PHP-Sicherheitslücken: Darum haben wir Clockodo vorsorglich offline genommen

Am 21. Oktober 2026 war Clockodo zwischen 13:23 Uhr und 18:21 Uhr vorübergehend nicht erreichbar. Grund dafür waren neu bekannt gewordene Sicherheitslücken in der Programmiersprache PHP, die auch bei Clockodo zum Einsatz kommt.

Solche Sicherheitslücken sind äußerst selten: Sie wurden mit 9,2 von 10 möglichen Punkten als kritisch eingestuft und hätten es Angreifern ermöglichen können, aus der Ferne Schadcode auf betroffenen Servern auszuführen. Selbst das Cybersicherheitsteam der EU empfahl, betroffene Anwendungen notfalls vom Netz zu nehmen.

Nach sorgfältiger Abwägung haben wir uns deshalb bewusst dafür entschieden, Clockodo bis zur Installation des Sicherheitsupdates offline zu nehmen. Seit 18:21 Uhr steht Ihnen die Anwendung wieder vollständig zur Verfügung.

Nach aktuellem Untersuchungsstand gibt es keine Hinweise darauf, dass die Sicherheitslücken in unseren Systemen ausgenutzt wurden oder Kundendaten betroffen sind.

Warum haben wir Clockodo vorübergehend abgeschaltet?

Am 21. Oktober wurden kritische Sicherheitslücken in PHP bekannt. PHP ist eine weltweit eingesetzte Programmiersprache, die auch bei Clockodo zum Einsatz kommt. Die Sicherheitslücken lagen somit nicht in Clockodo selbst, sondern betrafen weltweit Anwendungen, die die betroffenen PHP-Versionen verwenden.

Da die notwendigen Sicherheitsupdates zunächst noch nicht verfügbar waren, haben wir uns entschieden, Clockodo vorsorglich offline zu nehmen. Dieses Vorgehen entspricht auch den Sicherheitsempfehlungen von CERT-EU, dem Cybersicherheitsteam der EU. Das CERT-EU empfiehlt, betroffene Anwendungen gegebenenfalls vorübergehend vom Netz zu nehmen, solange ein Sicherheitsupdate noch nicht eingespielt werden kann.

Noch am selben Nachmittag wurden die Sicherheitsupdates veröffentlicht und von uns eingespielt. Seit 18:21 Uhr steht Ihnen Clockodo wieder vollständig zur Verfügung.

Wie lange war Clockodo nicht erreichbar?

Am 21. Oktober 2026 haben wir die bekannt gewordenen Sicherheitslücken geprüft und die notwendigen Maßnahmen eingeleitet.

• 07:40 Uhr: Unser Entwicklungsteam erfährt von den Sicherheitslücken in PHP. Wir beginnen damit, die möglichen Auswirkungen auf Clockodo zu untersuchen. Noch sind die Tragweite und das Risiko für alle öffentlichen PHP-Anwendungen nicht allgemein bekannt.
• 11:24 Uhr: Im Support erreicht uns die erste Kundenmeldung zu den Sicherheitslücken.
• 12:34 Uhr: Das Entwicklungteam informiert die Geschäftsführung über die neueste Einschätzung der Sicherheitslücken und die möglichen Auswirkungen auf Clockodo.
• 12:48 Uhr: Wir entscheiden, Clockodo vorsorglich offline zu nehmen, und leiten die notwendigen Schritte ein.
• 13:23 Uhr: Clockodo wird vorübergehend abgeschaltet.
• 15:56 Uhr: PHP gibt die Veröffentlichung der Sicherheitsupdates offiziell bekannt. Wir beginnen mit der Installation.
• 18:21 Uhr: Die Updates sind eingespielt und Clockodo ist wieder vollständig verfügbar.
• 22:54 Uhr: Auch unsere Website clockodo.com ist wieder online.

Sind meine Daten betroffen?

Nach aktuellem Stand unserer Untersuchung gibt es keine Hinweise darauf, dass die Sicherheitslücken in unseren Systemen ausgenutzt wurden. Auch liegen uns keine Hinweise auf einen unbefugten Zugriff auf Kunden- oder Mitarbeiterdaten vor.

Unsere Untersuchungen laufen noch. Dabei betrachten wir insbesondere den Zeitraum ab dem 17. Oktober 2026, da laut öffentlichen Berichten ab diesem Zeitpunkt erste Angriffsversuche beobachtet wurden. Da die Sicherheitslücken möglicherweise schon länger bestanden, lässt sich nicht der gesamte Zeitraum lückenlos überprüfen.

Sollten sich wider Erwarten neue Erkenntnisse ergeben, die eine Information unserer Kunden erforderlich machen, werden wir selbstverständlich entsprechend informieren.

Alle vor der Abschaltung gespeicherten Kundendaten und Zeiteinträge sind vollständig erhalten geblieben. Eine Wiederherstellung aus einer Datensicherung war nicht notwendig.

Was bedeutet der Ausfall für Ihre Zeiterfassung?

Während der Abschaltung waren die Clockodo-Weboberfläche, die API und die Smartphone-Apps betroffen. Über die Smartphone-Apps war die Zeiterfassung teilweise noch eingeschränkt möglich.

Falls Sie Ihre Arbeits- und Projektzeiten während des Ausfalls manuell festgehalten haben, können Sie diese jetzt wie gewohnt in Clockodo nachtragen. Erfassen Sie dazu das entsprechende Datum, die Start- und Endzeit sowie die Zuordnung zu Kunde und Projekt.

Bereits vor der Abschaltung gespeicherte Zeiteinträge sind weiterhin vollständig vorhanden.

Wie geht es weiter?

Die Sicherheitsupdates wurden am 21. Oktober erfolgreich eingespielt. Seitdem steht Ihnen Clockodo wieder wie gewohnt zur Verfügung.

Wir führen unsere Untersuchungen im Hintergrund fort. Aktuell liegen uns keine Hinweise auf eine Beeinträchtigung Ihrer Daten vor.

Unsere Entscheidung vom 21. Oktober würden wir jederzeit wieder so treffen. Gleichzeitig nutzen wir die Erfahrungen, um Konzepte zu entwickeln, mit denen Clockodo auch in solchen Ausnahmesituationen möglichst lange verfügbar bleibt.

Wir wissen, dass eine Unterbrechung der Zeiterfassung im Arbeitsalltag unangenehm ist, und bedauern die entstandenen Unannehmlichkeiten. Vielen Dank für Ihr Verständnis während der vorsorglichen Abschaltung.

Bei weiteren Fragen steht Ihnen unser Customer-Success-Team gerne zur Verfügung. Melden Sie sich jederzeit bei uns per Mail unter support@clockodo.com oder telefonisch unter +49 2303 676687-8.