Support

Einen Fehlalarm melden

Jeder Scanner liegt irgendwann einmal daneben. Entscheidend ist, wie lange die Korrektur dauert — und ob sie auch auf allen anderen Servern ankommt. Bei uns ist das eine automatisierte Strecke mit Antwort in etwa einer Stunde und einer signierten Feed-Generation, die veröffentlicht wird, sobald eine Datei freigegeben ist.

Bevor Sie etwas schicken

Ein Fund ist kein Urteil, das Sie schweigend hinnehmen müssen — jeder Fund trägt die Signale, die ihn erzeugt haben, mit Engine, Regelname und Score. Sie können die Begründung also lesen, bevor Sie ihr widersprechen:

shelltrap findings show <finding-id> --json

Zwei Dinge lohnen sich vorab, weil sie die meisten Meldungen ohne E-Mail erledigen:

Gehört die Datei wirklich zu Ihnen? Ein Plugin-Update, das einen verschleierten Loader nach wp-content gelegt hat, ist ein echter Fund und kein Fehlalarm — auch dann, wenn Sie für das Plugin bezahlt haben.
War es ein Heuristiktreffer? Die Heuristik meldet standardmäßig nur. Wurde die Datei in Quarantäne verschoben, war es ein Signatur- oder Hashtreffer, und das ist ein anderes Gespräch.

Sieht es danach immer noch falsch aus, schicken Sie es. Ein Fehlalarm ist für keine Seite peinlich — ihn im Feed stehen zu lassen wäre es.

Was Sie schicken, und wohin

Eine Mail an falsepositive@shelltrap.com .

Sie muss von der E-Mail-Adresse kommen, die in Ihrem Kundenbereich hinterlegt ist. Daran erkennt die Strecke einen lizenzierten Kunden. Mails von anderen Adressen werden nicht verarbeitet und erhalten keine Prüfung — das ist keine Aussage über Sie, sondern über eine automatische Allowlist, die Dateien von Fremden annimmt: Das wäre eine Angriffsfläche und kein Support-Kanal.

Vier Angaben gehören hinein:

Was	Wo es steht
Finding-ID	in der Fund-Mail und in `shelltrap findings list`
Regelname	in der Fund-Mail, z. B. `Panomity_PHP_Eval_Base64_Chain`
SHA-256	in der Fund-Mail und in `shelltrap findings show <id>`
Die Datei selbst	als Anhang `.php`, `.txt` oder `.zip` bis 2 MB — oder als Codeblock in der Mail

Ohne die Datei gibt es keine automatische Prüfung. Ein Hash allein lässt sich nicht gegen die aktuelle Regelgeneration neu scannen und nicht analysieren; eine Mail ohne Datei fällt damit auf den langsamen, menschlichen Weg zurück.

Liegt die Datei in Quarantäne, ist sie weiterhin auf Ihrer Maschine — Quarantäne ist Beweismaterial, und nichts löscht sie hinter Ihrem Rücken. shelltrap quarantine list gibt Ihnen die Objekt-ID, und ein Restore legt die Datei mit Eigentümer, Modus, Zeiten, ACLs, erweiterten Attributen und SELinux-Kontext zurück an ihren Platz, sodass Sie sie von dort einpacken können:

