Patch-NachweisFestpreisRechnung nach Lieferung
Patch-Nachweis PHP2Shell
Die Geschäftsführung, ein Kunde oder der Versicherer fragt: Ist das Update auf unserer Website eingespielt? Der Hoster meldet „gepatcht“, ein Online-Checker zeigt „rot“, und für die Kampagnenseite von 2022 fühlt sich niemand zuständig. Wir sehen auf Ihrem Server nach, fragen bei Ihrem Hoster nach und dokumentieren das Ergebnis so, dass Sie es weitergeben können.
249 € netto für eine Domain, +49 € je weitere Domain beim selben Hoster, +149 € je zusätzlichem Hoster. Ab drei Hostern oder mehr als zehn Domains: Angebot innerhalb von 4 Stunden. Preise zzgl. USt., Angebot nur für Unternehmen.
Was brauchen Sie gerade?
Beauftragen Sie innerhalb von 30 Tagen ein PHP-Update oder eine Wartung bei uns, ziehen wir den Betrag von der ersten Rechnung ab. Wartungskunden erhalten das Prüfprotokoll ohne Auftrag.
- seit 2016 in Hamburg
- HISCOX-versichert
- Raidboxes Diamond Partner
XPERIENTS in Kürze
XPERIENTS ist eine inhabergeführte Digitalagentur in Hamburg (seit 2016). Der PHP2Shell-Patch-Nachweis von XPERIENTS kostet 249 € netto für eine Domain, enthält die Serverprüfung mit Zugang, die schriftliche Auskunft des Hosters und ein Prüfprotokoll als PDF, Zwischenstand 48 Stunden nach Zugang.
Ein Auszug der Unternehmen, deren Websites wir betreuen
Erkennen Sie Ihre Lage wieder?
Die Korrektur selbst spielt Ihr Hoster ein. Schwierig wird es meist an anderer Stelle:
„Gepatcht“ meldet die Plattform. Gilt das auch für Ihr Paket?
Hoster melden den Stand ihrer Server. Ob das für Ihr Paket, Ihre PHP-Version und Ihre Subdomains gilt, steht dort nicht.
Der Checker zeigt Rot, der Hoster sagt Grün.
Online-Checker lesen nur die Versionsnummer. Viele Hoster spielen die Korrektur ein, ohne sie zu ändern. Wer recht hat, zeigt erst ein Blick auf den Server.
Vergessene Websites ohne Zuständigen.
Die Microsite von 2022, das Karriereportal, die Kampagnenseite: Jede kann auf einem anderen Server oder mit einer älteren PHP-Version laufen. Die Agentur ist nicht mehr dabei, die IT kümmert sich um Firewall und Server, und die Website fällt dazwischen.
Jemand will es schriftlich.
Geschäftsführung, Datenschutz, ein Kunde mit Lieferantenfragebogen oder der Versicherer fragen nach. „Ich glaube, das passt“ reicht dann nicht.
Website-Check oder Patch-Nachweis?
Eine Frage entscheidet: Müssen Sie den Stand jemandem zeigen, oder wollen Sie ihn nur wissen?
| Kostenloser Website-Checknur wissen | Patch-Nachweiszeigen, Festpreis | |
|---|---|---|
| Für wen | Sie wollen wissen, ob überhaupt Handlungsbedarf besteht | Sie müssen den Stand intern dokumentieren oder sind unsicher, ob Ihr Hoster richtig geantwortet hat |
| Was wir tun | Wir prüfen von außen: Hosting-Anbieter, System, erkennbare Versionshinweise, Plugins und Theme-Stand, Statusseite des Hosters. Ein Mensch schaut drauf, kein Skript. | Wir prüfen mit Zugang: PHP-Version und Patch-Stand auf dem Server, Backports berücksichtigt. Wir holen die schriftliche Bestätigung Ihres Hosters ein. Wir erfassen die Domains und Subdomains, die Sie uns nennen, und weitere, die wir in Ihrem Hosting-Konto sehen. |
| Zugang nötig | Nein, nur die URL | Ja: temporärer Hosting- oder Admin-Zugang, den Sie selbst anlegen und danach löschen |
| Ergebnis | Einschätzung per E-Mail: „kein Handlungsbedarf erkennbar“, „bitte Hoster fragen“ oder „Handlungsbedarf, weil …“, bei Bedarf mit Festpreis für das PHP-Update. Mit dem Hinweis, was wir von außen nicht sehen konnten. | Einseitiges Prüfprotokoll als PDF: geprüfte Domains, Datum, PHP-Version, Patch-Stand, Auskunft des Hosters, Empfehlung, Ansprechpartner. Dazu eine Liste offener Punkte, falls es welche gibt. |
| Dauer | 1 Werktag | Zwischenstand 48 Stunden nach Zugang, Endfassung mit Hoster-Antwort |
| Preis | 0 € | 249 € netto (1 Domain), +49 € je weitere, bis 10 Domains. Darüber: Angebot. |
| Website-Check anfordern | Patch-Nachweis beauftragen |
Sie haben bereits eine Hoster-Antwort und verstehen sie nicht? Leiten Sie sie an [email protected] weiter. Wir sagen Ihnen kostenlos, was sie aussagt und was offen bleibt. Bitte senden Sie keine Passwörter oder Zugangsdaten mit.
