Erste Abmahnungen wegen verstecktem oder fehlendem Widerrufsbutton

Maximilian Schnedhuber — Tue, 03 Nov 2026 07:00:00 GMT

Seit Juni 2026 müssen Online-Shops eine elektronische Widerrufsfunktion anbieten. Darüber können Kunden einen Vertrag direkt auf der Website widerrufen. Laut WBS Legal verschicken die Wettbewerbszentrale, die Verbraucherzentrale Hessen und der Verbraucherzentrale Bundesverband (vzbv) inzwischen die ersten Abmahnungen. Betroffen ist jeder Betrieb, der über seine Website Verträge mit Verbrauchern schließt. Das gilt auch für den kleinen Händler mit Webshop oder die Gaststätte, die Gutscheine online verkauft.

Von der Pflicht zur Abmahnung

Juni 2026Elektronische Widerrufsfunktion wird Pflicht
Oktober 2026Verbände verschicken erste Abmahnungen

Welche Umsetzungen beanstandet werden

Nach Darstellung der Kanzlei geht es vor allem um Shops, in denen die Funktion zwar irgendwo existiert, aber kaum zu finden ist. Genannt werden ein grauer Link im Footer und ein Formular, das erst nach drei Zwischenschritten erscheint. Dazu kommen Shops, die überhaupt keinen Button haben. Aus Sicht der Abmahner ist die Pflicht damit nicht erfüllt.

	Wird beanstandet	Eher unkritisch
Platzierung	Grauer Link im Footer	Gut sichtbar bei Bestellung oder Kundenkonto
Weg zum Widerruf	Formular nach mehreren Zwischenschritten	Direkt erreichbar
Button	Fehlt ganz	Eigene, klar beschriftete Funktion

Wie ich an Ihrer Stelle vorgehen würde

Ich würde den eigenen Shop einmal so durchgehen, wie es ein Kunde nach dem Kauf täte. Wo steht der Widerruf, wie viele Klicks braucht man, und ist klar beschriftet, was der Button auslöst? Bei gängigen Shopsystemen lohnt der Blick, ob ein Update oder eine Erweiterung die Funktion bereits mitbringt.

Wer schon eine Abmahnung im Briefkasten hat, sollte weder vorschnell unterschreiben noch die gesetzte Frist verstreichen lassen. Die geforderte Unterlassungserklärung und die Kosten sollten Sie anwaltlich prüfen lassen, bevor Sie antworten. Ob jede beanstandete Variante vor Gericht tatsächlich als Verstoß gilt, ist noch offen.

Ob Ihre Website an dieser Stelle und bei anderen Pflichtangaben sauber aufgestellt ist, lässt sich mit einem Website-Check klären.

Von Maximilian Schnedhuber, 3. November 2026. Beitrag auf schnedhuber.de

php2shell: Kritische PHP-Lücke betrifft fast jede Firmenwebsite

Maximilian Schnedhuber — Thu, 29 Oct 2026 07:00:00 GMT

Am 21. Oktober hat das PHP-Projekt zwei Sicherheitslücken geschlossen, die unter dem Namen php2shell bekannt geworden sind. Beide gelten als kritisch und betreffen nach Angaben von heise online sämtliche PHP-Versionen der vergangenen 20 Jahre. Angreifer können darüber ohne Anmeldung eigenen Code auf dem Server ausführen.

2kritische Lücken, CVSS 9.2

20 Jahrealte PHP-Versionen betroffen

38 Sek.bis Code läuft, im Test der Entdecker

MillionenAngriffsversuche laut Cloudflare

Warum das fast jede Firmenwebsite betrifft

WordPress, Joomla, TYPO3 und die meisten Shopsysteme laufen auf PHP. Ob eine Seite angreifbar ist, entscheidet deshalb die PHP-Version auf dem Server. Ein aktuelles WordPress allein schützt nicht, solange darunter eine alte PHP-Version läuft.

So läuft ein Angriff über php2shell

1Die Website läuft auf einer alten PHP-Version
2Ein Angreifer schickt automatisiert zehntausende Anfragen
3Fremder Code läuft auf dem Server
4Erst das PHP-Update schließt die Lücke

Die Angriffe laufen bereits. Cloudflare zählte laut Reuters Millionen Versuche, heise berichtet auch von erfolgreichen Einbrüchen. Mehrere Anbieter haben ihre Seiten vorübergehend abgeschaltet, bis die Updates bereitstanden.

Wer das Update einspielen muss

Abgesichert sind die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Ältere Versionszweige stehen nicht in der Liste, wer noch damit arbeitet, braucht ein Upgrade.

Wer ist für das PHP-Update zuständig?

	Gemieteter Webspace	Eigener Server, NAS, Container
Zuständig	Ihr Hoster	Sie oder Ihr Dienstleister
Ihr Schritt	Update schriftlich bestätigen lassen	Update einspielen, PHP-Dienste neu starten
Nachweis	Antwort des Hosters	Versionsanzeige mit php -v

Heikel sind ältere Agenturprojekte ohne Wartungsvertrag. Dort spielt oft niemand mehr Updates ein, und genau diese Seiten sind jetzt das leichteste Ziel.

Das sollten Sie diese Woche erledigen

Hoster oder Dienstleister fragen, ob PHP auf eine abgesicherte Version aktualisiert ist
Die Antwort schriftlich ablegen
Eigene Server, NAS-Geräte und Container aktualisieren und PHP-Dienste neu starten
Prüfen, ob auf vergessenen Geräten wie einem Raspberry Pi noch PHP läuft

Wenn Sie Hosting und Updates nicht selbst im Blick behalten wollen, übernehme ich das im Website-Abo.

Von Maximilian Schnedhuber, 29. Oktober 2026. Beitrag auf schnedhuber.de