PHP-Beben im Netz: Millionen Angriffe – und Berlin gibt Entwarnung?

Eine schwere Sicherheitslücke in der Programmiersprache PHP hat in dieser Woche weltweit Webseiten-Betreiber in den Krisenmodus versetzt. Auch mehrere Bundesministerien nahmen ihre Internetauftritte vorsorglich vom Netz. Digitalminister Karsten Wildberger (CDU) sieht nach eigenen Worten bislang keine Hinweise auf Schäden an der IT des Bundes. Ein Grund zum Aufatmen ist das aber nicht.

Ein Wettlauf gegen die Uhr

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) und internationale Fachleute stuften die Lage als außerordentlichen Notfall ein. Der Grund: Über die Schwachstelle können Angreifer betroffene Server vollständig übernehmen. Erschwerend kam hinzu, dass Details der Lücke unbeabsichtigt vorzeitig öffentlich wurden.

Die PHP Foundation, die die Sprache weiterentwickelt, rief alle Nutzer zum sofortigen Update auf. Wer ungeschützt bleibe, riskiere, dass seine Seite gekapert und zur Verbreitung von Viren, Spam und Falschinformationen missbraucht werde. Medienberichten zufolge schlummerten die Fehler jahrelang unentdeckt im Code – aufgespürt wurden sie erst mithilfe von Künstlicher Intelligenz.

Von Tausenden auf Millionen

Wie schnell Kriminelle zuschlagen, zeigen Zahlen des Netzwerkdienstleisters Cloudflare. Firmenchef Matthew Prince schilderte auf X die Explosion der Angriffsversuche:

"Diese Zahl stieg in den 45 Minuten nach der Bekanntgabe auf Zehntausende, innerhalb von zwei Stunden auf Hunderttausende und geht mittlerweile in die Millionen."

Vor der Veröffentlichung seien es nur einige Tausend gewesen. Microsoft-Chef Satya Nadella sprach bei einem Auftritt in Köln von einer schlaflosen Nacht für IT-Verantwortliche. So etwas habe er "schon lange, lange nicht mehr gesehen", sagte er. Laut Reuters wurden weltweit Banken-, Airline-, Bahn- und Steuerportale vorübergehend abgeschaltet – von Tokio bis Helsinki.

Vom Handwerker bis zum Konzern

Die Dimension ist gewaltig. Nach Einschätzung des Sicherheitsunternehmens Wiz Research laufen rund 70 Prozent aller Websites weltweit auf PHP. Der Digitalverband Bitkom warnt, praktisch jedes Unternehmen mit eigener Website, Online-Shop oder Web-Anwendung könne betroffen sein.

Das Tückische: Viele wissen gar nicht, dass sie PHP einsetzen – etwa weil ihre Seite über ein Content-Management-System läuft. Bitkom-Experte Felix Kuhlenkamp vermutet, vielen Firmen fehle schlicht der Überblick über ihre öffentlich erreichbaren Server. Wer bei einem Webhoster ist, kann meist durchatmen, denn die Anbieter haben die Updates bereits eingespielt. Doch BSI und Experten warnen: Zahlreiche Seiten nutzen veraltete PHP-Versionen, für die es gar keinen Patch gibt.

Lob für die eigenen Behörden – reicht das?

Wildberger lobte gegenüber der Bild-Zeitung, BSI und das IT-Zentrum Bund hätten "sehr schnell und klar reagiert". Zugleich rief er ein "neues Zeitalter der Cybersicherheit" aus, in dem KI-Werkzeuge helfen könnten, Schwachstellen schneller aufzuspüren.

Große Worte. Doch die Wirklichkeit sieht nüchterner aus: Erst im September wurde das Berliner Landesnetz angegriffen, Daten landeten Berichten zufolge im Darknet. Der Deutsche Städte- und Gemeindebund sieht nun ausdrücklich Bund und Länder in der Pflicht, bessere Strukturen für Schutz und schnelle Krisenreaktion zu schaffen. Übersetzt heißt das: Vor Ort fühlt man sich allein gelassen.

Die Lehre aus dem digitalen Beben

Der Fall führt vor Augen, wie zerbrechlich eine Welt ist, die fast vollständig auf Code basiert, den kaum jemand versteht. Ein einziger Fehler – und Banken, Behörden und Shops gehen auf Tauchstation. Wer sein Vermögen ausschließlich digital verwaltet, sollte darüber nachdenken. Physisches Gold und Silber lassen sich nicht hacken, nicht abschalten und brauchen kein Update – als Beimischung in einem breit gestreuten Portfolio können sie ein sinnvoller Anker sein.

Hinweis: Dieser Beitrag stellt keine Anlageberatung dar. Jeder Leser sollte eigenständig recherchieren und ist für seine Anlageentscheidungen selbst verantwortlich.