Störungen bei Hostern am 21. Oktober: Was über All-Inkl, IONOS und Mittwald bekannt ist

Gründer und Digitalisierungs-Experte

Aktualisiert: Oktober 22, 2026

Lesezeit ca.: 15 Minuten

Bei Google als Quelle merken Gefällt Ihnen dieser Beitrag? Merken Sie uns bei Google als Quelle — dann taucht unsere Recherche bei Ihrer nächsten Suche wieder auf, statt unterzugehen. Fünf Sekunden, jederzeit widerrufbar.

Störungen bei Hostern, abgeschaltete Portale bei Städten und Hochschulen: Am 21. Oktober 2026 waren in Deutschland auffällig viele Websites und Dienste nicht erreichbar. Viele Betreiber haben ihre Dienste bewusst vom Netz genommen, weil die kritische Sicherheitslücke PHP2Shell in PHP bekannt wurde. Bei anderen ist der Grund nicht bekannt.

Das BSI bestätigt die vorsorglichen Abschaltungen in seiner aktualisierten Warnung: Einige Betreiber haben im Laufe des Tages Systeme vom Internet getrennt. Laut BSI ist die Erreichbarkeit verschiedener Websites in Deutschland deshalb eingeschränkt, bis die betroffenen Server aktualisiert sind.

Hier lesen Sie, was belegt ist, was nicht und was Sie jetzt für Ihre eigene Website tun sollten.

Stand: 22. Oktober 2026, 2:45 Uhr.

Update 22. Oktober 2026, 2:29 Uhr

Neu in diesem Beitrag sind Mittwald und netcup. Laut seiner Statusseite meldete Mittwald am 21. Oktober um 16:17 Uhr, alle Systeme herunterzufahren und eingehenden Verkehr zu gehosteten Websites zu sperren. Um 22:52 Uhr meldete Mittwald die Websites wieder erreichbar, zunächst nicht für alle PHP-Versionen. Am 22. Oktober um 0:28 Uhr kennzeichnete Mittwald die Meldung als gelöst.

IONOS meldete das Nextcloud-Problem laut Statusseite am 21. Oktober um 22:55 Uhr als gelöst. Um 23:45 Uhr meldete netcup laut Statusseite, die Verwaltungsoberfläche für Webhosting-Pakete (WCP) bleibe vorsorglich noch offline, Websites und E-Mails seien nicht betroffen. Einen Teil der Einschränkungen bei Uploads mit Anhängen hielt manitu laut Statusseite am Abend des 21. Oktober vorsorglich aufrecht.

Die Angaben zu IONOS, Mittwald, netcup, manitu und den Städten stützen sich direkt auf die Statusseiten der Anbieter und auf Presseberichte.

Zu All-Inkl: Die Website all-inkl.com und das Kundenmenü KAS waren für uns am 21. Oktober gegen 23:35 Uhr wieder erreichbar. Den Grund für die Unterbrechung kennen wir nicht. Neu im Abschnitt zu All-Inkl ist eine Mitteilung des Unternehmens auf Instagram, die sich zur Erreichbarkeit nicht äußert.

Auf einen Blick: Bei All-Inkl waren die Website und das Kundenmenü KAS am Nachmittag des 21. Oktober bei unseren Abrufen nicht erreichbar, gegen 23:35 Uhr wieder. Den Grund für die Unterbrechung kennen wir nicht. Die Websites der Kunden liefen in unseren Stichproben weiter. Am 20. und 21. Oktober wurden außerdem zwei kritische Lücken in PHP bekannt, genannt PHP2Shell. Das BSI riet, bei Servern ohne Update eine vorübergehende Trennung vom Netz zu erwägen. Viele Städte, Hochschulen und Behörden nahmen Websites vorsorglich vom Netz, einzelne Anbieter schränkten Dienste ein, etwa IONOS bei Nextcloud. Laut seiner Statusseite meldete Mittwald um 16:17 Uhr, vorsorglich den Zugriff auf gehostete Websites zu sperren. Um 22:52 Uhr meldete Mittwald die Websites wieder erreichbar, zunächst nicht für alle PHP-Versionen. Für Ihre eigene Website zählt vor allem, auf welcher PHP-Version sie läuft.

Was über All-Inkl bekannt ist

Auch Websites unserer Kunden liegen bei All-Inkl. Am Nachmittag des 21. Oktober waren die Website all-inkl.com und das Kundenmenü KAS bei unseren Abrufen nicht erreichbar. Wir haben das von mehreren Netzen und Servern aus geprüft, auch von Servern bei All-Inkl selbst. Die Websites der Kunden liefen in unseren Stichproben normal weiter. Gegen 23:35 Uhr waren all-inkl.com und das KAS für uns wieder erreichbar.

