In diesen Oktobertagen zeigt sich einmal mehr, wie tief unsere digitale Welt auf stillen Fundamenten ruht: Eine Lücke in PHP, einer Programmiersprache, die unzählige Websites trägt, hat Ministerien und Unternehmen weltweit dazu gebracht, Auftritte vorsorglich vom Netz zu nehmen. Die Behörden sprechen von einer außergewöhnlichen Notlage, weil Angreifer ungeschützte Server übernehmen können, und zugleich läuft ein Wettlauf zwischen eiligen Updates und suchenden Kriminellen. Dass der Bund bislang keine Schäden meldet, beruhigt, doch die eigentliche Frage bleibt, wie schnell die vielen Betreiber,
PHP-Sicherheitslücke: Digitalminister sieht bislang keine Schäden an Bundes-IT
Ein Wettlauf zwischen Betreibern und Cyberkriminellen
Mark
Warum trifft diese Lücke so viele?
Mimi
PHP steckt hinter etwa 70 Prozent der Websites weltweit, schätzt Wiz Research. Viele Firmen nutzen es, ohne es zu wissen.
Mark
Wie kommt das?
Mimi
Oft läuft die Seite auf einem Content-Management-System. Bitkom sagt, vielen fehle der Überblick, welche Server mit welcher Software erreichbar sind.
Luke
Wichtig: Die 70 Prozent sind die Einschätzung eines einzelnen Sicherheitsunternehmens, keine amtliche Zahl.
Mark
Und die Angriffe? Cloudflare spricht von Millionen.
Mimi
Von einigen tausend Versuchen vorher auf Zehntausende binnen 45 Minuten, Hunderttausende in zwei Stunden, dann Millionen.
Luke
Auch das ist eine Angabe von Cloudflare-Chef Prince. Wie viele Angriffe erfolgreich waren, steht nirgends.
Mark
Der Bund meldet keine Schäden.
Mimi
Minister Wildberger sagt, es gebe keine Hinweise auf Betroffenheit. Dennoch gingen Ministeriumsseiten vorsorglich offline.
Luke
„Keine Hinweise“ ist nicht „nachweislich unbetroffen“. Das ist die Aussage des Ministers, eine unabhängige Prüfung wird nicht erwähnt.
Il Polso
- Eine kritische PHP-Lücke wurde vorzeitig öffentlich und setzt Server weltweit unter Druck.
- Millionen Angriffsversuche innerhalb weniger Stunden lassen die Lage schnell eskalieren.
- Mehrere Bundesministerien und unzählige Websites wurden vorsorglich vom Netz genommen.
- Betreiber installieren hastig Sicherheits-Updates, während Kriminelle nach ungeschützten Servern suchen.
- Der Bund meldet keine Schäden, doch viele Firmen wissen gar nicht, ob sie betroffen sind.
In diesen Oktobertagen zeigt sich einmal mehr, wie tief unsere digitale Welt auf stillen Fundamenten ruht: Eine Lücke in PHP, einer Programmiersprache, die unzählige Websites trägt, hat Ministerien und Unternehmen weltweit dazu gebracht, Auftritte vorsorglich vom Netz zu nehmen. Die Behörden sprechen von einer außergewöhnlichen Notlage, weil Angreifer ungeschützte Server übernehmen können, und zugleich läuft ein Wettlauf zwischen eiligen Updates und suchenden Kriminellen. Dass der Bund bislang keine Schäden meldet, beruhigt, doch die eigentliche Frage bleibt, wie schnell die vielen Betreiber, oft ohne es zu wissen, ihre Systeme schützen können.
Am Mittwoch gingen mehrere Seiten von Bundesministerien vorsorglich vom Netz. Auslöser war eine Sicherheitslücke in PHP, der Programmiersprache, auf der ein Großteil des Webs läuft. Am Donnerstag sind viele Websites wieder erreichbar, andere noch nicht. Und Kriminelle suchen weiter nach Servern, die noch ungeschützt sind.
Behörden und Fachleute stufen die Lage als außerordentlichen Notfall ein, denn betroffene Systeme können vollständig übernommen werden. Weil Details der Lücke vorab öffentlich wurden, entstand ein Wettlauf: Betreiber spielen eilig neue Software-Versionen ein, Angreifer spüren verwundbare Server auf. Die PHP Foundation rief alle Nutzer auf, sofort zu aktualisieren, denn ungeschützte Seiten könnten für Viren, Spam und Falschinformationen missbraucht werden.
Cloudflare-Chef Matthew Prince beschrieb, wie rasch die Angriffe anstiegen: von einigen tausend Versuchen vor der Bekanntgabe zu Millionen innerhalb weniger Stunden. Diese Zahlen stammen allerdings von einem einzelnen Unternehmen.
