Für die kritische Sicherheitslücke in der weit verbreiteten Programmiersprache PHP ist ein Update bereitgestellt worden. Betreiber von Webanwendungen sind nun aufgefordert, ihre Systeme zu aktualisieren, um die Schwachstelle zu schließen. Zuvor hatten zahlreiche Internetseiten weltweit vorsorglich abgeschaltet werden müssen, nachdem das Bundesamt für Sicherheit in der Informationstechnik (BSI) eine offizielle Cybersicherheitswarnung herausgegeben hatte.
Die Lücke betrifft PHP, eine Programmiersprache, auf der ein großer Teil des Internets basiert – von einfachen Blogs über große Nachrichtenportale bis hin zu komplexen Onlineshops und Content-Management-Systemen wie WordPress. Experten schätzen, dass allein mit WordPress weltweit zwischen 400 und 500 Millionen Webseiten betrieben werden. Neben dem IT-Sicherheitsunternehmen Huntress und dem PHP-Sicherheitsteam hatte auch das BSI Alarm geschlagen. Kriminelle hätten die Schwachstelle ausnutzen können, lautete die Warnung.
In Deutschland waren von der Sicherheitslücke zahlreiche Behörden und Einrichtungen betroffen. In Hessen waren die Internetseiten der Landesregierung und aller Ministerien sowie nachgeordneter Bereiche im Hessen-Web zeitweise nicht erreichbar. Die Staatskanzlei teilte mit, die Lücke habe «technische Anpassungen» auf und den Ministeriumsseiten nötig gemacht. Auch mehrere städtische Internetseiten, darunter der Internetauftritt der Stadt Offenbach, waren betroffen. Die Stadtverwaltung Offenbach meldete am Abend, die vom Netz genommenen Systeme seien alle wieder produktiv geschaltet und könnten genutzt werden.
Weiterhin zu Einschränkungen kam es dagegen in Kassel und Hanau. In Kassel waren einige Online-Dienste vorsorglich abgeschaltet worden; die Verwaltung blieb per E-Mail oder Telefon erreichbar. In Hanau sind die digitalen Dienste des Ordnungs- und Standesamtes weiterhin eingeschränkt, ebenso die Online-Portale der Hanau Netz GmbH, der Stadtwerke Hanau und von OTS-Bau. Auch die Internetseite des Bundeskriminalamts mit Sitz in Wiesbaden war am Morgen noch nicht erreichbar.
In anderen Bundesländern entspannte sich die Lage im Laufe des Tages. Beim offiziellen Hauptstadtportal gab es zuletzt Einschränkungen, ebenso waren einige Krankenhäuser in der Region und Universitäten nur eingeschränkt erreichbar. Die S-Bahn Berlin teilte dagegen in der Nacht mit, ihre Internetseiten stünden wieder uneingeschränkt zur Verfügung. In Rheinland-Pfalz und im Saarland waren am Morgen viele Internetseiten wieder freigeschaltet. Auch in Thüringen sind seit dem späten Mittwochabend viele Seiten wieder online, darunter jene der Staatskanzlei, der Landespolizei und des Innenministeriums. Mehrere Online-Services der Polizei in Nordrhein-Westfalen waren nach Behördenangaben wieder am Netz. «Nach intensiven Arbeiten konnten die Seiten wieder in Betrieb genommen werden», teilte das Landesamt für Zentrale Polizeiliche Dienste mit. Andere prominente Webseiten in Nordrhein-Westfalen waren allerdings auch am Donnerstag nicht erreichbar.
Die zuständigen Fachleute arbeiteten nach der Warnung daran, die betroffenen Systeme abzusichern. Die Webseiten sollten wieder erreichbar sein, sobald Sicherheitsupdates eingespielt sind und ein sicherer Betrieb gewährleistet ist. Mit dem nun bereitgestellten Update für PHP soll dies für die betroffenen Webanbieter möglich werden. Bis alle Systeme aktualisiert sind, können jedoch weitere Einschränkungen bestehen bleiben.
2