Den Grund für die Unterbrechung kennen wir nicht. Wir stellen dazu keine Vermutungen an.

Außerdem hat All-Inkl am 21. Oktober um 17:49 Uhr auf Instagram eine Mitteilung mit dem Titel „Aktuelle Sicherheitsinformation“ veröffentlicht. Darin schrieb das Unternehmen, sein Technikteam arbeite bereits daran, Sicherheitsupdates für PHP vorzubereiten und auf seinen Servern einzuspielen, und kündigte an, sie in den folgenden Stunden schrittweise zu verteilen. Zur Erreichbarkeit von all-inkl.com und KAS äußert sich die Mitteilung nicht.

Solange das KAS für uns nicht erreichbar war, konnten wir dort keine Einstellungen ändern, etwa an Domains, Postfächern oder Datenbanken. Haben Sie am 21. Oktober Aufträge im KAS abgeschickt, prüfen Sie, ob sie ausgeführt wurden.

Was am 21. Oktober wegen PHP2Shell abgeschaltet oder eingeschränkt wurde

Eine vollständige Liste gibt es nicht. Diese Maßnahmen sind belegt, jeweils nach Angaben der Betreiber oder aus Presseberichten:

IONOS: hat laut seiner Statusseite um 14:26 Uhr gemeldet, dass Nextcloud-Instanzen „als Vorsichtsmaßnahme vorübergehend deaktiviert“ wurden. Um 22:55 Uhr meldete IONOS das Problem als gelöst. Um 17:44 Uhr meldete IONOS außerdem eine Sicherheitswartung: Einige Websites und Dienste könnten dabei laut IONOS langsam oder kurzzeitig nicht erreichbar sein.
Mittwald: hat laut seiner Statusseite um 14:16 Uhr angekündigt, vorsorglich Uploads zu deaktivieren. Formulare und Datei-Uploads auf Kundenwebsites konnten dadurch laut Mittwald beeinträchtigt sein. Um 16:17 Uhr meldete Mittwald, alle Systeme herunterzufahren und eingehenden Verkehr zu den gehosteten Websites zu sperren. E-Mails waren laut Mittwald nicht betroffen. Um 21:54 Uhr meldete Mittwald das Kundencenter und die Verwaltungsoberfläche mStudio wieder erreichbar. Um 22:52 Uhr meldete Mittwald auch die Websites wieder erreichbar, zunächst nicht für alle PHP-Versionen. Am 22. Oktober um 0:28 Uhr kennzeichnete Mittwald die Meldung als gelöst.
netcup: hat laut seiner Statusseite alle Webhosting-Pakete und Managed Server vorsorglich vom Internet getrennt, samt der Websites darauf. Um 22:51 Uhr meldete netcup alle Webhosting-Pakete und Managed Server wieder online, einige wenige Sonderfälle arbeitete netcup danach noch von Hand nach. Um 23:45 Uhr meldete netcup, die Verwaltungsoberfläche für Webhosting-Pakete (WCP) bleibe vorsorglich noch offline. Websites und E-Mails seien davon laut netcup nicht betroffen.
manitu: hat laut seiner Statusseite ab dem Mittag aus Sicherheitsgründen Formular-Uploads mit Anhängen gesperrt. Einen Teil dieser Einschränkungen hielt manitu laut Statusseite am Abend vorsorglich aufrecht.
Städte und Behörden in Deutschland: Die Stadt Mainz hat laut einem dpa-Bericht mehrere städtische Internetdienste und ihr Portal mainz.de vorsorglich abgeschaltet. Auch Düsseldorf, Dresden und Schwerin nahmen ihre Websites vom Netz. In Hessen waren laut hessenschau unter anderem die Landesregierung, das Bundeskriminalamt und die Städte Kassel und Wiesbaden betroffen.
Österreich: Laut heute.at gingen als Vorsichtsmaßnahme unter anderem Websites der TU Wien, der WU Wien und der Universität Linz offline, ebenso das Presseportal OTS der Nachrichtenagentur APA.
Niederlande: Laut dem Sender NOS gingen die staatliche Anmeldung DigiD, das Bürgerportal MijnOverheid und die Website der Zweiten Kammer des Parlaments vorsorglich offline.

Warum so viele Websites gleichzeitig offline gingen

Auslöser dieser Abschaltungen ist PHP2Shell, zwei Lücken im Kern der Programmiersprache PHP. Über sie können Angreifer ohne Anmeldung Code auf einem Webserver ausführen. PHP steckt hinter WordPress, Joomla, TYPO3, Nextcloud und vielen Verwaltungsportalen. Betroffen ist damit ein großer Teil aller Websites. Die Einzelheiten zur Lücke stehen in unserem Beitrag PHP-Sicherheitslücke PHP2Shell.

