Website ohne PHP
erstellen lassen oder umstellen

Was am 21. Oktober 2026 geschah

Am Mittwochmorgen, dem 21. Oktober, veröffentlichte das PHP-Projekt zwei kritische Schwachstellen, CVE-2026-109618 und CVE-2026-109619, schon bald “PHP2Shell” genannt. Über diese Lücken konnte ein Angreifer ohne Anmeldung eigenen Code auf einem Server ausführen, auf dem PHP läuft, und so an die dort gespeicherten Daten gelangen. Die Details kursierten bereits einen Tag zuvor in den sozialen Medien, während die Lösung erst um 16.00 Uhr bereitstand.

Wer PHP einsetzte, musste wählen: offline gehen oder das Risiko eingehen. Overheid.nl, MijnOverheid und DigiD gingen vorsorglich vom Netz, ebenso wie die Zweite Kammer des niederländischen Parlaments, das NCSC, Krankenhäuser, Gemeinden, Nachrichtenseiten, Webshops und unzählige KMU-Websites. Rijksoverheid.nl und NU.nl blieben online, aus demselben Grund: Sie laufen nicht auf PHP. Siehe die Mitteilung der niederländischen Regierung und wie wir an diesem Tag die Server unserer Kunden geschützt haben.

Die PHP-Entwickler veröffentlichten die Versionen 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Für PHP 8.1 und älter gibt es kein Update mehr: Websites mit einer solchen Version bleiben anfällig, bis sie aktualisiert werden oder auf PHP verzichten.

Es geht nicht um diese eine Lücke

Rund siebzig Prozent aller Websites laufen auf PHP, und darauf oft ein CMS mit Plug-ins oder Erweiterungen von Dutzenden verschiedener Hersteller. Jede dieser Schichten kann sich morgen als lückenhaft erweisen. Der verwundbare Code vom Oktober steckte laut den Forschern schon gut zehn Jahre darin und wurde mit KI gefunden. Dasselbe Werkzeug steht auch Angreifern zur Verfügung.

Lücken folgen dadurch immer schneller aufeinander, und jedes Mal steht eine PHP-Website vor derselben Wahl: offline nehmen oder so schnell wie möglich patchen und hoffen, dass Sie rechtzeitig waren. Eine Website ohne PHP hat diese Wahl nicht: Bei einem Besuch läuft kein PHP-Code, es gibt also keinen Angriffspunkt.

Was eine Website ohne PHP ist

Eine PHP-Website baut jede Seite erst auf, wenn jemand sie aufruft: PHP führt Code aus, holt den Text aus einer Datenbank und legt Theme und Plug-ins drumherum. Eine Website ohne PHP besteht aus fertigen HTML-, CSS- und JavaScript-Dateien. Der Webserver reicht diese nur noch weiter. Es gibt keine Datenbank, keine Verwaltungsoberfläche und keine Login-Seite.

Statisch bezieht sich auf den Server, nicht auf den Bildschirm. Ein Aufklappmenü, Animationen, eine Fotogalerie, eine Karte, ein dunkles und ein helles Thema: Alles, was im Browser passiert, bleibt weiterhin möglich. Diese Website ist selbst ein Beispiel dafür. Mehr dazu unter HTML-Webdesign und Vorteilen von HTML ohne CMS.

Nur das Kontaktformular nutzt noch PHP

Ein Bestandteil kommt nicht ganz ohne Serverseite aus: Ein ausgefülltes Formular muss irgendwo verarbeitet werden und als E-Mail bei Ihnen ankommen. Dafür verwenden wir noch ein kleines PHP-Skript, sofern keine andere Möglichkeit zur Verfügung steht. Gemeinsam wählen wir, was zu Ihrer Website passt:

• Eigenes FormularskriptEine kleine Datei mit serverseitiger Validierung und Spamschutz; die Einstellungen liegen außerhalb des Webroots. Das einzige Stück PHP auf Ihrer Website. Siehe wie ein Kontaktformular funktioniert.
• Formular auf einer separaten PlattformDas Formular wird außerhalb Ihres Webservers verarbeitet. Dann läuft auf Ihrer Website überhaupt kein PHP. Soll beim Formular auch bezahlt werden, geht das über unser eigenes FormulierMetBetaling.
• Kein FormularEine E-Mail-Adresse, eine Telefonnummer und ein WhatsApp-Button reichen vielen kleinen Unternehmen. Dann ist die Website vollständig statisch.

Und bei der nächsten PHP-Lücke? Dann schalten wir nur das Formular kurz ab. Ihre Besucher können Sie in diesen Stunden weiterhin per E-Mail, Telefon oder WhatsApp erreichen, und der Rest der Website bleibt einfach online. Bei einer CMS-Website wird in so einem Moment die ganze Website gesperrt.

Mit und ohne PHP, nebeneinander

Die ehrlichen Unterschiede, die Sie in der Praxis merken. Eine umfassendere Abwägung finden Sie unter mit oder ohne CMS.

Ehrlich: Wann eine Website ohne PHP nicht passt

Eine Website ohne PHP ist ein Tausch. Das Wichtigste, worauf Sie verzichten, ist das eigene Veröffentlichen über ein Login. Für die meisten Unternehmenswebsites ist das kein Verlust, aber in diesen Fällen raten wir davon ab:

• Sie veröffentlichen täglich oder wöchentlichDann wiegt eine Verwaltungsoberfläche schwerer als die Ruhe ohne PHP.
• Ein Webshop mit vielen ProduktenBestellen, Lagerbestand und Bezahlen erfordern ein System mit Serverseite.
• Ein geschlossener MitgliederbereichAnmelden und persönliche Daten anzeigen geht nicht statisch.
• Mehrere Redakteure mit RollenDann ist ein CMS praktischer.

Dann heißt die Lösung nicht “kein PHP”, sondern ein gut gewartetes CMS auf einem Hosting, das schnell aktualisiert wird. Auch darum kümmern wir uns.

Was passiert mit meinem Platz bei Google?

Google indexiert Seiten, nicht die Technik dahinter. Was Sie schützen müssen, sind Ihre Adressen. Bestehende URLs behalten wir, wo es geht; wo sich eine Adresse doch ändert, kommt eine 301-Weiterleitung. Auch die typischen PHP-Adressen, etwa index.php?option=com_content&id=12 bei Joomla oder ?p=123 bei WordPress, leiten wir auf die neue Seite weiter. Titel, Meta-Beschreibungen und strukturierte Daten übernehmen wir, und eine neue Sitemap geht an die Google Search Console.

Was es kostet

Der Preis hängt von der Seitenzahl ab und davon, ob wir Ihr bestehendes Design übernehmen oder ein neues Design erstellen. Sie erhalten vorab einen Festpreis. Für eine übliche Unternehmenswebsite rechnen wir mit einer bis drei Wochen Durchlaufzeit. Der Ertrag liegt in den Jahren danach: kein Wartungsabonnement, keine Plug-in-Lizenzen und keine Notfall-Updates. Wer preisbewusst starten möchte, schaut auch unter günstig eine Website bauen lassen.