Am Mittwoch lagen für einen Moment viele Behörden- und Klinikseiten rund um die Welt still, weil eine vierzehn Jahre alte Lücke in PHP, dem Unterbau unzähliger Websites, wieder ins Licht geriet. Dass sie überhaupt gefunden wurde, verdankt sich einem KI-Modell, das an dem Code arbeitete, bevor ein Flicken bereitstand. Das Vorgehen zeigt eine neue Form der Verantwortung: Ein Konzern entscheidet, wer wann von einer gefährlichen Erkenntnis erfährt. Darin liegt eine stille Lehre über die Abhängigkeit moderner Staaten von wenigen privaten Akteuren.
PHP-Sicherheitsleck: Wenn KI-Funde über Sicherheit entscheiden und Wohlwollen zur Abhängigkeit wird
Darauf zu bauen, dass es so bleibt, ist keine Sicherheitspolitik, sondern Hoffnung.
Mark
Warum betrifft ausgerechnet eine PHP-Lücke so viele Behörden?
Mimi
Weil PHP hinter rund 70 Prozent aller Websites steckt. Am Mittwoch gingen deshalb vorsorglich der niederländische Onlineausweis, Krankenhäuser und die Berliner Polizei-Internetwache offline.
Mark
Und die Lücke war lange bekannt?
Mimi
Aufgefallen war sie schon 2024. Es fand sich aber kein Angriffsweg, und jeder Flicken bringt neue Probleme. Erst im Juli fanden Open AI und eine von ihm bezahlte Firma unabhängig voneinander einen Weg.
Luke
Wichtig ist, was belegt ist: Open AI sagt selbst, es habe am 11. August die Entwickler informiert. Dass der Konzern die Seiten hätte übernehmen können, ist eine Einschätzung des Kommentars, kein bewiesener Vorgang.
Mark
Wer wusste wann Bescheid?
Mimi
Das Weiße Haus will am 16. Oktober erstmals davon gehört haben. Von „internationalen Partnern“ ist nur vage die Rede.
Luke
Und ob Deutschland informiert wurde und wann, ist offen. Auch die Entscheidung über die Reihenfolge ist nur „offenbar“ gemeinsam mit den Programmierern gefallen.
Mark
Was hat Starlink damit zu tun?
Mimi
Es ist das Vergleichsbeispiel: Musk versprach im März 2025, Terminals nie abzuschalten, und drosselte Mitte Oktober die Militärvariante der Ukraine.
Luke
Ob er das allein oder nach Absprache mit Trump tat, ist umstritten. Der Vergleich ist ein Argument des Autors, kein Beleg dafür, dass Open AI ähnlich handeln würde.
Il Polso
- Am Mittwoch gehen Behörden- und Klinikseiten in mehreren Ländern vorsorglich offline, darunter der niederländische Online-Ausweis und die Berliner Polizei-Internetwache.
- Eine seit 2024 bekannte, aber als unauffindbar geltende Lücke in PHP sickert durch ein Programmiererforum durch, bevor der Patch fertig ist.
- OpenAI fand mit seinem KI-Modell in wenigen Tagen einen Angriffsweg, der Millionen Websites hätte öffnen können.
- Der Konzern warnte am 11. August Entwickler und ausgewählte Regierungen, doch wann Deutschland informiert wurde, bleibt unklar und das Weiße Haus will erst im Oktober davon gehört haben.
- Der Fall verstärkt die Sorge, dass Staatssicherheit am guten Willen weniger Techkonzerne hängt, wie der Eingriff in Starlink in der Ukraine zeigt.
Am Mittwoch lagen für einen Moment viele Behörden- und Klinikseiten rund um die Welt still, weil eine vierzehn Jahre alte Lücke in PHP, dem Unterbau unzähliger Websites, wieder ins Licht geriet. Dass sie überhaupt gefunden wurde, verdankt sich einem KI-Modell, das an dem Code arbeitete, bevor ein Flicken bereitstand. Das Vorgehen zeigt eine neue Form der Verantwortung: Ein Konzern entscheidet, wer wann von einer gefährlichen Erkenntnis erfährt. Darin liegt eine stille Lehre über die Abhängigkeit moderner Staaten von wenigen privaten Akteuren.
Am Mittwoch verschwanden zahlreiche Websites von der Oberfläche des Netzes. Der niederländische Online-Ausweis war darunter, der Webauftritt des größten europäischen Hafens, Kliniken in Deutschland und den Niederlanden sowie die Internetwache der Berliner Polizei. Der Grund war eine Lücke in PHP, der Sprache hinter rund 70 Prozent aller Websites, die vierzehn Jahre lang unbemerkt offenstand.
Die Schwachstelle war bereits 2024 aufgefallen, doch ein Angriffsweg ließ sich damals nicht finden, und jeder Flicken bringt eigene Risiken mit sich. Im Juli änderte sich das. Eine von OpenAI beauftragte Sicherheitsfirma und der Konzern selbst setzten das aktuelle ChatGPT-Modell auf den Code an und fanden unabhängig voneinander einen Weg hindurch. Damit besaß das Unternehmen eine gefährliche und zugleich wertvolle Information.
OpenAI informierte am 11. August die PHP-Entwickler und einige Regierungen, darunter amerikanische und andere internationale Partner. Wer wann Bescheid bekam, entschied der Konzern weitgehend selbst. Das Weiße Haus will erst im Oktober davon erfahren haben, und unklar bleibt, wann Deutschland unterrichtet wurde.