Das Prüfprotokoll: eine Seite statt vieler Rückfragen
Für alle, die den Stand weitergeben müssen: So sieht das Protokoll aus.
Geprüfte Systeme: jede Domain und Subdomain mit Hoster und PHP-Version.
Befund je System: „Korrektur laut Server eingespielt (Stand [Datum])“, „Backport laut Hoster eingespielt“ oder „Handlungsbedarf: Version [x], kein Backport bestätigt“.
Grundlage: Was wir gesehen haben (Server-Auskunft, Hoster-Bestätigung mit Datum und Ticketnummer).
Empfehlung: Was jetzt zu tun ist, in einem Satz pro System.
Gültigkeit: Das Protokoll beschreibt, was wir zum Prüfdatum gesehen haben und was der Hoster schriftlich angibt. Es umfasst nur die aufgeführten Domains und gibt Angaben des Hosters ungeprüft wieder. Es ist keine Bestätigung, Garantie oder Zusicherung der Sicherheit, kein Penetrationstest und keine Aussage über Zugriffe vor dem Prüfdatum. Dritte können daraus keine Ansprüche ableiten.
Ansprechpartner: Alexander Fichtl, Partner & Head of Development.
Das Dokument ist für Menschen geschrieben, die keine Zeit haben: Geschäftsführung, Datenschutzbeauftragte, IT-Leitung, Konzern-IT.
XPERIENTS Digitalagentur GmbH
Prüfprotokoll PHP2Shell
1Domain · Hoster · PHP2Patch-Status3Grundlage
www.muster-gmbh.deHoster A · PHP 8.3.36Korrektur laut Server eingespielt (Stand 23.10.2026)Server-Auskunft, Hoster-Ticket Nr. 4711, 22.10.
karriere.muster-gmbh.deHoster A · PHP 8.1Backport laut Hoster eingespieltHoster-Ticket Nr. 4711, 22.10.
aktion2022.muster-gmbh.deHoster B · PHP 7.4Handlungsbedarf: Version 7.4, kein Backport bestätigtServer-Auskunft, 23.10.
4Empfehlung
aktion2022.muster-gmbh.de: auf PHP 8.3 umstellen oder abschalten, bis 30.10.2026.
5Gültigkeit und Grenzen
Das Protokoll beschreibt, was wir zum Prüfdatum gesehen haben und was der Hoster schriftlich angibt. Es umfasst nur die aufgeführten Domains und gibt Angaben des Hosters ungeprüft wieder. Es ist keine Bestätigung, Garantie oder Zusicherung der Sicherheit, kein Penetrationstest und keine Aussage über Zugriffe vor dem Prüfdatum. Dritte können daraus keine Ansprüche ableiten.
6AnsprechpartnerAlexander Fichtl, Partner & Head of DevelopmentXPERIENTS Digitalagentur GmbH
Warum eine Versionsnummer kein Nachweis ist
Seit dem 21. Oktober gibt es kostenlose Online-Checker für PHP2Shell. Sie laden Ihre Startseite und lesen die PHP-Version aus den Server-Headern. Das hat drei Probleme:
-
Viele Hoster verstecken die Version. Der Checker zeigt dann „unklar“ und Sie wissen so viel wie vorher.
Der Checker zeigtPHP-Version: unklar
Auf dem Server stehtPHP 8.3.36, Korrektur aktiv
-
Korrekturen ändern die Nummer oft nicht. Debian, Ubuntu und viele Hoster spielen den Patch ein, ohne die Versionsnummer zu erhöhen (Quelle: BSI). Der Checker zeigt „rot“, obwohl Sie geschützt sind. Das Gegenteil kommt auch vor.
Der Checker zeigtPHP 8.1: rot
Auf dem Server stehtPHP 8.1 mit Backport, geschlossen
-
Ein Checker prüft eine Domain. Die Microsite von 2022, das Karriereportal, die Landingpage der letzten Kampagne: Jede kann auf einem anderen Server oder mit einer älteren PHP-Version laufen und taucht in keinem Check auf, den Sie nicht selbst starten.
Der Checker zeigt1 Domain geprüft
Auf dem Server steht3 Domains, davon 1 mit Handlungsbedarf
Verlässlich ist nur, was auf dem Server steht und was Ihr Hoster schriftlich bestätigt. Genau das prüfen wir.