Drei Dinge kamen zusammen:

Die Lücke wurde früher öffentlich als geplant. Laut heise war die Veröffentlichung für den 22. Oktober vorgesehen. Weil Einzelheiten vorab durchgesickert waren, wurde sie um einen Tag vorgezogen. Am Vormittag des 21. Oktober meldeten Hosting-Partner der Sicherheitsfirma Patchstack erste Angriffe, das Update erschien erst gegen 16 Uhr.
Behörden rieten zum Abschalten. Das BSI empfahl, eine vorübergehende Trennung vom Internet zu erwägen, wenn sich das Update nicht umgehend einspielen lässt. Das IT-Sicherheitsteam der EU-Institutionen (CERT-EU) und das britische NCSC rieten ähnlich.
Updates brauchen Zeit. Ein Hoster betreibt PHP oft in mehreren Versionen auf vielen Servern. Bis jeder davon aktualisiert ist, kann es dauern. Manche Anbieter nahmen Systeme deshalb bis zum Update vom Netz. Andere sperrten vorsorglich einzelne Funktionen wie Datei-Uploads.

Warum Störungsportale an solchen Tagen viele Anbieter zeigen

Viele Störungsportale messen nicht selbst, ob ein Dienst läuft. Sie zählen Meldungen von Menschen, bei denen etwas nicht klappt. Lädt eine Website nicht, melden viele den Dienst, den sie dafür verantwortlich halten: ihren Hoster oder eine große Plattform. Gehen an einem Tag viele Websites gleichzeitig offline, steigen die Meldungen deshalb auch bei Anbietern, die selbst normal laufen.

Bei unserem Abruf in der Nacht zum 22. Oktober zeigte das Störungsportal von netzwelt für den späten Nachmittag des 21. Oktober gehäufte Nutzermeldungen zu Strato, am häufigsten zum Login. Zugleich zeigte das Portal den Hinweis „Strato scheint keine Störung zu haben“. Strato selbst hat nach unserem Wissen keine Störung gemeldet. Ob es bei Strato eine Störung gab, können wir nicht beurteilen.

Eine Meldung auf einem Störungsportal belegt also noch keine Störung. Verlässlicher sind die Statusseiten der Anbieter selbst.

Was Sie jetzt für Ihre Website tun sollten

Die Abschaltungen sind vorübergehend. Die Lücke in PHP bleibt aber offen, bis auf Ihrem Server eine korrigierte Version läuft. Das BSI geht inzwischen davon aus, dass verwundbare Server kurzfristig angegriffen werden. Prüfen Sie deshalb:

Ihre PHP-Version: Die Korrektur enthalten PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12 sowie neuere Versionen. Für PHP 8.1 und älter gibt es vom PHP-Projekt kein fertiges Update. Wo Sie die Version finden, steht in unserem Beitrag zu PHP2Shell.
Den Stand bei Ihrem Hoster: Fragen Sie, ob die Korrektur eingespielt ist. Im Shared Hosting kann nur der Hoster PHP aktualisieren. Baut ein Anbieter die Korrektur selbst ein, kann die angezeigte Versionsnummer gleich bleiben.
Ihre Website auf Spuren eines Angriffs: neue PHP-Dateien im Upload-Ordner, unbekannte Administratoren, fremde Weiterleitungen. Wie wir bei gehackten Websites vorgehen, lesen Sie unter WordPress gehackt und Joomla gehackt.
Ihr Postfach: Hat Ihr Hoster Ihnen eine Mail zu Schadsoftware geschickt, hilft unser Ratgeber Hoster meldet Schadsoftware weiter.
Übergangsschutz: Liegt die Firewall von Cloudflare vor Ihrer Website, greifen dort laut Cloudflare seit dem 21. Oktober, 5:02 Uhr, Schutzregeln gegen PHP2Shell, auch im kostenlosen Tarif. Das Update ersetzen sie nicht, betont Cloudflare selbst.

Läuft Ihre Website noch auf PHP 7.4, 8.0 oder 8.1, lesen Sie unseren Beitrag Alte PHP-Version. Den Umstieg übernehmen wir auf Wunsch, mit Sicherung, Testkopie und Rückweg.

Daniel Haenle
Gründer & Ihr Ansprechpartner

Haben Sie Fragen oder benötigen Hilfe bei dem Thema „PHP2Shell und Ihre Website"?

