Die aktuellen Meldungen zu kritischen Sicherheitslücken in der Programmiersprache PHP sind überaus ernst zu nehmen. Auch für die Reisewirtschaft ist das Thema kritisch, denn Reiseunternehmen sind auf funktionierende digitale Systeme angewiesen – von Webseiten und Buchungsplattformen bis hin zur Verarbeitung von Kunden- und Buchungsdaten.
Werden Schwachstellen nicht rechtzeitig geschlossen, können Angreifer im schlimmsten Fall Schadcode ausführen, auf Systeme oder Daten zugreifen und den Geschäftsbetrieb beeinträchtigen. Das kann beispielsweise dazu führen, dass Webseiten oder Buchungsangebote vorübergehend nicht verfügbar sind. Auch Datenverluste, Wiederherstellungskosten und Vertrauensverluste bei Kunden können mögliche Folgen sein. Im schlimmsten Fall zu einem Abfluss einer großen Menge personenbezogener Daten kommen.
Der DRV empfiehlt den Unternehmen deshalb, ihre mögliche Betroffenheit umgehend zu prüfen und notwendige Sicherheitsmaßnahmen schnellstmöglich umzusetzen. Dazu gehört, die eingesetzten PHP-Versionen und betroffenen Anwendungen zu überprüfen und verfügbare Sicherheitsupdates nach den offiziellen Hinweisen schnellstmöglich einzuspielen. Unternehmen sollten dabei eng mit ihren IT-Dienstleistern und Hosting-Anbietern zusammenarbeiten und ausdrücklich klären, ob die erforderlichen Maßnahmen umgesetzt wurden.
Sollte es zu einem Abfluss personenbezogener Daten gekommen sein, sollte - gemäß Artikel 33 (1) DSGVO unverzüglich der zuständige Landesdatenschutzbeauftragte informiert werden – in der Regel innerhalb von 72 Stunden nachdem dies dem Verantwortlichen bekannt geworden ist.
Ob und in welchem Umfang Unternehmen der Reisewirtschaft von der Sicherheitslücke betroffen sind, hängt unter anderem von den eingesetzten Systemen und PHP-Versionen, deren Konfiguration sowie dem Stand der Sicherheitsupdates ab. Die Schwachstelle bedeutet nicht automatisch, dass jedes Unternehmen gefährdet ist oder bereits angegriffen wurde. Grundsätzlich können jedoch Unternehmen jeder Größe betroffen sein – auch kleine Reisebüros, die ihre Webseiten oder IT-Systeme durch externe Dienstleister betreiben lassen.
Cybersicherheit ist eine zentrale Voraussetzung für verlässliche digitale Geschäftsprozesse. Gerade bei kritischen Sicherheitswarnungen kommt es darauf an, Risiken nicht zu unterschätzen, aber auch nicht ohne konkrete Anhaltspunkte von einem tatsächlichen Angriff auszugehen. Entscheidend ist, die eigene Betroffenheit schnell zu klären und konsequent zu handeln.
Darüber hinaus sollten Unternehmen auf regelmäßige Datensicherungen, einen klaren Notfallplan und festgelegte Zuständigkeiten für IT-Sicherheitsvorfälle achten. Besteht der Verdacht, dass Systeme bereits kompromittiert wurden, sollten umgehend IT-Sicherheitsexperten hinzugezogen werden.