So läuft der Patch-Nachweis ab
Tag 0
Sie beauftragen
über das Formular. Drei Minuten.
innerhalb eines Werktags
Wir melden uns
mit einer Anleitung, wie Sie uns einen temporären Zugang anlegen. Keine Passwörter per E-Mail. Liegt der Zugang bei Ihrer Agentur oder einem Freelancer, erhalten Sie von uns eine Anfrage zum Weiterleiten, und wir stimmen den Zugang direkt ab. Ist niemand mehr erreichbar, klären wir mit Ihrem Hoster über dessen Identitätsprüfung, wie Sie Vertrag und Domain zurückbekommen; das ist Teil des Nachweises.
parallel
Wir prüfen
auf dem Server und fragen parallel Ihren Hoster an. Bei Raidboxes geht das über den Partner-Support. Bei anderen Hostern erhalten Sie von uns das fertige Ticket, senden es aus Ihrem Kundenkonto und leiten die Antwort weiter; auf Wunsch mit Vollmacht in Ihrem Namen.
48 Stunden nach Zugang · 3 bis 5 Werktage
Sie erhalten
das Prüfprotokoll als PDF, sobald die Hoster-Antwort vorliegt, in der Regel innerhalb von drei bis fünf Werktagen. Haben Sie eine Frist, erhalten Sie innerhalb von 48 Stunden nach Zugang einen datierten Zwischenstand auf Basis der Server-Auskunft; die Auskunft des Hosters reichen wir nach.
nach Lieferung
Sie löschen
den Zugang. Wir erinnern Sie daran.
Drei mögliche Befunde, drei klare Wege
-
Alles gepatcht und betreut.
Sie heften das Prüfprotokoll ab. Wir verkaufen Ihnen nichts. Wenn Sie möchten, informieren wir Sie bei der nächsten kritischen Lücke per E-Mail.
-
Gepatcht, aber Plugins, Theme oder Core veraltet, oder niemand zuständig.
Dann war PHP2Shell nur die erste Lücke, die aufgefallen ist. Wir zeigen Ihnen, was offen ist, und machen ein Wartungsangebot. Der Nachweis wird angerechnet.
Wartung ab 149 € pro Quartal -
PHP 8.1 oder älter ohne Backport.
Dann braucht Ihre Website einen Versionswechsel, vorher getestet. Festpreis, in der Regel drei Werktage. Der Nachweis wird angerechnet.
PHP-Update ohne Ausfall
Viele Websites oder Kunden-Websites: zwei weitere Wege
-
Bestandsaufnahme für Ihr Website-Portfolio
Bei mehr als zehn Websites, Marken oder Ländern erfassen wir die Marken-, Kampagnen- und Länderseiten, die Sie nennen oder die wir in Ihren Hosting-Konten sehen, mit Hoster, System, PHP-Version und Patch-Stand. Sie erhalten eine Liste im Format Ihrer IT mit einem Vorschlag je Website: aktualisieren, archivieren, abschalten oder unverändert lassen. Danach auf Wunsch ein Rahmenvertrag mit festem Preis je Website.
Portfolio-Angebot anfordern -
Für Agenturen ohne eigenen technischen Betrieb
Sie bleiben Ansprechpartner Ihrer Kunden, wir übernehmen im Hintergrund Patch-Stand, PHP-Updates und Wartung der Kunden-Websites. Sie bekommen den Stand je Kunden-Website und Textvorlagen, die Sie anpassen und in eigenem Namen versenden.
Als Agentur anfragen
Für Konzern-IT, Datenschutz und Einkauf
Was Sie vor dem Zugang von uns bekommen
- Auftragsverarbeitungsvertrag nach Art. 28 DSGVO und Vertraulichkeitsvereinbarung als Vorlage auf Anfrage, unterschrieben vor dem Zugang.
- Zugriffskonzept: personalisierte Accounts mit Zwei-Faktor-Authentifizierung, Zugriff protokolliert, nach Lieferung gelöscht. Sie legen den Zugang an, Sie löschen ihn.
- Prüfprotokoll auf Deutsch und Englisch, auf Wunsch mit Ihrer Bestellnummer auf der Rechnung.
- Einkaufsmappe: Auftragsverarbeitungsvertrag, Vertraulichkeitsvereinbarung, Versicherungsnachweis und Selbstauskunft zur Informationssicherheit in einem Paket für Ihren Einkauf (Einkaufsmappe anfordern).
- Lieferanten- und Security-Fragebögen beantworten wir innerhalb eines Werktags; Versicherungsbestätigung HISCOX auf Anfrage.
- Mehrere Hoster, mehrere Agenturen: Wir koordinieren die Zugänge mit allen Beteiligten und führen die Auskünfte in einem Prüfprotokoll zusammen.
