Kritische PHP-Sicherheitslücke legt Webseiten in Mainz und Saarbrücken lahm
Wegen einer kritischen Schwachstelle in der Programmiersprache PHP haben Rheinland-Pfalz und Saarbrücken zahlreiche Webseiten vorsorglich abgeschaltet. Betroffen sind unter anderem das städtische Portal, die Stadtwerke, die Saarbahn und der ZKE. Das BSI hatte zuvor gewarnt.
Eine kritische Sicherheitslücke in der weit verbreiteten Programmiersprache PHP hat dazu geführt, dass in Rheinland-Pfalz und im Saarland mehrere Webseiten vorsorglich vom Netz genommen wurden. In der Landeshauptstadt Saarbrücken sind nach Angaben der Stadt unter anderem das städtische Webportal sowie die Internetseiten der Stadtwerke, der Saarbahn und des Zentralen Kommunalen Entsorgungsbetriebs (ZKE) nicht erreichbar. Auch in Mainz und anderen Teilen von Rheinland-Pfalz wurden Seiten abgeschaltet, die die betroffene Software verwenden.
Hintergrund ist eine Sicherheitswarnung des Bundesamtes für Sicherheit in der Informationstechnik (BSI). Die Behörde hatte auf eine Schwachstelle in PHP hingewiesen, die zahlreiche Internetseiten anfällig für Hackerangriffe macht. Nach Angaben des IT-Beauftragten der rheinland-pfälzischen Landesregierung, Fedor Rose, habe das Land entschieden, Internetseiten abzuschalten, die die betroffene Software nutzten. Die zuständigen Fachleute arbeiteten mit Hochdruck daran, die betroffenen Systeme abzusichern.
Die Stadt Saarbrücken teilte mit, sie habe die betroffenen Online-Dienste vorsorglich abgeschaltet, um mögliche Sicherheitsrisiken für die städtischen IT-Systeme zu vermeiden. Die Verwaltung bleibe telefonisch und per E-Mail erreichbar, aktuelle Informationen würden über die Social-Media-Kanäle der Stadt verbreitet. Für die abgeschalteten Seiten in Rheinland-Pfalz gilt laut Rose, dass zentral zwischengespeicherte Inhalte vorübergehend weiterhin abrufbar sein können. Danach werde eine Fehlermeldung angezeigt.
Die Webseiten sollen wieder erreichbar sein, sobald Sicherheitsupdates eingespielt und ein sicherer Betrieb gewährleistet ist. Einen genauen Zeitpunkt nannten die Behörden zunächst nicht. Es gebe keinerlei Hinweise darauf, dass Dritte die Schwachstellen ausgenutzt hätten, betonte Rose. Die Abschaltung sei eine reine Vorsichtsmaßnahme.
Die Programmiersprache PHP bildet die technische Grundlage für einen großen Teil des Internets. Nach Einschätzung von Sicherheitsexperten sind durch zwei Fehler in der Software zahlreiche Internetseiten weltweit angreifbar. Neben Kommunen und Landesbehörden haben daher auch Universitäten, Krankenhäuser und weitere Einrichtungen ihre Online-Angebote vorsorglich vom Netz genommen, um möglichen Angriffen zuvorzukommen. Auch das Land Baden-Württemberg ging mit gutem Beispiel voran und schaltete Seiten wichtiger Behörden ab.
Für die betroffenen Bürgerinnen und Bürger bedeutet die Abschaltung vor allem Einschränkungen bei der digitalen Verwaltung. Wer etwa auf das Saarbrücker Stadtportal zugreifen wollte, sah statt der gewohnten Inhalte eine Fehlermeldung. Die Stadtverwaltung verwies auf die telefonischen und schriftlichen Kontaktwege sowie auf die sozialen Medien, über die aktuelle Informationen verbreitet werden. In Rheinland-Pfalz können einige Inhalte zumindest vorübergehend noch über zwischengespeicherte Kopien abgerufen werden.
Die Sicherheitslücke zeigt, wie abhängig Kommunen und Länder von einer weit verbreiteten Software-Technologie sind. PHP wird seit Jahrzehnten für dynamische Webseiten eingesetzt und ist auch in der öffentlichen Verwaltung stark verbreitet. Sobald die Hersteller entsprechende Patches bereitstellen, müssen die betroffenen Systeme aktualisiert werden. Erst danach können die Webseiten wieder freigegeben werden. Die Behörden betonten, dass die Sicherheit der Systeme oberste Priorität habe.
8
