Stand: 21. Oktober 2026, 13:30.
Heute um 11:08 war bexio nicht mehr erreichbar — nicht wegen einer Störung, sondern weil bexio den Dienst selbst vom Netz genommen hat. Der Grund steht auf der Statusseite: eine kritische, weltweite Sicherheitslücke in PHP, der Programmiersprache, auf der bexio läuft. Dazu die Zusicherung, die Daten seien sicher, die Aussicht auf das Update im Lauf des Tages und die Bitte, den Support vorerst nicht zu kontaktieren, damit sich das Team ganz auf die technische Behebung konzentrieren kann.
Der Hintergrund ist öffentlich. Das PHP-Sicherheitsteam hat gestern angekündigt, heute um 14:00 UTC — 16:00 unserer Zeit — ein ausserordentliches Sicherheitsrelease zu veröffentlichen: zwei kritische Schwachstellen, beide mit dem Schweregrad 9,2 von 10. Welche Versionen betroffen sind und wie die Lücken heissen, wird erst mit dem Release bekannt gegeben.
Rechne die beiden Zeiten zusammen. bexio ist um 11:08 vom Netz gegangen, die Korrektur gibt es ab 16:00. Der Dienst war knapp fünf Stunden dunkel, bevor der Patch überhaupt existierte.
Drei Entscheidungen, die wir richtig finden
Abschalten, statt zu hoffen. Die bequeme Variante wäre gewesen, bis 16 Uhr weiterzulaufen und darauf zu setzen, dass in dieser Zeit niemand vorbeikommt. Bei einer Lücke dieser Schwere ist das keine Risikoabwägung, sondern ein Würfelwurf mit den Daten der Kundschaft.
Sagen, was los ist, und warum. In der Meldung steht das Wort PHP. Sie hätte auch «technische Wartungsarbeiten» lauten können, und niemand hätte es gemerkt. Dass dort die tatsächliche Ursache steht, ist der Grund, warum wir diesen Text überhaupt schreiben können.
Den Support zumachen. Die Bitte, vorerst nicht anzurufen, klingt unfreundlich und ist das Gegenteil: Wer abschaltet, bekommt innert Minuten tausende Anfragen. Jede davon zieht Leute von der Behebung weg. Diese Bitte auszusprechen, kostet Anbieter Überwindung — sie ist ehrlicher als eine Hotline, die beschäftigt klingt und nichts bewegt.
Was es uns kostet
Fakturierung und Buchhaltung stehen, solange bexio steht. Das ist der Preis, und heute ist er tragbar — an einem Quartalsende oder zwei Tage vor der Lohnabrechnung wäre er es nicht.
Die Beobachtung, die bleibt
Die Entscheidung war richtig, und sie war nicht unsere. Wer Software mietet, mietet die Reaktionszeit mit. Heute ist das ein guter Deal: ein Anbieter, der schneller handelt, als wir es an einem Mittwochvormittag selbst geschafft hätten. An einem anderen Tag ist derselbe Mechanismus das Problem — wenn der Zeitpunkt in die Lohnabrechnung fällt, wenn die Kommunikation ausbleibt, wenn aus fünf Stunden drei Tage werden.
Darum ist das, was eine Organisation hier tun kann, nicht «den Anbieter wechseln», sondern die Abhängigkeit kennen, bevor sie fällig wird. Vier Fragen reichen: Wo liegen die Daten, und kommst du ohne das Portal an sie heran? Wie lange hält der Betrieb ohne Fakturierung durch? Auf welchem Weg erfährst du von einem Ausfall — und hast du diesen Weg abonniert, oder suchst du ihn erst, wenn es soweit ist? Und wer entscheidet im Ernstfall, du oder jemand anderes?
Ein Satz noch zu uns, weil er sonst unausgesprochen bleibt: Wir bauen souveräne Infrastruktur für NGOs, und PHP steckt auch darin — Nextcloud ist in PHP geschrieben. Souveränität macht eine solche Lücke nicht kleiner. Sie verschiebt nur, wer den Hebel in der Hand hält und wie lange es dauert, bis er gezogen wird. Heute hat ihn bexio gezogen, und zwar früh. Das verdient Anerkennung.
