PHP-Sicherheitslücke: Behörden und Kommunen nehmen Websites vom Netz

Viele Behörden, Kommunen und andere Einrichtungen, auch in Nordrhein-Westfalen, haben am Mittwoch ihre Websites oder einzelne Portale vom Netz genommen. Anlass ist eine weltweite Sicherheitslücke in der Programmiersprache PHP.

Nach Darstellung der FAZ läuft mehr als das halbe Internet mit PHP.

Auslöser der Abschaltungen war eine Warnung des Bundesamts für Sicherheit in der Informationstechnik (BSI). Das BSI hatte für Mittwochnachmittag ein Sicherheitsupdate der PHP Foundation angekündigt. Dieses Update wurde am Mittwoch ausgerollt.

Die deutschen Behörden empfahlen das vorübergehende Abschalten der betroffenen Websites nach Darstellung der FAZ erst mit einigen Stunden Verspätung. Verantwortungsvolle Betreiber sollten ihre Seiten bis Ende der Woche wieder auf den aktuellen Stand gebracht haben.

Der WDR berichtet, dass bereits im August mit Hilfe von KI Sicherheitslücken in PHP festgestellt worden waren. Sie wurden geheim gehalten, um sie mit einem Update zu reparieren, das am Mittwoch ausgerollt wurde.

Nach Darstellung der FAZ geben Hacker, die solche Sicherheitslücken nicht ausnutzen, sondern schließen wollen, den Entwicklern normalerweise etwas Vorlauf, bevor sie ihre Entdeckungen öffentlich machen. Dieser Zeitplan sei in der vergangenen Woche bei zwei Sicherheitslücken gerissen worden.

Für die aktuelle Schwachstelle sei nach Darstellung der FAZ kein geheimes Modell nötig gewesen. Das habe die IT-Abteilungen unter größeren Druck gebracht als sonst.

Was hinter der Sicherheitslücke steckt

PHP gehört zu den weltweit am häufigsten eingesetzten Programmiersprachen für Websites und Webanwendungen.

Zahlreiche Behördenportale, Unternehmensseiten sowie bekannte Content-Management-Systeme wie WordPress, Joomla oder Drupal basieren ganz oder teilweise auf PHP. Entsprechend groß sind die möglichen Auswirkungen, wenn eine schwerwiegende Schwachstelle bekannt wird.

Nach Einschätzung von IT-Sicherheitsexperten können Angreifer bei kritischen Sicherheitslücken unter Umständen Schadcode auf betroffenen Servern ausführen, Daten auslesen oder Systeme kompromittieren. Aus diesem Grund empfehlen Behörden und Sicherheitsfachleute, entsprechende Sicherheitsupdates unmittelbar nach ihrer Veröffentlichung einzuspielen. Das vorsorgliche Abschalten einzelner Webseiten gilt in solchen Fällen als übliche Schutzmaßnahme, um mögliche Angriffe bis zur Installation der Aktualisierung zu verhindern.

Für Bürgerinnen und Bürger bedeuteten die vorübergehenden Abschaltungen vor allem, dass einzelne Online-Dienste zeitweise nicht erreichbar waren. Ziel der Maßnahmen war es, die Systeme schnellstmöglich abzusichern und anschließend wieder in den regulären Betrieb zu nehmen. Experten gehen davon aus, dass die meisten betroffenen Websites nach der Installation der Sicherheitsupdates schrittweise wieder online gehen.