Solche Funde sind nicht neu, neu ist das Werkzeug. Die mächtigsten KI-Modelle lösen Aufgaben, die Menschen nicht mehr bewältigen, und sie bleiben meist in den Händen weniger Firmen. Die Sicherheit ganzer Staaten hängt daher am Wohlwollen dieser Konzerne.
Wie fragil ein solches Wohlwollen ist, zeigt der Fall Starlink. Elon Musks Satellitennetz, das die Ukraine nach 2022 rasch nutzte, wurde Mitte Oktober für die militärische Variante gedrosselt, auf die Kiews Drohnen angewiesen sind. Ob Musk eigenmächtig handelte oder mit Präsident Trump gesprochen hatte, ist umstritten. Für die Piloten, deren Verbindung abbrach, blieb der Unterschied gering. Darauf zu bauen, dass das Wohlwollen bleibt, sei keine Sicherheitspolitik, sagt der Kommentar, sondern Hoffnung.
Am Mittwoch gingen rund um die Welt Websites vorsorglich vom Netz: der staatliche Onlineausweis der Niederlande, der Webauftritt des größten Hafens Europas, Krankenhäuser in Deutschland und den Niederlanden, die Internetwache der Berliner Polizei. Der Anlass war eine Lücke in PHP, der Programmiersprache hinter rund 70 Prozent aller Websites weltweit. Vierzehn Jahre lang hatte sie offen gestanden.
Zuvor war die Schwachstelle über ein Programmiererforum an die Öffentlichkeit durchgesickert, noch bevor die PHP-Entwickler den Patch bereitstellen konnten, also den Flicken, der das Loch schließt. Aufgefallen war sie schon 2024 bei einer Prüfung. Damals fanden die Entwickler aber keinen Angriffsweg hinein, und jeder neue Flicken bringt neue Probleme mit sich. Also blieb das Loch offen.
Das änderte sich im Juli dieses Jahres. Sowohl eine von Open AI bezahlte Sicherheitsfirma als auch der KI-Entwickler selbst setzten das aktuelle ChatGPT-Modell auf den Code an und fanden unabhängig voneinander einen Weg durch die Lücke. Die Firma brauchte dafür nur wenige Tage. Damit lag dem Konzern eine ebenso gefährliche wie wertvolle Information vor: Potentiell hätte er einen Großteil der weltweit mit PHP geschriebenen Websites übernehmen können.
Dazu kam es nicht. Nach eigenen Angaben hatte Open AI Gutes im Sinn: Am 11. August informierte das Unternehmen die PHP-Entwickler, koordinierte die Reparatur und unterrichtete Regierungen, die amerikanische und, so die vage Formulierung, „internationale Partner“. Wer wann von der Gefahr erfuhr, entschied der KI-Entwickler offenbar gemeinsam mit den Programmierern des Patches. Das Weiße Haus will erst am 16. Oktober zum ersten Mal davon gehört haben. Wann Deutschland informiert wurde, ist unklar. Der Fund lässt sich zudem als weitere Demonstration der Macht des Modells lesen.
Dass ethische Hacker Schwachstellen offenlegen und Regierungen informieren, ist nicht neu. Neu ist das Werkzeug: Die mächtigsten KI-Modelle bewältigen heute Aufgaben, zu denen Menschen nicht mehr imstande sind. Sie liegen zumeist nicht in den Händen der Allgemeinheit. Wie das Beispiel Claude Mythos Preview zeigt, werden sie erst so lange gezähmt und zurechtgestutzt, bis weitgehend sichergestellt ist, dass private Nutzer damit nicht in kritische Infrastrukturen eindringen können. Die Folge, so der Kommentar der FAZ: Die Sicherheit ganzer Staaten, Regierungen und Behörden hängt am Wohlwollen amerikanischer Big-Tech-Konzerne, ihre stärksten Modelle oder wenigstens deren Erkenntnisse rechtzeitig an die richtigen Stellen weiterzugeben.
Wie schnell solches Wohlwollen umschlagen kann, zeigte zuletzt Elon Musk im Umgang mit der Ukraine. Sein Unternehmen SpaceX kündigte vor mehr als zehn Jahren das Satellitennetz Starlink an, um die Welt mit schnellem, günstigem Internet zu versorgen. Nach Russlands Überfall 2022 schaltete er es binnen Tagen in der Ukraine frei, und im März 2025 versicherte er, Starlink werde seine Terminals niemals abschalten. Mitte Oktober drosselte das Unternehmen dennoch genau die militärische Variante, die Kiews Armee nutzt. Schnelle Angriffs- und Abfangdrohnen der Ukraine verloren von jetzt auf gleich ihre Verbindung, ein massiver Eingriff ins Kriegsgeschehen.
Zuvor hatte Washington Kiew gedrängt, Angriffe auf russische Ölanlagen einzustellen. Ob Musk die Drosselung eigenmächtig anordnete oder ein Gespräch mit Präsident Donald Trump vorausging, ist umstritten. Für die Drohnenpiloten macht das keinen Unterschied. Das Fazit des Kommentars: Bislang war das Wohlwollen da, doch darauf zu bauen, dass es bleibt, sei keine Sicherheitspolitik, sondern Hoffnung.
Citazioni salienti
Die Sicherheit ganzer Staaten hängt am Wohlwollen amerikanischer Big-Tech-Konzerne (sinngemäß).— FAZ-Kommentar
Vuoi la storia completa?
Leggi l'originale su Frankfurter Allgemeine Zeitung ↗
War & Conflict