shelltrap quarantine list
shelltrap quarantine restore <object-id>

Was danach passiert

Neuer Scan mit der aktuellen Generation. Regeln bewegen sich. Als Erstes prüft die Strecke, ob die Datei unter der heute veröffentlichten Regelgeneration überhaupt noch etwas auslöst — das allein erledigt schon einen Teil der Meldungen.
Automatische Analyse. Die Datei wird von einem KI-Modell auf Panomity-eigener GPU-Hardware in München analysiert. Sie wird als nicht vertrauenswürdige Daten behandelt und niemals ausgeführt — keine Detonation in einer Sandbox, kein Interpreter, kein Drittdienst, kein externer Modellanbieter. Die Datei verlässt unsere Infrastruktur nicht.
Harte Regeln, die die Automatik nicht übergehen kann. Ein ClamAV-Signaturtreffer oder ein Treffer im Known-Bad-Hash-Set wird nie automatisch freigegeben. Diese Fälle gehen an einen Menschen. Ein automatischer Allowlist-Eintrag über einen exakten Malware-Hash ist genau der Fehler, den eine Automatik nicht allein machen können darf.
Die Antwort. In der Regel innerhalb einer Stunde, von sentinel@shelltrap.com — also von derselben Adresse, von der auch Ihre Funde kommen und die deshalb ohnehin schon in Ihrer Allowlist steht.

Was ein bestätigter Fehlalarm verändert

Ihre Datei wird per SHA-256 freigegeben, in der Allowlist der nächsten signierten Feed-Generation.
Diese Generation wird sofort veröffentlicht. Sie wartet nicht auf ein Release, einen Sprint oder ein Wartungsfenster.
Jeder lizenzierte Server übernimmt sie beim nächsten Feed-Refresh. Andere Kunden mit derselben Datei — einem Plugin, einem Theme, einer mitgelieferten Bibliothek — sehen den Fund nicht mehr, ohne ihn je gemeldet zu haben.
Die Regel selbst wird in einer späteren Generation verschärft. Regeländerungen müssen vor der Aktivierung durch das Korpus-Gate aus Known-Good und Known-Bad, und das dauert länger als ein Allowlist-Eintrag — zu Recht. Die Allowlist macht Sie heute wieder arbeitsfähig, die Regelkorrektur beendet die Fundklasse später.

Auf Ihrem eigenen Host können Sie den Fund anschließend als erledigt kennzeichnen:

shelltrap findings resolve <finding-id> false_positive

Ein abgelehnter Fall und jeder, den die Strecke nicht selbst entscheidet, wird zum Ticket: Eröffnen Sie eines im Kundenbereich , dann übernimmt ein Mensch. Die automatische Antwort ist der schnelle Weg, nicht das letzte Wort.

Was mit Ihrer Datei geschieht

Sie wird nur für die Prüfung gespeichert, auf Panomity-Infrastruktur in München.
Sie wird mit dem Abschluss des Falls gelöscht.
Im Protokoll bleiben SHA-256, Regel und Ergebnis — nicht der Inhalt der Datei und nicht ihr Pfad auf Ihrem Server.
Sie wird nie ausgeführt und nie an einen Drittdienst oder Modellanbieter weitergegeben.

Die allgemeine Aussage dazu, was das Produkt selbst an uns sendet — eine Lizenzprüfung und einen signierten Feed-Download, sonst nichts —, steht in der Datenschutzerklärung .

Die Adressen auf einen Blick

Adresse	Wofür
falsepositive@shelltrap.com	vermutete Fehlalarme, von Ihrer hinterlegten Adresse, mit der Datei
sentinel@shelltrap.com	Absender der Fund-Mails und der Antwort auf eine Fehlalarm-Meldung. Antworten werden gelesen, es ist aber kein Support-Kanal
Kundenbereich	Tickets, Rechnungen, Lizenzschlüssel, aktivierte Server — und der Weg für einen abgelehnten oder unklaren Fall
hallo@panomity.de	allgemeine Anfragen, Vertrieb, Mengenpreise
security@shelltrap.com	Schwachstellen in Shelltrap, im Lizenzdienst oder auf dieser Website

Warum das selten vorkommt

Das Produkt ist so gebaut, dass ein Fehlalarm Sie eine Mail kostet und keinen Kunden:

Nur Signatur- und Hashtreffer führen standardmäßig zur Quarantäne. Die Heuristik meldet nur, und PUA-Signaturen sind aus.
Eine Known-Good-Allowlist aus veröffentlichten Distributionsprüfsummen — WordPress-Core, verbreitete Plugins und Themes, Laravel, Joomla — beantwortet die häufigsten Fälle, bevor sie überhaupt Funde werden.
Schwache statistische Signale stehen nie allein. Entropie oder eine lange Zeile erzeugen für sich genommen kein suspicious; minifizierte Bundles und Caches bleiben sauber.
Eine Regelgeneration, die einen Quarantäne-Sturm über mehrere Accounts auslöst, wird automatisch zurückgerollt.

