PHP-Sicherheitslücke: Behörden nehmen Webseiten vorsorglich vom Netz

Zahlreiche Landes- und Kommunalbehörden in ganz Deutschland haben ihre Webseiten und Onlineportale vorsorglich vom Netz genommen. Auslöser für die weitreichenden Maßnahmen ist eine kritische Sicherheitslücke in der weit verbreiteten Programmiersprache PHP. Die Abschaltungen erfolgten präventiv, um eine Ausnutzung der Schwachstelle durch potenzielle Angreifer zu verhindern.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) gab dazu eine offizielle Cybersicherheitswarnung mit dem Aktenzeichen BITS-H Nr. 2026-297981-1032 heraus. Die Behörde stufte das Risiko mit der Warnstufe „3/Orange“ als außerordentlich hoch ein.

Das BSI empfahl Systembetreibern die unverzügliche Installation bereitstehender Patches oder alternativ die vorübergehende Trennung der betroffenen Webserver vom Internet.

Nach Angaben des BSI seien Internetnutzer nicht unmittelbar betroffen, da sich die Sicherheitslücken auf Servern und nicht auf Endgeräten befänden; indirekt könnten jedoch Ausfälle von Diensten oder ein möglicher Datendiebstahl drohen.

Schnelles Update für gravierende Programmierschwachstelle

Die Entwickler von PHP stellten an einem Nachmittag um 16.00 Uhr ein entsprechendes Sicherheitsupdate bereit. Die beiden behobenen Schwachstellen wurden mit einem Schweregrad von 9,2 von 10 Punkten bewertet. Die Lücken ermöglichen es nicht authentifizierten Dritten, Schadcode aus der Ferne direkt auf dem Zielserver auszuführen.

Die Relevanz ist beträchtlich: Nach Angaben des Analyse-Dienstes W3Techs läuft PHP auf rund drei Vierteln aller Webseiten mit bekannter Programmiersprache. Zudem setzen gängige Content-Management-Systeme wie WordPress, Joomla!, TYPO3 und Drupal auf PHP auf; WordPress allein treibe etwa 43% aller Websites an.

Wer sich mit der Absicherung digitaler Infrastrukturen befasst, muss heute proaktiv auf neue Bedrohungslagen reagieren. Dieses Gratis-E-Book enthüllt, wie Sie bestehende Sicherheitslücken schließen und gleichzeitig neue gesetzliche Anforderungen zum Schutz Ihres Unternehmens erfüllen. IT-Sicherheit stärken und Cyberangriffe verhindern

Dennis Kenji-Kipker vom cyberintelligence.institute Frankfurt ordnete die Bedrohungslage ein. Angreifer könnten ohne vorherige Anmeldung schädlichen Code einspielen, im schlimmsten Fall die vollständige Kontrolle über die Server übernehmen und so Zugriff auf Kundendaten sowie Passwörter erhalten. Gut betreute Systeme ließen sich nach seiner Einschätzung jedoch binnen Stunden bis wenigen Tagen absichern.

Bundesweite Ausfälle auf Bundes-, Landes- und Kommunalebene

Die Vorsichtsmaßnahmen zogen Einschränkungen im gesamten Bundesgebiet nach sich. Auf Bundesebene trennte das Informationstechnikzentrum Bund (ITZBund) vorsorglich mehrere Plattformen ab; Vorfälle seien dort nicht bekannt geworden.

Auch Portale des Bundesinnenministeriums, des Zolls, der Bundespolizei, des Robert-Koch-Instituts sowie des Bundeskriminalamts waren zeitweilig nicht erreichbar oder nur eingeschränkt verfügbar. Zahlreiche Bundesinstitutionen gingen nach 17 Uhr wieder ans Netz.

Angesichts immer komplexerer Risiken und neuer Gesetze ist eine fundierte Vorbereitung für Verantwortliche unerlässlich. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und aktuellen Bedrohungen Unternehmer jetzt kennen müssen, um langfristig sicher aufgestellt zu sein. Kostenlosen Cyber-Security-Report jetzt herunterladen

In den Bundesländern zeigten sich ähnliche Muster:

• Bayern: Zahlreiche Institutionen waren an einem Mittwochnachmittag offline, darunter die Staatsregierung, die Polizei, das Bayerische Rote Kreuz sowie die Johanniter. Auch die Verwaltungen der Städte München und Augsburg, das Landratsamt Rhön-Grabfeld sowie die Kliniken in Augsburg und Nürnberg waren betroffen. Das Landesamt für Sicherheit in der Informationstechnik (LSI) stufte die Lage als kritisch ein und betonte, dass es sich um eine reine Prävention ohne bisher bekannten Angriff handele. Gegen 17 Uhr meldeten sich Staatsregierung und Polizei wieder online.
• Hessen: Das zentrale Landesportal hessen.de, diverse Ministerien, das BKA in Wiesbaden sowie Kommunen wie Kassel, Wiesbaden und Offenbach schalteten ihre Server ab. Auch die Landkreise Werra-Meißner, Waldeck-Frankenberg und Wetterau, die Universitätskliniken in Frankfurt und Marburg/Gießen sowie der Landesfeuerwehrverband waren zeitweise nicht erreichbar, bevor die Systeme am Abend wieder hochgefahren wurden.
• Baden-Württemberg: Die Landesregierung trennte Internetauftritte vom Netz. Betroffen waren unter anderem das Karlsruher Institut für Technologie, die Universität Tübingen sowie die Universitätskliniken in Heidelberg, Mannheim und Freiburg, wobei die Patientenversorgung überall unbeeinträchtigt blieb. An der Universität Freiburg betraf die Abschaltung WordPress-Installationen, Lernplattformen wie ILIAS und den Webmail-Zugriff.
• Rheinland-Pfalz, Mitteldeutschland und der Norden: Kommunale Auftritte von Mainz, Koblenz, Ludwigshafen und Trier bis hin zu Städten wie Dresden, Jena, Plauen, Flensburg und Bochum blieben vorübergehend abgeschaltet. Dienstleister wie die Kommunale IT-Union (KID) Magdeburg rechneten damit, die notwendigen Aktualisierungen innerhalb eines Tages einspielen zu können.

Mehr zum Thema bei tagesschau.de: „Hessen: Sicherheitslücke: Zahlreiche Behörden-Webseiten in Hessen abgeschaltet“