PHP-Sicherheitslücke: Warum Polizei, Kliniken und Behörden in Deutschland ihre Webseiten abschalten

Am Mittwochmorgen standen Betroffene vor einer ungewohnten Meldung: Die Internetwache der Berliner Polizei war nicht erreichbar, ebenso Seiten der Brandenburger Polizei, Kommunen, Kliniken und Universitäten. Der Grund war kein Angriff, sondern Vorsicht. Eine schwerwiegende Sicherheitslücke in der Programmiersprache PHP zwingt Behörden und Unternehmen in ganz Deutschland gerade in ein Notprogramm, und das Bundesamt für Sicherheit in der Informationstechnik spricht von einem großen Bedrohungspotenzial.

Was am Mittwoch geschah

In Berlin und Brandenburg nahmen mehrere Einrichtungen ihre Webangebote am Mittwoch vorsorglich vom Netz, wie die dpa meldete. Betroffen waren unter anderem die Internetwache der Berliner Polizei, über die normalerweise Anzeigen erstattet werden, und entsprechende Seiten der Brandenburger Polizei. Auch das Hauptstadtportal berlin.de war nur eingeschränkt nutzbar, ebenso Webseiten einiger Kommunen in Brandenburg, einiger Krankenhäuser in der Region und von Universitäten.

Die S-Bahn Berlin konnte sich nach eigenen Angaben noch in der Nacht melden und teilte mit, ihre Seiten stünden wieder uneingeschränkt zur Verfügung. In mehreren Bundesländern war die Vorsichtsmaßnahme ähnlich schnell wieder Geschichte: In Rheinland-Pfalz, im Saarland und in Thüringen waren viele Angebote, darunter Staatskanzlei, Landespolizei und Innenministerium, seit dem späten Mittwochabend wieder online. Auch mehrere Onlineservices der Polizei in Nordrhein-Westfalen kamen nach Angaben des Landesamts für Zentrale Polizeiliche Dienste wieder ans Netz. Andere prominente Webseiten in Nordrhein-Westfalen waren allerdings auch am darauffolgenden Tag noch nicht erreichbar.

Der Vorgang zeigt, wie ernst die Lage eingeschätzt wird. Behörden schalten ihre Seiten nicht grundlos ab, schon gar nicht die Polizei und Krankenhäuser. Die Entscheidung fiel bewusst, bevor etwas passiert.

Die Lücke hinter dem Notfall

PHP ist eine der verbreitetsten Programmiersprachen des Internets. Ein Großteil des Netzes basiert darauf, von einfachen Blogs über Nachrichtenportale bis zu komplexen Onlineshops und Content-Management-Systemen wie WordPress, Joomla und TYPO3. Eine Schwachstelle in PHP trifft deshalb nicht ein Produkt, sondern das Fundament vieler Webseiten und Onlinedienste gleichzeitig. Branchenmedien bezeichnen den Notfallpatch, der die Lücke schließen soll, als PHP2Shell.

Die Gefahr liegt laut Experten auf den Servern der Betreiber, nicht unmittelbar auf den Smartphones oder Computern der Nutzer. Indirekte Folgen sind dennoch möglich. Werden Systeme nicht rechtzeitig aktualisiert, könnten Angreifer Webseiten übernehmen, Datenbanken auslesen oder Dienste vorübergehend unzugänglich machen. Für die betroffenen PHP-Versionen stehen Sicherheitsupdates bereit. Die Gefährdung bleibt bestehen, solange Webhoster, Unternehmen, Behörden und private Betreiber diese Patches nicht eingespielt oder veraltete Systeme vom Netz genommen haben.

Ein besonders unangenehmes Detail: Künstliche Intelligenz spielt bei dieser Krise eine doppelte Rolle. Sie hilft bei der Bewältigung solcher Vorfälle, wird aber gleichzeitig von Angreifern genutzt, die das Netz eigenständig nach Schwachstellen durchsuchen. Das macht Tempo beim Patchen noch wichtiger.

