Die PHP-Entwickler warnen seit Mittwoch vor zwei kritischen Lücken in ihrer Serversoftware. Angreifer könnten auf verwundbaren Webservern unter bestimmten Bedingungen ohne Anmeldung eigenen Code ausführen. Behörden und Kliniken haben deshalb Webseiten abgeschaltet; F-NEWS berichtete über die betroffenen Systeme und die ersten Updates. Viele Leser fragen nun, ob auch ihr Geld bei Banken oder PayPal in Gefahr ist.

Bisher gibt es keine Meldung, dass Angreifer wegen der PHP-Lücken auf Bank- oder PayPal-Konten zugegriffen haben. Gefährdet sind zunächst Webserver mit verwundbarer PHP-Version. Ob ein Zahlungsdienst dazu gehört, wissen Außenstehende meist nicht. Entscheidend ist, welche Technik er einsetzt und ob die Reparatur bereits eingespielt wurde.

Das mögliche Schadensbild ist trotzdem ernst. Wird der Server eines Zahlungsdienstes übernommen, kann der Angreifer je nach Zugriffsrechten Daten auslesen, die Webseite verändern oder Nutzer auf gefälschte Anmeldemasken lenken. Selbst eine kompromittierte kleinere Webseite kann zum Einfallstor werden, wenn sie Zahlungslinks oder eingebettete Bezahlfunktionen anbietet. Die Sicherheitsfirma Cloudflare beobachtet bereits Angriffsversuche auf die PHP-Lücken. Das zeigt, wie schnell die Jagd auf ungepatchte Server begonnen hat.

Für Privatkunden bleibt der unmittelbarere Weg zum Konto oft eine täuschend echte Nachricht: „Zahlung bestätigen“, „Konto gesperrt“ oder „Sicherheitsupdate erforderlich“. Wer auf den Link klickt und Passwort sowie Bestätigungscode eingibt, liefert den Tätern unter Umständen beide Schlüssel selbst. Das BSI warnt, dass auch Zwei-Faktor-Verfahren durch solche Angriffe in Echtzeit ausgetrickst werden können. Eine Freigabe auf dem Telefon schützt nur, wenn der Nutzer Empfänger und Betrag tatsächlich prüft.

Auch PayPal rät, verdächtige Mitteilungen nicht über deren Links zu öffnen, sondern sich direkt im eigenen Konto anzumelden. Unbekannte Zahlungen sollen Kunden sofort über die Konfliktlösungen melden. Wer noch mit Passwort arbeitet, sollte für Bank, PayPal und E-Mail verschiedene Zugangsdaten verwenden. Ein kompromittiertes E-Mail-Konto kann auch das Zurücksetzen anderer Konten erleichtern. Wo verfügbar, sind Passkeys gegen klassische Phishing-Seiten widerstandsfähiger als abgefangene Passwörter und Einmalcodes.

Kunden können nicht nachsehen, welche Software ihre Bank auf den Servern nutzt oder ob sie rechtzeitig repariert wurde. Sie müssen sich darauf verlassen, dass die Betreiber Sicherheitslücken schließen, Angriffe erkennen und bei einem Vorfall offen informieren. Die vorsorglichen Abschaltungen öffentlicher Webseiten zeigen, dass selbst große Einrichtungen vor einer akuten Lücke lieber den Stecker ziehen.

Wer jetzt eine angebliche „PHP-Sicherheitsprüfung“ seiner Bank per SMS, Mail oder Messenger erhält, sollte besonders misstrauisch sein. Keine seriöse Bank braucht dafür am Telefon eine TAN oder eine spontane Freigabe in der App. Im Zweifel die Bank über ihre selbst aufgerufene Webseite oder die Nummer auf der Karte kontaktieren und die letzten Buchungen kontrollieren.