Der Tag, an dem ich Aivie vom Netz nahm: ein Blick hinter die Kulissen

Am 21. Oktober 2026 habe ich etwas gemacht, das es bei Aivie noch nie gab: Ich habe Aivie bewusst vom Netz genommen, um die Daten unserer Kund:innen zu schützen. Alle Instanzen auf einmal. Der Grund: eine internationale Sicherheitslücke, die Millionen von Webseiten im Netz betraf. Die nüchternen Fakten dazu findest du in unserem Info-Beitrag zu den PHP-Sicherheitslücken. Hier erzähle ich, wie dieser Tag hinter den Kulissen ablief.

Vorweg: Nach allem, was wir geprüft haben, sind deine Daten sicher. Uns sind keine sicherheitsrelevanten Vorkommnisse bekannt.

Worum ging es?

Eine schwerwiegende Sicherheitslücke bedroht im Internet Millionen von Webseiten. Sie basiert auf der weitverbreiteten Programmiersprache PHP, die auf zahlreichen Websites weltweit zum Einsatz kommt. Laut SRF nutzen rund 70 Prozent der Websites, bei denen sich das feststellen lässt, PHP. Darauf bauen WordPress auf und auch Mautic, die Open-Source-Software hinter Aivie.

Das PHP-Team hat am 21. Oktober zwei kritische Lücken geschlossen. Über sie konnte ein Angreifer ohne Anmeldung eigenen Code auf einem Server ausführen und ihn im schlimmsten Fall übernehmen. Details waren vorab durchgesickert, und das CERT-EU ging davon aus, dass Angreifer die Lücken wahrscheinlich bereits ausnutzen. Weltweit gingen Behörden, Hochschulen und Spitäler vom Netz und kommen erst nach und nach wieder online. In der Schweiz waren zum Beispiel die Websites der Universität Genf und der ETH Lausanne nicht erreichbar, und der Kanton Basel-Stadt fuhr seine Websites herunter.

Die Vorwarnung kam aus der Community

Ich wusste schon am Mittwochmorgen, dass etwas kommt. Das habe ich über einen speziellen Kanal aus der Mautic-Community erfahren. Eine Ankündigung im Voraus ist bei Updates ungewöhnlich. Für mich war deshalb klar: Das wird etwas Grosses.

Am Nachmittag hatte ich noch ein Kundenmeeting. Dort habe ich gleich gesagt, dass ich das Thema im Auge behalten muss.

16 Uhr: Der Entscheid

Gegen 16 Uhr kamen die Details raus. Ich habe sofort gesehen, dass es ernst ist, und entschieden, alles vom Netz zu nehmen, zumindest für den Moment. So hatten wir Zeit, in Ruhe zu prüfen, wie stark wir betroffen sind, und die nächsten Schritte zu planen.

Bald sah es so aus, als könnten wir die Lücke schnell und sauber schliessen. Deshalb sind wir offline geblieben und haben es gleich richtig gemacht. Einen schnellen Workaround wollte ich nicht. Auch das CERT-EU hält fest, dass die vorübergehenden Massnahmen eine Installation nicht sicher machen.

Was hiess «vom Netz» bei Aivie konkret?

Die Gefahr kam von aussen: Jemand hätte über eine Anfrage Schadcode einschleusen können. Wir haben deshalb die Firewall zugemacht, sodass kein Traffic mehr von aussen reinkam.

Im Hintergrund lief Aivie weiter, denn dafür braucht es keinen Zugang von aussen. E-Mails gehen von innen nach aussen, deshalb konnte Aivie sie weiter versenden. Nicht funktioniert hat alles, was von aussen zu Aivie kommt: zum Beispiel Formulare auf deiner Website. Auch das Link-Tracking war betroffen, denn die Links in deinen E-Mails laufen über Aivie.

Das Schwierigste: warten

Den Fix von PHP gab es bereits. Wir installieren PHP aber nicht direkt auf einem Server, denn Aivie läuft mit Docker. Wir mussten deshalb warten, bis das passende Docker-Image bereit war.

Das war fast das Mühsamste am ganzen Tag. Man sieht die Prozesse laufen und kann selbst nichts tun. Ich musste mich richtig ablenken. Gegen halb neun am Abend lief Aivie wieder. Das Update ist installiert, die Lücken sind geschlossen.

Wie kommunizierst du, wenn auch die Website offline ist?

Dazu kam der Druck. Aivie war noch nie einfach so offline, und das war mir sehr unangenehm. Mit unseren grössten Kunden habe ich persönlich Kontakt aufgenommen. Auch unsere eigene Website war offline, deshalb konnten wir kaum kommunizieren. Ich habe gehofft, dass es alle mitbekommen, denn das Thema war auch bei SRF in den News.

Umso erleichterter war ich über die Rückmeldungen: Verständnis, Dank und keine einzige negative Reaktion. Danke dafür!

Warum sind deine Daten sicher?

Nach allem, was wir geprüft haben, sind deine Daten sicher. Dafür gibt es vier Gründe:

• Wir waren sehr schnell offline. Von aussen kam ab dem Entscheid kein Traffic mehr rein.
• Wir haben die Logs geprüft und nichts Auffälliges gefunden.
• Jede Aivie-Instanz läuft getrennt, mit eigenen Passwörtern und eigenen Rechten. Ein Angriff hätte nicht auf andere Kunden überspringen können.
• Unser Monitoring hat keinen Alarm geschlagen.

Was haben wir daraus gelernt?

An diesem Tag konnten wir kaum mit dir kommunizieren. Das soll nicht wieder passieren. Auch wenn alles offline ist, brauchen wir einen Weg, mit dir zu reden.

Neu gibt es deshalb eine Statusseite: status.aivie.app. Sie läuft auf einer komplett anderen Infrastruktur als unsere Website und Aivie. Fällt etwas aus, siehst du dort, was los ist. Zusätzlich bauen wir einen weiteren Kommunikationskanal auf. So können wir dich in Zukunft auch dann erreichen, wenn alles andere offline ist.

Die Tragweite und die schöne Seite

Die Tragweite ist schwer vorstellbar. Laut SRF laufen rund drei Viertel der Server auf älteren PHP-Versionen, für die es keinen offiziellen Fix gibt. Sie lassen sich nicht einfach schnell absichern. Ich bin sicher, das betrifft auch viele Mautic-Installationen.

Es gibt aber auch eine schöne Seite. Unzählige Menschen auf der ganzen Welt haben gemeinsam an einem Problem gearbeitet. Die Open-Source-Community hat sich zusammengetan, und innerhalb von Stunden war ein Fix da. Danke an alle, die mitgeholfen haben. Dieser Tag bleibt mir in Erinnerung. Warum der Betrieb bei Open Source so entscheidend ist, beschreibe ich auch in «Open Source funktioniert – der schwierige Teil kommt danach».

Du hostest Mautic selbst?

Prüf deine PHP-Version. Ein Mautic-Update allein reicht nicht, PHP selbst muss aktualisiert werden. Die korrigierten Versionen und die nächsten Schritte findest du im Info-Beitrag. Wenn du dabei Hilfe brauchst, helfen wir dir schnell und unkompliziert: Termin abmachen.