Am Dienstag, 20. Oktober 2026, kündigten die Entwickler von PHP ein Update für zwei kritische Sicherheitslücken an. Einen Tag später gingen in mehreren europäischen Ländern Websites von Behörden, Krankenhäusern und Medien vorsorglich offline. In diesem Kurs blicken Mitarbeitende, IT-Administratoren und Führungskräfte auf diese Tage zurück und lernen, was sie bei der nächsten kritischen Lücke anders machen.
PHP ist die Software, auf der schätzungsweise siebzig Prozent aller Websites laufen. Über die beiden Lücken konnte ein Cyberkrimineller einen Server übernehmen, ohne sich anzumelden. Die Ankündigung wirkte deshalb wie ein Startschuss: Noch bevor das Update verfügbar war, suchten Cyberkriminelle bereits nach verwundbaren Systemen.
Eine solche Lücke betrifft alle in der Organisation, aber nicht alle haben dieselbe Aufgabe. Der Kurs besteht deshalb aus einer kurzen Einführung, drei Modulen für drei Rollen und einem gemeinsamen Test. Alle Module spielen in derselben fiktiven Organisation, sodass jede Teilnehmerin und jeder Teilnehmer sieht, wie die eigene Rolle mit den anderen zusammenhängt.
- Im Modul für Mitarbeitende (10 Minuten) geht das Kundenportal offline, und am Abend erhält Sara eine E-Mail mit einer Schaltfläche zum Herunterladen des Sicherheitsupdates. Die Teilnehmenden lernen, eine solche Nachricht zu erkennen und zu melden, auch wenn sie bereits geklickt haben.
- Im Modul für IT-Administration und Informationssicherheit (12 Minuten) müssen David und Lena an einem Vormittag entscheiden, welche Systeme vom Netz gehen. Die Teilnehmenden lernen, die Kosten eines Einbruchs gegen die Kosten des Stillstands abzuwägen, sicher zu aktualisieren und danach nach Spuren eines Einbruchs zu suchen.
- Im Modul für die Geschäftsleitung (10 Minuten) berät die Leitung eine Dreiviertelstunde, während das Kundenportal verwundbar online bleibt. Die Teilnehmenden lernen, welche Entscheidungen die Leitung im Voraus zu Risikobereitschaft, Kontinuität, Mandat und Lieferanten trifft.
Alle Teilnehmenden schließen mit demselben Test ab. Aus einem Satz von 25 Fragen erhält jede Person 10, und wer 35 von 50 Punkten erreicht, hat bestanden. Mit Einführung, eigenem Modul und Test dauert der Kurs etwa zwanzig Minuten.
Der Kurs ist in 27 Sprachen verfügbar. PHP ist das Beispiel und die Gesetzgebung im Kurs ist europäisch, sodass der Inhalt in jedes europäische Land passt.
Was lernen die Teilnehmenden konkret?
- Warum eine einzige Lücke in weit verbreiteter Software so viele Dienste gleichzeitig lahmlegt.
- Wie man Nachrichten erkennt und meldet, mit denen Cyberkriminelle auf Nachrichtenlagen aufspringen.
- Wie man bei einer kritischen Lücke schnell feststellt, wo die Software läuft, wer das Update liefert und wie viel Zeit bleibt.
- Wie man pro System zwischen Abschalten, eingeschränktem Notbetrieb und Weiterbetrieb mit bewusst akzeptiertem Restrisiko wählt.
- Welche Entscheidungen die Leitung im Voraus trifft, damit eine Entscheidung am Tag selbst zwei Minuten statt einer Dreiviertelstunde dauert.
- Wer an einem solchen Tag was tut und wann die Meldepflichten aus DSGVO und NIS2-Richtlinie gelten.
Für wen ist dieser Kurs gedacht?
Der Kurs ist für die gesamte Organisation gedacht. Alle absolvieren die Einführung, das Modul für die eigene Rolle und den Test. Mitarbeitende belegen das Modul über Erkennen und Melden. System- und Anwendungsadministratoren sowie Sicherheitsverantwortliche belegen das Modul für IT-Administration und Informationssicherheit. Vorstände, Geschäftsführung und Prozessverantwortliche belegen das Modul für die Geschäftsleitung.
Warum dieser Kurs gerade jetzt zählt
Die PHP-Lücke ist keine Ausnahme. Die Zeit zwischen der Bekanntgabe einer Lücke und dem ersten Missbrauch wird immer kürzer, unter anderem weil Cyberkriminelle KI einsetzen. Wer erst abwägt, wenn die ersten Scans eintreffen, ist zu spät.
Zudem verlangt die NIS2-Richtlinie, dass Organisationen Risikoanalyse, Betriebskontinuität und Krisenmanagement im Griff haben und die Leitung dies überwacht. Bei einem erheblichen Vorfall ist innerhalb von 24 Stunden eine erste Meldung nötig. Der Kurs nutzt ein Ereignis, das allen noch vor Augen steht, und die Lehren gelten für jede weitere kritische Lücke.