Unsere Full-Service-Agentur kann Ihnen bei Fragen und der Umsetzung zur Seite stehen. Zögern Sie nicht, uns zu kontaktieren. Wir freuen uns darauf, von Ihnen zu hören.

Jetzt einfach Kontakt aufnehmen

Ist Ihre Website offline oder nur für Sie?

Wenn Ihre Website oder das Kundenmenü Ihres Hosters nicht lädt, steckt nicht immer eine Störung dahinter. Viele Hoster sperren eine IP-Adresse, wenn von ihr sehr viele Anfragen kommen. Dann wirkt die Seite nur für Sie offline. So finden Sie es schnell heraus:

Öffnen Sie die Seite auf dem Handy, mit WLAN aus und mobilen Daten an.
Prüfen Sie die Adresse mit einem Dienst wie check-host.net, der sie aus mehreren Ländern abruft.
Schauen Sie auf die Statusseite Ihres Hosters und in Ihr Postfach.

Ist die Seite von überall aus nicht erreichbar, liegt eine Störung vor oder der Betreiber hat sie bewusst abgeschaltet. Geht sie nur bei Ihnen nicht, ist vermutlich Ihr Anschluss gesperrt. So eine Sperre läuft meist nach einiger Zeit von selbst aus.

So helfen wir Ihnen

Ob Ihre Website gefährdet ist, hängt vor allem von ihrer PHP-Version ab und davon, wie gut CMS und Erweiterungen gepflegt sind. Das prüfen wir für Websites mit WordPress und Joomla. Ihre Website bleibt dabei bei Ihrem bisherigen Hoster.

Bestandsaufnahme: PHP-Version, CMS und Erweiterungen, dazu die Frage an Ihren Hoster, ob die Korrektur eingespielt ist.
Umstellung: auf PHP 8.3 oder 8.4, mit Sicherung, Testkopie und Rückweg. Braucht Ihre Website vorher ein Update von WordPress oder Joomla, sagen wir Ihnen das.
Spurensuche: neue oder veränderte PHP-Dateien, fremde Konten, auffällige Weiterleitungen. Finden wir etwas, kümmern wir uns um die Bereinigung und um neue Zugangsdaten.

Was davon Ihre Website braucht, klären wir vorher mit Ihnen. So beauftragen Sie uns:

Schreiben Sie uns über unsere Anfrage oder rufen Sie an unter +49 1515 9466368, Mo. bis Fr. von 9 bis 18 Uhr.
In der kostenlosen Erstberatung schauen wir uns Ihre Lage an und sagen Ihnen, was sinnvoll ist.
Den Aufwand nennen wir Ihnen, bevor wir anfangen.

Damit Ihre Website auch nach PHP2Shell regelmäßig gepflegt wird, gibt es unsere Wartung:

Website-WartungLaufend gepflegt

Paket Basic und größere Pakete

Wir spielen Updates für CMS, Plugins und Theme ein, legen regelmäßig Sicherungen an und behalten im Blick, ob Ihre PHP-Version noch Sicherheitsupdates bekommt.

✓Updates und Sicherheits-Patches für CMS, Plugins und Theme

✓Regelmäßige Sicherheitskopien Ihrer Website

✓PHP-Version mit Sicherheitsupdates im Blick

✓Fehlerbehebung bis zu 60 Minuten im Monat

Pakete und Preise ansehen

Leistungen des Pakets Basic. Das Paket Standard enthält zusätzlich Änderungen an Design und Inhalten und einen monatlichen Bericht.

Das sind die nächsten Schritte

Prüfen Sie, ob Ihre Website für alle nicht erreichbar ist oder nur für Sie.
Haben Sie am 21. Oktober Änderungen im Kundenmenü Ihres Hosters abgeschickt, prüfen Sie, ob sie ausgeführt wurden.
Prüfen Sie die PHP-Version Ihrer Website und fragen Sie Ihren Hoster, ob die Korrektur gegen PHP2Shell eingespielt ist.
Läuft Ihre Website auf PHP 8.1 oder älter, planen Sie den Umstieg auf eine aktuelle Version.
Lassen Sie Ihre Website auf Spuren eines Angriffs prüfen, wenn sie bis zum Update offen war.
Brauchen Sie Unterstützung bei PHP-Version, Umstieg oder Spurensuche, melden Sie sich bei uns. Die Erstberatung ist kostenlos, den Aufwand nennen wir Ihnen vorher.

Häufige Fragen

Was ist über All-Inkl am 21. Oktober bekannt?