Die Politik reagiert

Staatssekretär Markus Richter aus dem Digitalministerium warnte laut Medienberichten vor den Folgen der Lücke. Das Ministerium räumte ein, dass die Updates noch nicht überall eingespielt seien, sodass Untersuchungen und Schutzmaßnahmen weiterlaufen. Richter bezeichnete Künstliche Intelligenz in diesem Zusammenhang als Fluch und Segen. Deutschland sei gut aufgestellt, um Risiken durch KI zu begegnen, sagte der Staatssekretär. Zugleich brauche es internationale Strukturen, weil Deutschland nicht isoliert von der weltweiten Vernetzung digitaler Systeme agieren könne.

Schärfere Töne kommen von Konstantin von Notz, Innenpolitiker der Grünen und Mitglied im Parlamentarischen Kontrollgremium. Er sagte der Rheinischen Post, Sicherheitsexperten hätten die Bundesregierung mehrfach auf erhebliche Sicherheitsrisiken bei PHP und anderen Programmiersprachen aufmerksam gemacht. Bei der PHP-Lücke handle es sich um einen Fall gravierenden Ausmaßes. Die Auswirkungen seien bereits jetzt enorm und beträfen Internetpräsenzen weltweit. Die Gefahren, die durch neue KI-Anwendungen entstünden, die das Netz eigenständig nach IT-Sicherheitslücken durchsuchten, seien exorbitant gestiegen. Nicht nur seine Partei habe die Bundesregierung wiederholt gewarnt, auch das BSI habe mehrfach auf eklatant gestiegene Sicherheitsrisiken hingewiesen. Auf diese Dringlichkeit hätten gleich mehrere Sachverständige auch während der erst kürzlich stattgefundenen Anhörung des Innenausschusses des Bundestags zum sogenannten Cybersicherheitsstärkungsgesetz aufmerksam gemacht.

Das BSI selbst gab eine offizielle Cybersicherheitswarnung heraus und drängt darauf, rasch Sicherheitsupdates zu installieren. Von den Schwachstellen gehe ein großes Bedrohungspotenzial aus.

Was Betreiber und Nutzer jetzt tun sollten

Für Betreiber von Webseiten ist entscheidend, die eingesetzte PHP-Version zu prüfen, Sicherheitsupdates zeitnah zu installieren und mögliche Zugriffe auf Server und Datenbanken zu untersuchen. Wer veraltete PHP-Versionen nutzt, für die es keine Patches mehr gibt, sollte diese Systeme vom Netz nehmen, so schwer dieser Schritt im Einzelfall fällt. Auch Logs und Datenbankzugriffe gehören auf die Prüfungsliste, denn ein System, das bereits kompromittiert wurde, hilft kein nachträglicher Patch.

Für Nutzer gibt es keinen allgemeinen Eingriff am eigenen Endgerät. Sie sollten bei betroffenen Diensten jedoch mit Ausfällen oder möglichen Datenabflüssen rechnen. Wer in den vergangenen Tagen Fehler oder ungewöhnliches Verhalten auf behördlichen oder kommunalen Portalen bemerkt hat, tut gut daran, wachsam zu bleiben und bei sensiblen Vorgängen gegebenenfalls auf andere Kanäle auszuweichen. Auch wer seine Zugangsdaten auf betroffenen Portalen verwendet hat, sollte Passwörter ändern, sobald die jeweiligen Dienste wieder zuverlässig laufen.

Frequently Asked Questions

Was ist die PHP-Sicherheitslücke?

Laut dpa und BSI handelt es sich um eine neu entdeckte, schwerwiegende Schwachstelle in der weit verbreiteten Programmiersprache PHP, auf der ein Großteil des Internets basiert. Das BSI spricht von einem großen Bedrohungspotenzial und drängt darauf, Sicherheitsupdates rasch zu installieren.

Sind meine Geräte betroffen?

Die Gefahr liegt laut Experten auf den Servern der Betreiber, nicht unmittelbar auf Smartphones oder Computern von Nutzern. Indirekte Folgen sind aber möglich, etwa wenn Angreifer Webseiten übernehmen oder Datenbanken auslesen, bevor Patches eingespielt wurden.

Was sollte ich als Webseitenbetreiber jetzt tun?

Prüfen Sie die eingesetzte PHP-Version, installieren Sie die verfügbaren Sicherheitsupdates zeitnah und untersuchen Sie mögliche Zugriffe auf Server und Datenbanken. Veraltete Systeme ohne Patchmöglichkeit sollten Sie vom Netz nehmen.