Digitalminister Karsten Wildberger sieht beim Bund bislang keine Schäden und lobt die schnelle Reaktion von BSI und ITZ-Bund. Zugleich sprach er von einem neuen Zeitalter der Cybersicherheit, in dem KI helfen könnte, Schwachstellen präziser zu finden. Der Städte- und Gemeindebund fordert indes bessere Strukturen von Bund und Ländern für den Krisenfall. Entscheidend bleibt, wie rasch die Betreiber ihre Systeme aktualisieren.
Am Mittwoch gingen mehrere Seiten von Bundesministerien vorsorglich vom Netz. Auslöser war eine Sicherheitslücke in der Programmiersprache PHP, die weltweit für Aufregung sorgt. Am Donnerstag sind viele Websites wieder erreichbar, andere noch immer nicht. Und Kriminelle suchen weiter nach Servern, die noch nicht geschützt sind.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) und internationale Experten warnen vor akuter Gefahr. Behörden und IT-Sicherheitsfachleute stuften die Lage als außerordentlichen Notfall ein. Der Grund: Die Schwachstellen können dazu führen, dass betroffene Systeme vollständig übernommen werden. Hinzu kommt, dass Details der Lücke unbeabsichtigt vorab öffentlich wurden. So entstand ein Wettlauf zwischen Betreibern, die eilig eine aktualisierte Software-Version installieren, und Angreifern, die ungeschützte Server aufspüren.
Die PHP Foundation, die die Sprache weiterentwickelt, forderte am Mittwoch alle Nutzer auf, umgehend das Sicherheits-Update einzuspielen. Bleiben Websites und Anwendungen angreifbar, könnten sie gehackt und dazu benutzt werden, Viren, Spam und Falschinformationen zu verbreiten. Viele Betreiber nahmen ihre Auftritte deshalb sicherheitshalber vom Netz und installierten hastig Updates.
Wie schnell die Lage kippte, beschreibt Matthew Prince, Chef der Cybersicherheitsfirma Cloudflare, auf X. In den Stunden vor der Bekanntgabe habe es einige tausend Versuche gegeben, die Lücken auszunutzen. In den 45 Minuten danach seien es Zehntausende gewesen, binnen zwei Stunden Hunderttausende, inzwischen gehe die Zahl in die Millionen. Es handelt sich um Angaben eines einzelnen Unternehmens.
Beim Bund sieht Digitalminister Karsten Wildberger bislang keine Schäden. Der Bild-Zeitung sagte er, es gebe „keine Hinweise“, dass Webseiten und IT-Infrastruktur des Bundes betroffen seien. BSI und das zentrale IT-Dienstleistungsunternehmen des Bundes, das ITZ-Bund, hätten „sehr schnell und klar reagiert“. Er sprach zudem von einem neuen Zeitalter der Cybersicherheit: KI-basierte Werkzeuge könnten helfen, Schwachstellen schneller und präziser zu finden als je zuvor.
Microsoft-Chef Satya Nadella sagte bei einer Veranstaltung in Köln, die Lücke habe IT-Verantwortlichen eine schlaflose Nacht beschert. So etwas habe er lange nicht gesehen, es sei ein Weckruf gewesen.
Die Reichweite ist enorm. Nach Einschätzung von Wiz Research basieren etwa 70 Prozent der weltweiten Websites auf PHP. Der Digitalverband Bitkom erklärt, praktisch jedes Unternehmen mit eigener Website, Online-Shop oder webbasierter Anwendung könne betroffen sein, vom Handwerksbetrieb bis zum Konzern. Bitkom-Experte Felix Kuhlenkamp weist darauf hin, dass viele Firmen PHP nutzen, ohne es zu wissen, etwa weil ihre Seite auf einem Content-Management-System läuft. Vielen fehle ein Überblick, welche Server mit welcher Software aus dem Netz erreichbar sind.
Der Deutsche Städte- und Gemeindebund fordert Konsequenzen. Ein Sprecher sagte der „Rheinischen Post“, Bund und Länder stünden in der Verantwortung, Strukturen für besseren Schutz und schnelle Reaktion im Krisenfall bereitzustellen. Entscheidend bleibt vorerst, wie rasch Betreiber ihre Systeme aktualisieren.
Citazioni salienti
Es gebe keine Hinweise, dass Webseiten und IT-Infrastruktur des Bundes betroffen seien.— Digitalminister Karsten Wildberger gegenüber der Bild-Zeitung
So etwas habe ich schon lange, lange nicht mehr gesehen.— Satya Nadella, Microsoft-Chef, in Köln
Vuoi la storia completa?
Leggi l'originale su tagesschau ↗
Technology