Behörden nehmen Internetseiten wegen kritischer PHP-Sicherheitslücke offline
Eine neu entdeckte Schwachstelle in der Programmiersprache PHP zwingt Behörden und Einrichtungen in mehreren Bundesländern, ihre Webangebote vorsorglich abzuschalten. Das BSI warnt vor einem großen Bedrohungspotenzial, Hinweise auf einen Angriff gibt es bislang nicht.
Wegen einer neu entdeckten, schwerwiegenden Sicherheitslücke in der weit verbreiteten Programmiersprache PHP haben Behörden und öffentliche Einrichtungen in mehreren Bundesländern ihre Internetseiten vorsorglich vom Netz genommen. Betroffen waren unter anderem Ministerien und die Polizei in Bayern sowie Verwaltungen, Universitäten und Kliniken in Brandenburg und Hessen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hatte zuvor eine offizielle Cybersicherheitswarnung herausgegeben.
In Bayern waren am Nachmittag die Homepages mehrerer Ministerien und der Polizei nicht erreichbar. Besucher sahen teilweise den Hinweis, das Webangebot sei aus sicherheitstechnischen Gründen derzeit nicht verfügbar. Auch die Stadtverwaltungen von München und Augsburg, das Landratsamt Rhön-Grabfeld, das Augsburger Uniklinikum und das Klinikum Nürnberg waren nicht zugänglich. Selbst bayerische Unternehmen waren betroffen. Die Internetseite der bayerischen Polizei ging am frühen Mittwochabend wieder ans Netz.
Hintergrund ist eine Schwachstelle in PHP, auf der ein großer Teil des Internets basiert — von einfachen Blogs über große Nachrichtenportale bis hin zu Onlineshops und Content-Management-Systemen wie WordPress. Das BSI und das bayerische Landesamt für Sicherheit in der Informationstechnik (LSI) hatten Alarm geschlagen. Das LSI stuft die Lücke als «kritisch» ein. Eine Sprecherin sagte, das Herunterfahren der Webseiten der Staatsregierung sei «eine reine Vorsichtsmaßnahme» gewesen, um eine sofortige Ausnutzung der Schwachstelle für Angriffe zu unterbinden. «Bislang gibt es keine Anzeichen für einen Hackerangriff.»
Die Entwickler des PHP-Projekts kündigten umgehend einen Sicherheitspatch an. Das BSI riet Betreibern von Internetangeboten jedoch ausdrücklich, ihre Server im Zweifel komplett vom Netz zu nehmen. Das bayerische Innenministerium bestätigte, man habe den eigenen Internetauftritt auf Empfehlung von BSI und LSI vorsorglich abgeschaltet. Das Update laufe bereits, die Seite solle danach wieder online gehen. Eine Sprecherin ging von einer Unterbrechung von etwa einer Stunde aus.
Auch in Brandenburg reagierten Einrichtungen auf die Warnung. Die Internetseiten der Universität Potsdam und des Ernst von Bergmann Klinikums waren nicht mehr abrufbar. Der Landkreis Dahme-Spreewald teilte mit, er folge den dringenden Sicherheitsempfehlungen und nehme betroffene Internetdienste ab sofort präventiv vom Netz, bis das offizielle Update eingespielt sei. Bei der Terminvergabe für Bürger und beim Abrufen von Formularen komme es zu Einschränkungen. Eine Sprecherin der Universität Potsdam betonte, es handle sich um eine Vorsichtsmaßnahme, nicht um einen Hackerangriff.
In Hessen schalteten das Land, die großen Unikliniken und einzelne Städte ihre Internetseiten ebenfalls zügig ab. Die Maßnahmen zeigen, wie stark die öffentliche Verwaltung inzwischen von wenigen technischen Grundlagen abhängt: Fällt eine weit verbreitete Komponente wie PHP aus, sind binnen kurzer Zeit zahlreiche Angebote nicht mehr erreichbar. Das BSI hatte betont, es müssten rasch Sicherheitsupdates installiert werden, da von den Schwachstellen ein großes Bedrohungspotenzial ausgehe.
Für Bürgerinnen und Bürger bedeutet die Abschaltung vor allem praktische Einschränkungen, etwa bei Online-Formularen oder der Terminvereinbarung. Die Behörden wollen die Dienste nach dem Einspielen der Patches schrittweise wieder freigeben. Ob und wann alle betroffenen Angebote wieder erreichbar sind, war zunächst offen.
5