Mehr zu dieser Logik: der Webshell Signal Explorer geht sechs Fälle durch, darunter den Fehlalarm, der nie eine Aktion auslösen darf.

Fragen, die tatsächlich gestellt werden

An welche Adresse schicke ich das?

An falsepositive@shelltrap.com . Die Mail muss von der E-Mail-Adresse kommen, die in Ihrem Kundenbereich auf shop.shelltrap.com hinterlegt ist — daran erkennt die Strecke, dass der Absender ein lizenzierter Kunde ist. Mails von anderen Adressen werden nicht verarbeitet und erhalten keine Prüfung.

Was muss in der Mail stehen?

Finding-ID, Regelname und SHA-256 — alle drei stehen in der Fund-Mail, die Sie erhalten haben — und die Datei selbst, entweder als Anhang (.php, .txt oder .zip, bis 2 MB) oder als Codeblock in der Mail. Ohne die Datei gibt es keine automatische Prüfung, weil sich ein Hash allein weder neu scannen noch analysieren lässt.

Wie lange dauert das?

In der Regel unter einer Stunde; die Antwort kommt von sentinel@shelltrap.com . Fälle, die die Strecke nicht selbst entscheidet, gehen an einen Menschen und dauern länger — das erfahren Sie, statt zu warten.

Geht meine Datei an einen Dritten?

Nein. Re-Scan und Analyse laufen auf Panomity-eigener GPU-Hardware in München. Die Datei wird als nicht vertrauenswürdige Daten behandelt und niemals ausgeführt. Kein Drittdienst, keine fremde Scan-Plattform und kein externer Modellanbieter sieht sie.

Kann ein ClamAV- oder Hash-Treffer automatisch freigegeben werden?

Nein, und das mit Absicht. Ein ClamAV-Signaturtreffer oder ein Treffer im Known-Bad-Hash-Set wird nie automatisch freigegeben. Solche Fälle gehen an einen Menschen, denn ein automatischer Allowlist-Eintrag über einen exakten Malware-Hash ist genau der Fehler, den eine Automatik nicht machen können darf.

Was passiert, wenn eine Datei als sauber bestätigt ist?

Ihr SHA-256 wandert in die Allowlist der nächsten signierten Feed-Generation, und diese Generation wird sofort veröffentlicht, statt auf ein Release zu warten. Jeder lizenzierte Server übernimmt sie beim nächsten Feed-Refresh; die Korrektur erreicht damit auch andere Kunden mit derselben Datei. Die Verschärfung der auslösenden Regel folgt in einer späteren Generation, sobald die Änderung durch das Korpus-Gate gelaufen ist.

Wie lange behalten Sie die Datei?

Nur so lange, wie die Prüfung sie braucht. Sie liegt in München, wird mit dem Abschluss des Falls gelöscht, und im Protokoll bleiben SHA-256, Regel und Ergebnis — nicht der Inhalt.

Was, wenn ich mit der Antwort nicht einverstanden bin?

Eröffnen Sie ein Ticket im Kundenbereich. Ein abgelehnter oder unklarer Fall bekommt eine menschliche Prüfung; die automatische Antwort ist der schnelle Weg, nicht das letzte Wort.

Mehr zu dieser Abwägung: die Heuristik-Engine und die Regelreferenz .

Verfahren, wie es ab dem 4. September 2026 betrieben wird. Die genannten Bearbeitungszeiten sind typisch und nicht zugesichert: Ein ungewöhnlicher Fall geht an einen Menschen und dauert länger — das schreiben wir lieber hin, als eine Zahl zu versprechen, die wir nicht halten können.