Über 100’000 Schweizer Websites offline. Warum wir PHP hinter uns gelassen haben.

SRF berichtete am 22. Oktober 2026, dass Cyon wegen kritischer PHP-Sicherheitslücken mehr als 100’000 Websites vorübergehend vom Netz genommen hatte. Die Abschaltung war eine Vorsichtsmassnahme. Sie bedeutet nicht, dass diese Websites gehackt wurden.

Laut Cyon waren die Websites nach Sicherheitsupdates am frühen Morgen des 22. Oktober wieder online. Zum Zeitpunkt des SRF-Berichts waren dem Bundesamt für Cybersicherheit keine Angriffe in der Schweiz bekannt, die diesen konkreten Schwachstellen zugeordnet werden konnten.

Ich habe jahrelang mit WordPress gearbeitet und Unternehmen geholfen, deren Websites gehackt worden waren. Dabei habe ich erlebt, wie viel Zeit es kostet, Schäden zu beheben, Zugänge wiederherzustellen und die Ursache zu finden.

Diese Erfahrungen haben unsere Entscheidung geprägt, PHP schon vor einigen Jahren hinter uns zu lassen. Die Dienstleistungsunternehmen, für die wir arbeiten, brauchen selten ein öffentlich erreichbares Redaktionssystem, eine Datenbank und zahlreiche Plugins hinter jeder Seite.

Der aktuelle Vorfall betrifft PHP selbst. Er ist nicht mit einer Sicherheitslücke in einem WordPress-Plugin zu verwechseln. Beides zeigt: Für jeden Bestandteil der Website braucht es jemanden, der sich um die Wartung kümmert.

Unsere Websites werden im Voraus erstellt und als statische Dateien ausgeliefert. Auf der öffentlichen Website laufen weder PHP noch eine WordPress-Installation. Diese PHP-Schwachstellen betreffen deshalb ihre Website-Laufzeit nicht.

Damit entfällt auf der Website selbst eine ganze Klasse von PHP-bezogenen Risiken. Zugleich gibt es weniger Komponenten zu warten. Dieser Aufbau passt zur Aufgabe: Ihr Unternehmen klar vorstellen und Interessenten den Kontakt erleichtern.

Das Hosting bleibt wichtig. Ein Anbieter kann im Zuge einer Sicherheitsmassnahme einen ganzen Server abschalten, einschliesslich statischer Websites. Allein der Verzicht auf PHP garantiert deshalb keine unterbrechungsfreie Erreichbarkeit.

Kein seriöser Anbieter kann versprechen, dass eine Website zu 100 Prozent unhackbar ist. Hosting-Konten, Domain-Zugänge, Entwicklungswerkzeuge und verbundene Dienste müssen weiterhin geschützt werden. Unser Ansatz verkleinert die Angriffsfläche; er beseitigt nicht jedes Risiko.

Falls Ihre Website PHP verwendet, lassen Sie sich vom Hoster bestätigen, dass die nötigen Updates installiert sind. Die unten verlinkten Hinweise des BACS helfen bei der Einordnung. Ein Plattformwechsel lässt sich danach in Ruhe prüfen, statt ihn aufgrund einer Schlagzeile zu überstürzen.