- Frist? Mit datiertem Zwischenstand 48 Stunden nach Zugang. Nennen Sie uns die Frist im Formular.
Was der Patch-Nachweis nicht ist
Kein Penetrationstest, keine Forensik, keine Logauswertung. Wir dokumentieren den Patch-Stand laut Server und Hoster, nicht, ob die Lücke vorher ausgenutzt wurde. Bei konkretem Verdacht auf einen Angriff, etwa fremden Dateien, unbekannten Admin-Konten oder einer Warnung Ihres Hosters, empfehlen wir einen Spezialisten für Incident Response und übernehmen danach Wiederherstellung und Betreuung.
Wartungskunden
Für die Websites in unserer Wartung haben wir den Patch-Stand am 21. und 22. Oktober bereits geprüft. Sie erhalten Ihr Prüfprotokoll ohne Auftrag per E-Mail.
Kostenlos prüfen oder Festpreis beauftragen
Wissen, was los ist, oder es schriftlich haben
Wählen Sie, was Sie brauchen. Für den Website-Check reicht die URL. Beim Patch-Nachweis erhalten Sie eine Auftragsbestätigung und die Anleitung für den Zugang; die Rechnung kommt nach Lieferung.
Partner & Head of Development
- Festpreis, Rechnung nach Lieferung
- Zwischenstand 48 Stunden nach Zugang
- Sie legen den Zugang selbst an, keine Passwörter per E-Mail
- HISCOX-versichert, Auftragsverarbeitungsvertrag auf Wunsch
Pflichtfelder sind mit Sternchen markiert.
Bitte prüfen Sie Ihre Angaben
249 € netto1 Domain, 1 Hoster
Rechnung nach Lieferung. Oder zuerst kostenlos: Website-Check anfordern.
Nur die URL, kein Zugang. Pflichtfelder sind mit Sternchen markiert.
Bitte prüfen Sie Ihre Angaben
Ergebnis in 1 Werktag per E-Mail, ein Mensch schaut drauf.
Danke, Ihr Auftrag ist bei uns.
Sie erhalten innerhalb eines Werktags die Auftragsbestätigung und die Anleitung für den Zugang.
Fragen vorab? Alexander Fichtl: 040 636 07 298
Danke, Ihre Anfrage ist bei uns.
Sie erhalten die Einschätzung innerhalb eines Werktags per E-Mail.
FAQ
Häufige Fragen zum Patch-Nachweis
Weil ein Mensch mit Zugang prüft, Ihren Hoster anfragt, die Domains erfasst und alles in einem Protokoll mit festem Ansprechpartner dokumentiert. Ein Checker tut nichts davon.
Sie können das Protokoll weitergeben. Es dokumentiert, was wann auf welcher Grundlage geprüft wurde, und ist ausdrücklich keine Bestätigung oder Zusicherung gegenüber Dritten. Ob es für einen bestimmten Fragebogen ausreicht, entscheidet der Empfänger.
Sie legen ihn selbst an, wir nutzen ihn nur für die Prüfung, Sie löschen ihn danach. Wir sind über HISCOX berufshaftpflichtversichert und arbeiten DSGVO-konform; auf Wunsch schließen wir einen Auftragsverarbeitungsvertrag.
Dann steht das im Prüfprotokoll, mit Datum der Anfrage. Wir prüfen, was ohne Hoster-Aussage prüfbar ist, und empfehlen, was zu tun ist. Antwortet der Hoster auch auf die zweite Anfrage nicht, steht im Prüfprotokoll, was Sie stattdessen tun können, bis hin zum Hosterwechsel.
Dann machen wir ein Angebot nach Anzahl und Hostern. Für Konzerne mit vielen Marken-Domains ist das Inventar oft wertvoller als der Patch-Stand.
Nein. Wir prüfen den Stand und dokumentieren ihn, Ihre Agentur bleibt zuständig. Oft lautet das Ergebnis: keine offenen Punkte, hier ist das Protokoll. Hat Ihre Agentur den Stand bereits bestätigt, nehmen wir ihre Angabe als Quelle ins Protokoll auf.
Ja, Sie bezahlen die Prüfung und das Protokoll, nicht den Befund. Ein Protokoll ohne offene Punkte ist für Geschäftsführung und IT genauso viel wert wie eines mit Handlungsbedarf.
Dann prüfen wir, was ohne Zugang prüfbar ist, holen die Hoster-Bestätigung über Sie ein und kennzeichnen im Prüfprotokoll, was auf Hoster-Aussage beruht. Alternativ begleiten wir Ihre IT per Bildschirmfreigabe, ohne eigenen Zugang.
Fachlich verantwortlich: Alexander Fichtl, Partner & Head of Development · Zuletzt aktualisiert:
