PHP2Shell: Billige Software darf nicht zu teuren Risiken führen

„Wir erleben derzeit einen fundamentalen Wandel der Softwarewirtschaft. Die Erstellung von Software wird immer günstiger und schneller. Der eigentliche Wert professioneller Software entsteht künftig aber nicht mehr primär im Programmieren, sondern in der Verantwortung für einen sicheren und zuverlässigen Betrieb“, erklärt VÖSI-Präsidentin Doris Lippert.

„Der aktuelle Vorfall zeige, dass Cybersicherheit kein einmaliges Projekt, sondern ein laufender Prozess sei, denn viele Unternehmen investieren gerne in neue Funktionen und sichtbare Innovationen. Für Wartung, Sicherheitsupdates oder technische Audits muss dagegen oft erst argumentiert werden. Genau dort entstehen aber jene Risiken, die später hohe Kosten verursachen können“, sagt VÖSI-Vizepräsident Peter Lieber.

Für den VÖSI macht PHP2Shell deutlich, dass die sinkenden Entwicklungskosten durch KI nicht mit sinkenden Anforderungen an Qualität und Sicherheit verwechselt werden dürfen. „KI verändert die Art, wie Software entsteht. Sie verändert aber nicht die Verantwortung für den sicheren Betrieb digitaler Systeme. Wer bei geschäftskritischer Software ausschließlich auf den Anschaffungspreis achtet, unterschätzt die tatsächlichen Kosten über den gesamten Lebenszyklus“, so Lieber. Gleichzeitig verändern die neuen Technologien die wirtschaftlichen Rahmenbedingungen der gesamten Branche.

„Produktivitätssteigerungen durch KI sind eine enorme Chance für Unternehmen und den Wirtschaftsstandort Österreich. Sie führen aber auch zu einem grundlegenden Strukturwandel. Wertschöpfung verlagert sich von der reinen Entwicklung hin zu Architektur, Integration, Sicherheit, Betrieb und langfristiger Weiterentwicklung. Diese Realität muss sich künftig stärker in wirtschaftlichen und arbeitsmarktpolitischen Diskussionen widerspiegeln“, betont Lippert.

Der VÖSI appelliert an Unternehmen und öffentliche Auftraggeber, Software nicht ausschließlich nach den Kosten ihrer Erstellung zu bewerten, sondern den gesamten Lebenszyklus und die damit verbundenen Sicherheitsanforderungen zu berücksichtigen.

Anlässlich des PHP2Shell-Vorfalls empfiehlt der Verband allen betroffenen Organisationen, ihre eingesetzten PHP-Versionen unverzüglich zu überprüfen, verfügbare Sicherheitsupdates einzuspielen und gemeinsam mit ihren IT- und Hosting-Partnern mögliche Risiken zu bewerten. „Software wird zunehmend zur günstigen Ressource. Sicherheit, Verlässlichkeit und Verantwortung werden deshalb nicht automatisch billiger. Wer eine stabile digitale Infrastruktur will, muss bereit sein, in ihren langfristigen Betrieb zu investieren“, so Lippert.

Aus Pflicht wird gemeinsame Gestaltung
Cybersicherheit braucht auch den Austausch innerhalb der Branche. Dass der Gesetzgeber dafür ausdrücklich einen Rahmen vorsieht, hat einen guten Grund: Geteiltes Wissen hilft Unternehmen, Risiken früher zu erkennen und wirksamer zu handeln. Mit der neuen Special Interest Group „Governance & Security“ unter der Leitung von Alexander Liebl bietet der VÖSI dafür eine Plattform für Erfahrungsaustausch, gemeinsame Lösungsansätze und aktive Mitgestaltung.

„Nicht jedes Unternehmen muss jede Antwort allein finden. Wir wollen aus der Pflicht, sich mit Sicherheit und Governance auseinanderzusetzen, Lust auf Zusammenarbeit machen. Wer Wissen teilt, voneinander lernt und gemeinsam Lösungen entwickelt, gewinnt unternehmerischen Handlungsspielraum“, erklärt VÖSI-Vorstand Alexander Liebl. Der VÖSI lädt Unternehmen ein, Mitglied zu werden und diese Zusammenarbeit aktiv mitzugestalten.