Sicherheitslücke in Programmiersprache: Internetseiten teilweise noch offline

Weltweit waren zahlreiche Internetseiten abgeschaltet. Auch in Deutschland warnen die Behörden vor Schwachstellen in der Programmiersprache PHP.

afp/dpa | Nach dem Bekanntwerden einer gravierenden Sicherheitslücke in der Web-Programmiersprache PHP haben Regierungsbehörden und Unternehmen weltweit zahlreiche Internetseiten vorsorglich abgeschaltet. In Europa waren am Mittwoch unter anderem Websites in Deutschland, Frankreich, den Niederlanden und Belgien betroffen. Der US-Geheimdienst National Security Agency (NSA) und das Bundesamt für Sicherheit in der Informationstechnik (BSI) in Bonn hatten wegen der Gefahr von Cyberangriffen dringend zu diesem Schritt geraten. Zudem rieten sie zur „umgehenden“ Installation eines Sicherheitsupdates. BSI-Vizepräsident Thomas Caspers warnte auch Nutzer vor kompromittierten Websites.

Die Sicherheitslücke könne es Hackern ermöglichen, sich „direkten Zugriff“ auf Datensysteme oder Server-Datenbanken zu verschaffen, warnte die NSA. „Kritische Schwachstellen innerhalb der Programmiersprache PHP bedrohen aktuell weltweit Webanwendungen“, erklärte das BSI.

Das Sicherheitsupdate wurde am Mittwoch zur Verfügung gestellt. Gelinge dies nicht, sollten die Internetseiten vorsorglich abgeschaltet werden, rieten NSA und BSI. Sonst könnten Cyberangreifer Server ohne ein Passwort übernehmen.

PHP ist eine beim Erstellen von Websites und Webanwendungen weltweit verbreitete Programmiersprache. Laut BSI sind vermutlich alle Versionen bis mindestens PHP 5 betroffen. „Wenn Sie PHP einsetzen, ist es zwingend erforderlich, dass Sie jetzt ein Update vornehmen“, erklärte die PHP-Stiftung in einem Blogbeitrag.

Betroffen sind nur Websites, die PHP auf eigenen Servern betreiben. Viele große Plattformen basieren auf anderen Programmiersprachen oder verfügen über Betreiber, die das Sicherheitsupdate zügig einspielen konnten, sodass sie weiterhin online bleiben konnten.

Behörden in Deutschland waren offline

In Deutschland nahmen am Mittwoch Landes- und Polizeibehörden sowie mehrere Städte ihre Angebote vorsorglich aus dem Netz, um Updates aufzuspielen.

Am Morgen waren manche Angebote wieder freigeschaltet, darunter viele Internetseiten in Rheinland-Pfalz und im Saarland. Auch in Thüringen sind seit dem späten Mittwochabend viele Seiten wieder online, darunter jene der Staatskanzlei, der Landespolizei und des Innenministeriums.

Auch mehrere Online-Services der Polizei in Nordrhein-Westfalen waren nach Behördenangaben wieder am Netz. „Nach intensiven Arbeiten konnten die Seiten wieder in Betrieb genommen werden“, teilte das Landesamt für Zentrale Polizeiliche Dienste mit. Andere prominente Webseiten in Nordrhein-Westfalen waren allerdings auch heute nicht erreichbar.

Die Berliner Polizei meldete Ausfälle der „Internetwache“, über die Anzeigen gestellt werden können, und verwies auf die Notfallnummer 110. Betroffen war auch die Berliner Universitätsklinik Charité. Zudem nahmen zahlreiche Städte ihre Online-Angebote vorübergehend vom Netz, darunter München, Flensburg und Saarbrücken.

In Frankreich waren die Internetauftritte mehrerer Behörden, unter ihnen die Pariser Polizei, nicht mehr erreichbar. In Belgien war unter anderem die Website des Außenministeriums offline. In den Niederlanden waren der digitale Identitätsdienst DigiD, die Parlamentswebsite und der Internetauftritt des nationalen Cybersicherheitszentrums betroffen.

In Australien teilte das Australian Signals Directorate laut dem australischen öffentlich-rechtlichen Sender ABC mit, dass auch die eigene Website cyber.gov.au zu den von den Sicherheitslücken betroffenen Regierungswebsites gehöre. Nach Angaben der Wikimedia-Stiftung war auch das von ihr betriebene Online-Lexikon Wikipedia betroffen, die Nutzer sollten daher mit Ausfällen rechnen.

Auch Apps betroffen

Wie das Gaming-Nachrichtenportal Kotaku meldete, wurden am Mittwoch auch mehrere Apps der erfolgreichen Pokémon-Spiele offline geschaltet. In einem Fall wurden dabei Sicherheitsmaßnahmen als Grund genannt.

Die Schwachstellen waren im August von der Sicherheitsfirma Calif und dem ChatGPT-Entwickler OpenAI gemeldet worden, die sie unabhängig voneinander am selben Tag entdeckt hatten. Wiz meldete später weitere Möglichkeiten, sie auszunutzen.

Nach Einschätzung von Wiz basieren etwa 70 Prozent der weltweiten Websites auf PHP. Das Unternehmen bezeichnete die Sicherheitslücken als „eine der schwerwiegendsten Schwachstellen, die jemals in PHP – und womöglich in der gesamten Softwaregeschichte – entdeckt wurden“.

Die Schwachstellen wurden den PHP-Entwicklern zunächst vertraulich gemeldet und blieben unter Verschluss, während an einer Lösung gearbeitet wurde. Details wurden am Dienstag – einen Tag vor der geplanten Veröffentlichung des Updates – online geleakt. Dies führte zur vorsorglichen Abschaltung vieler Websites.

Neueste Version aufspielen

Laut BSI-Vizepräsident Thomas Caspers konnte „bis zum jetzigen Zeitpunkt“ noch nicht beobachtet werden, „dass eine große Schadwirkung eingetreten ist“. „Allerdings, wer heute noch nicht seine Webanwendungen patcht und eben die neueste Version aufspielt, läuft wirklich Gefahr, jetzt sehr kurzfristig dann doch betroffen zu sein“, sagte Caspers am Mittwochabend in den ARD-„Tagesthemen“ mit Blick auf die Aktualisierung der Sicherheitsupdates. Es sei davon auszugehen, dass nicht alle Betreiber die Updates installierten. „Dann werden wir auch die ersten Schäden sehen.“

„Wer heute noch nicht seine Webanwendungen patcht und eben die neueste Version aufspielt, läuft wirklich Gefahr, jetzt sehr kurzfristig dann doch betroffen zu sein“, warnte er. Nutzer sind laut Caspers zunächst jedoch nicht betroffen. Allerdings sollten Verbraucher darauf achten „und auch damit rechnen“, dass in den nächsten Tagen über möglicherweise kompromittierte Webseiten versucht werden könnte, „Schadgut auch auf ihren Systemen“ zu installieren.

Der KI-Experte Ethan Mollick von der US-Elitehochschule University of Pennsylvania warnte zugleich, dass Unternehmen Mühe hätten, mit dem Tempo der Updates Schritt zu halten, die zum Schutz vor KI-gestützten Cyberangriffen erforderlich seien. Auch Verbraucher würden nun die Erfahrung machen, „dass alles häufig und schnell aktualisiert wird“, schrieb er auf X.

Hackerangriff auf Berliner Verwaltung Perso-Kopie von Ute Bonde im Darknet aufgetaucht

Nach dem Hackerangriff auf Berlins Verwaltung stehen hochsensible Daten im Netz. Der Senat erklärt die Notfalllage für beendet, doch die Aufarbeitung läuft schleppend.

Von Hanno Fleckenstein

Interne E-Mails öffentlich AfD blamiert sich mit Datenleak

Bei der AfD kommt es zu einem E-Mail-Datenleak: Zehntausende interne Mails gelangen auf eine öffentliche Website.

Von Konrad Litschko und Hanna Kastner

Massiver Datendiebstahl Hackerangriff auf zentrales Melderegister in Dänemark

Dänemark meldet eine Attacke auf ein Datensystem, in dem Informationen von Bürgerinnen und Bürgern registriert sind. Fast neun Millionen Daten wurden entwendet.

Von Anne Diekhoff

taz FUTURZWEI im Abo entdecken Endlich mal ein Magazin für Zukunft

taz FUTURZWEI ist unser Magazin für eine bessere Zukunft. Das Abo bietet jährlich vier Ausgaben für nur 38 Euro. Zudem erhalten Sie eine Ausgabe von Luisa Neubauers neuestem Buch „Was wäre, wenn wir mutig sind?“ (solange Vorrat reicht).

• Jedes Quartal neu in Ihrem Briefkasten
• Nur 38 Euro im Jahr
• Als Prämie Luisa Neubauers „Was wäre, wenn wir mutig sind?“
• Herausgegeben von Harald Welzer

Jetzt abonnieren