalFix sollen Nutzer ihr „Menschsein“ beweisen, indem sie eine Tastenkombination drücken und etwas einfügen. Tatsächlich führen sie damit einen Befehl aus, den die Webseite vorher heimlich in die Zwischenablage kopiert hat. So gelangte die Erpressergruppe Rhysida laut BSI im August in die Netze zweier Berliner Senatsverwaltungen. Mehr dazu in Cyberangriff auf Berlin.
• Anmelden statt einbrechen: Laut Coveware lief der Erstzugang zuletzt überwiegend über Identitäten – manipulierte Helpdesks, zurückgesetzte MFA, App-Berechtigungen, Fernzugangsportale und gestohlene Zugangsdaten, oft von Infostealern. Mehr dazu in MFA umgangen – und das Konto trotzdem weg.
• Daten statt Verschlüsselung: Immer mehr Gruppen stehlen Daten und drohen mit Veröffentlichung, ohne zu verschlüsseln. In Berlin veröffentlichte Rhysida nach verweigerter Zahlung unter anderem Personalakten, Ausweiskopien und Passwortlisten im Klartext.
• Lange Ausfälle: Wie lange ein Angriff nachwirkt, zeigt das HSZ-BW: Noten, Bewerbungen, Stundenpläne und Honorarzahlungen an Hochschulen im Land stehen seit dem 7. Oktober still. Obwohl die Angreifer nur einen kleinen Teil des Netzes erreichten, wird alles neu aufgebaut, und einen Termin für die vollständige Wiederherstellung gibt es noch nicht. Mehr dazu in Warum der Wiederanlauf so lange dauert.

Fünf Schwerpunkte für Kommunen und Mittelstand

1. Updates priorisieren und automatisieren: Bei hunderten Lücken im Monat hilft nur ein geregelter Ablauf. Geräte am Netzwerkrand – Firewalls, VPN-Gateways, Webserver – zuerst, und zwar in Tagen, nicht Wochen. Dazu gehört eine aktuelle Übersicht, wo welche Software läuft, auch PHP in Fachanwendungen und Geräten.
2. Verwaltungsoberflächen aus dem Internet nehmen: Firewalls, Speichersysteme, Virtualisierung und Fernwartung gehören in ein eigenes Verwaltungsnetz. Diese eine Maßnahme hätte die bestätigten PHP2Shell-Einbrüche verhindert.
3. Zugangswege und Identitäten härten: Phishing-resistente MFA zuerst für Administratoren, Fernzugänge und die Datensicherung. Passwort- und MFA-Rücksetzungen so gestalten, dass ein Anruf allein nicht reicht. Zugänge von Dienstleistern – auch unsere – personengebunden, begrenzt und protokolliert. Normale Benutzer brauchen in der Regel weder PowerShell noch das Windows-Terminal; beides lässt sich sperren und nimmt den gefälschten Captchas die Wirkung.
4. Gestohlene Zugangsdaten früh erkennen: Infostealer verkaufen ihre Beute oft Wochen vor dem eigentlichen Angriff. Wer prüft, ob Adressen und Zugangsdaten der eigenen Organisation in Datenlecks auftauchen, kann Kennwörter erneuern, bevor sie benutzt werden. Kennwörter gehören in einen Passwortmanager, nicht in den Browser und nicht in Listen.
5. Den Wiederanlauf beherrschen: Wer nicht zahlen will, muss ohne die Täter wieder hochkommen. Dazu gehören unveränderbare Sicherungen, eigene Zugangsdaten für die Datensicherung, die nicht im Active Directory hängen, und eine Wiederherstellung, die regelmäßig geübt wird. Mehr dazu in Warum das Backup allein nicht rettet und 3-2-1-Backup mit Veeam.

Wie unsere Managed Services diese Punkte abdecken

Die fünf Schwerpunkte klingen nach viel Aufwand – sie lassen sich aber großteils automatisieren und laufend überwachen. Genau dafür gibt es unsere Servicepakete BASIS, KOMFORT und PREMIUM. In jedem steckt ITPuls, unser Systemmonitoring mit IT-Sicherheitscheck.

Für Kommunen richten wir die Betreuung an Verwaltungsabläufen und BSI-Grundschutz aus. Details zu Paketen und Reaktionszeiten: Managed Services und IT für Kommunen.

Quellen & weiterführende Links

• Coveware

  Adverse cyber extortions are more common than commonly advised – Quartalsbericht Q2 2026
• Dream Research

  Chained PHP2Shell Exploit Roots 25 Servers, including US Government Servers
• Palo Alto Networks Unit 42

  Threat Brief PHP2Shell (Einbrüche über PAN-OS-Verwaltungsoberflächen bestätigt)
• Amazon Threat Intelligence

  PHP2Shell exploitation prior to public disclosure in MadPot
• Censys

  PHP2Shell-Dashboard – verwundbare und gepatchte PHP-Dienste weltweit
• heise online

  BSI erklärt ersten Angriffsvektor auf Berliner Behörden
• heise online

  Erneut kritischer Bug in Linux TCP/IP aufgedeckt – Updates in Arbeit
• c't / heise+ (für Abonnenten)

  Malware-Lage 2026: Weniger Lösegeld, mehr Lücken, neue Tricks (weiterführend, u. a. Patch-Zahlen von Microsoft)

Recherchestand: 30. Oktober 2026.