PHP2Shell und Vereinssoftware: Warum SaaS bei Sicherheitslücken die bessere Abwehr ist
Ende Oktober mussten weltweit Server im Eilverfahren aktualisiert werden. Für Vereine stellt sich danach eine einfache, aber unangenehme Frage: Wer kümmert sich bei uns eigentlich darum? Ein ehrlicher Vergleich zwischen selbst betriebener Vereinssoftware und Software als Dienst.
Was ist passiert?
Am 21. Oktober 2026 hat das PHP-Projekt außerplanmäßig Sicherheitsupdates veröffentlicht. Sie schließen zwei Lücken mit den Kennungen CVE-2026-109618 und CVE-2026-109619, beide mit 9,2 von 10 Punkten als kritisch eingestuft. Über beide Lücken können Angreifer ohne Anmeldung eigenen Code auf dem Server ausführen. Das BSI hat eine Cybersicherheitswarnung der Stufe 3 herausgegeben, die US-Behörde CISA listet die Lücken als aktiv ausgenutzt.
PHP ist eine der meistgenutzten Programmiersprachen im Web. Darauf laufen nicht nur WordPress-Webseiten, sondern auch viele Vereinsportale, Mitgliederverwaltungen, Buchungssysteme und Datenablagen wie Nextcloud. Ein Update der jeweiligen Software hilft hier nicht, denn die Lücke sitzt eine Ebene tiefer.
Warum das deine Vereinsdaten betrifft
Auf einer Vereinswebseite liegen meist Texte und Fotos. In der Vereinsverwaltung liegt das, was wirklich schützenswert ist: Namen und Anschriften aller Mitglieder, Geburtsdaten von Kindern, Bankverbindungen für den Lastschrifteinzug, Vermerke zu Führungszeugnissen oder Übungsleiterverträge.
Gerade diese Daten laufen in vielen Vereinen auf einem Server, den irgendwann jemand eingerichtet hat: ein gemieteter Webspace, ein Rechner in der Geschäftsstelle oder die Festplatte im Heimnetz eines engagierten Mitglieds. Wer dort die Updates einspielt, ist oft nicht geregelt.
Ein Torwart, der nur jeden zweiten Samstag zum Spiel kommt, ist keine Abwehr. Sicherheitsupdates müssen eingespielt werden, wenn die Lücke bekannt wird, nicht wenn jemand Zeit hat.
Eigenbetrieb oder SaaS: Wer steht im Tor?
SaaS steht für Software as a Service. Du nutzt die Software im Browser oder in der App, Betrieb, Server und Updates übernimmt der Anbieter. Der Unterschied zeigt sich genau in Wochen wie dieser:
| Aufgabe | Selbst betrieben | SaaS |
|---|---|---|
| Server und PHP aktualisieren | Verein oder sein Dienstleister, jede Installation einzeln | Anbieter, einmal zentral für alle Kunden |
| Reaktionszeit bei kritischen Lücken | So schnell, wie die zuständige Person Zeit hat | Fachleute, die das hauptberuflich machen |
| Backups und Wiederherstellung | Muss eingerichtet und regelmäßig getestet werden | Teil der Leistung, im Vertrag geregelt |
| Überwachung auf Angriffe | Meist gar nicht | Laufende Überwachung durch den Anbieter |
| Datenschutz-Vertrag | Mit dem Hoster, oft vergessen | Auftragsverarbeitungsvertrag mit dem Anbieter |
Damit kein falscher Eindruck entsteht: Auch die Server eines SaaS-Anbieters müssen gepatcht werden. Der Vorteil liegt nicht darin, dass es dort keine Lücken gibt. Er liegt darin, dass sich ein Team darum kümmert, das genau dafür da ist, statt hunderte Ehrenamtliche in hunderten Vereinen.
Was SaaS nicht für dich erledigt
Die meisten Datenpannen im Verein entstehen nicht durch Programmierfehler, sondern durch schwache oder geteilte Passwörter, gefälschte E-Mails und zu großzügige Rechte. Diese drei Spielzüge bleiben in deiner Hand:
- Zwei-Faktor-Anmeldung einschalten: Ein gestohlenes Passwort allein reicht dann nicht mehr. Bei klubboard® richten wir die Zwei-Faktor-Anmeldung für Bestandskunden kostenlos ein.
- Rechte sparsam vergeben: Die Trainerin der F-Jugend braucht ihre Mannschaft, nicht die Bankdaten aller Mitglieder.
- Zugänge pflegen: Wer ein Amt abgibt, verliert seinen Zugang am selben Tag. Gemeinsam genutzte Logins gibt es nicht.
Fünf Sicherheitsfragen an deinen Softwareanbieter
Ob du schon eine Vereinssoftware nutzt oder gerade eine auswählst: Diese Fragen sollte jeder Anbieter klar und schriftlich beantworten können.
- Wie schnell spielt ihr kritische Sicherheitsupdates ein, und wie informiert ihr uns darüber?
- Wo stehen die Server, und bekommen wir einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO?
- Wie oft gibt es Backups, und wie schnell könnt ihr sie zurückspielen?
- Bietet ihr Zwei-Faktor-Anmeldung und ein Rollen- und Rechtekonzept?
- Können wir unsere Daten jederzeit vollständig exportieren?
Mehr Fragen für die Auswahl findest du in unserem Artikel Vereinssoftware auswählen: 12 Fragen, bevor du unterschreibst.
[Bitte vor Veröffentlichung ergänzen: Ob und wie klubboard® von PHP2Shell betroffen war, wann die Systeme aktualisiert wurden und ob Kundinnen und Kunden etwas tun müssen.]
Zum Mitnehmen: Den ganzen Artikel gibt es als PDF, zum Ausdrucken für die nächste Vorstandssitzung.
PDF herunterladen