Am Nachmittag des 21. Oktober waren die Website all-inkl.com und das Kundenmenü KAS bei unseren Abrufen nicht erreichbar. Den Grund für die Unterbrechung kennen wir nicht. Die Websites der Kunden liefen in unseren Stichproben weiter. Gegen 23:35 Uhr waren all-inkl.com und das KAS für uns wieder erreichbar. Außerdem hat All-Inkl am 21. Oktober um 17:49 Uhr auf Instagram eine Mitteilung mit dem Titel „Aktuelle Sicherheitsinformation“ veröffentlicht. Darin schrieb das Unternehmen, sein Technikteam arbeite bereits daran, Sicherheitsupdates für PHP vorzubereiten und auf seinen Servern einzuspielen, und kündigte an, sie in den folgenden Stunden schrittweise zu verteilen. Zur Erreichbarkeit von all-inkl.com und KAS äußert sich die Mitteilung nicht.

Was ist über die Einschränkungen bei IONOS bekannt?

Laut seiner Statusseite meldete IONOS am 21. Oktober um 14:26 Uhr, dass Nextcloud-Instanzen wegen einer kritischen PHP-Sicherheitslücke als Vorsichtsmaßnahme vorübergehend deaktiviert wurden. Um 22:55 Uhr meldete IONOS das Problem als gelöst. Um 17:44 Uhr meldete IONOS außerdem eine Sicherheitswartung, bei der laut IONOS einige Websites und Dienste langsam oder kurzzeitig nicht erreichbar sein könnten.

Was ist über die Einschränkungen bei Mittwald bekannt?

Laut seiner Statusseite kündigte Mittwald am 21. Oktober um 14:16 Uhr an, vorsorglich Uploads zu deaktivieren, was Formulare und Datei-Uploads beeinträchtigen konnte. Um 16:17 Uhr meldete Mittwald, alle Systeme herunterzufahren und eingehenden Verkehr zu gehosteten Websites zu sperren. E-Mails waren laut Mittwald nicht betroffen. Um 22:52 Uhr meldete Mittwald die Websites wieder erreichbar, zunächst nicht für alle PHP-Versionen. Am 22. Oktober um 0:28 Uhr kennzeichnete Mittwald die Meldung als gelöst.

Läuft meine Website weiter, wenn das Kundenmenü meines Hosters ausfällt?

Oft ja. Fällt nur das Kundenmenü eines Hosters aus, laufen die Websites meist weiter. Von der PHP-Lücke ist Ihre Website aber betroffen, solange sie auf einer PHP-Version ohne Korrektur läuft.

Warum haben Städte und Behörden ihre Websites abgeschaltet?

Das BSI hat geraten, eine vorübergehende Trennung vom Internet zu erwägen, wenn das PHP-Update nicht umgehend eingespielt werden kann. Viele öffentliche Stellen sind diesem Rat gefolgt und haben ihre Websites bis zum Update vom Netz genommen.

Was hat Cloudflare gegen PHP2Shell getan?

Cloudflare hat laut eigenem Blog am 21. Oktober Schutzregeln gegen PHP2Shell in seiner Firewall aktiviert, für alle Tarife mit Firewall, auch den kostenlosen. Cloudflare rät trotzdem, PHP zu aktualisieren. Eine Firewall ersetzt das Update nicht.

Wie erkenne ich, ob nur meine IP-Adresse gesperrt ist?

Öffnen Sie die Seite über mobile Daten statt über Ihr WLAN oder prüfen Sie sie mit einem Dienst wie check-host.net. Lädt sie dort, liegt keine Störung vor, sondern vermutlich eine Sperre Ihres Anschlusses. Solche Sperren laufen meist nach einiger Zeit von selbst aus.

Kann die Unicorn Factory meine Website wegen PHP2Shell prüfen?

Ja, für Websites mit WordPress und Joomla. Wir prüfen PHP-Version, CMS und Erweiterungen und fragen bei Ihrem Hoster nach, ob die Korrektur eingespielt ist. Läuft Ihre Website auf altem PHP, bereiten wir den Umstieg auf PHP 8.3 oder 8.4 mit Sicherung und Testkopie vor und stellen danach um. Außerdem suchen wir nach Spuren eines Angriffs. Die Erstberatung ist kostenlos, den Aufwand nennen wir Ihnen vorher.

Quellen

5/5 - (1 vote)

Florian Konrad

Florian Konrad, Mitbegründer und Geschäftsführer der Unicorn Factory, begann bereits in der Schule mit Webentwicklung und Online-Marketing. Mit Jahren der Erfahrung hat er umfassende Expertise in SEO, Automatisierung und Webentwicklung entwickelt.

Florian Konrad

Diesen Beitrag teilen!