Am 21. Oktober 2026 sind in Baden-Württemberg zahlreiche Websites und Onlinedienste vorsorglich vom Netz gegangen. Auslöser war eine weltweit entdeckte, schwerwiegende Sicherheitslücke in PHP, einer weit verbreiteten Programmiersprache, auf der ein großer Teil des Internets basiert. Auch am KIT in Karlsruhe war die eigene Website vorübergehend nicht erreichbar.

Die Landesregierung nahm die Internetauftritte von Ministerien und Regierungspräsidien für mehrere Stunden offline. Wer die Seiten aufrief, sah stattdessen Hinweise auf Wartungsarbeiten. Das Staatsministerium erklärte, die Abschaltung sei eine reine Vorsichtsmaßnahme zum Schutz der Infrastruktur gewesen, bis notwendige Sicherheitsupdates installiert werden konnten. Das Innenministerium betonte ausdrücklich: Sie war keine Reaktion auf einen erfolgreichen Cyberangriff.

PHP-Lücke mit hoher Warnstufe

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hatte vor der Schwachstelle gewarnt und die Lage mit der Warnstufe „3 / Orange“ als außerordentlich hoch eingestuft. Es bestehe ein herausragendes Bedrohungspotenzial, unverzügliche Gegenmaßnahmen seien nötig, weil eine massive Beeinträchtigung des Regelbetriebs drohe. Betreiber sollten ihre Server im Zweifel vollständig vom Netz nehmen.

Unter dem Namen „PHP2Shell“ sind zwei kritische Schwachstellen bekannt: CVE-2026-109618 und CVE-2026-109619. Angreifer könnten sich ohne Anmeldung aus der Ferne eigenen Schadcode auf betroffenen Servern ausführen lassen. Möglich wären die vollständige Übernahme von Websites, der Zugriff auf Datenbanken und Kundendaten oder die Nutzung der Infrastruktur für weitere Cyberangriffe. Detaillierte Informationen zu den Lücken gelangten unbeabsichtigt vorab an die Öffentlichkeit. Experten befürchten deshalb, dass Kriminelle kurzfristig automatisierte Skripte einsetzen, um ungeschützte Server zu suchen und zu übernehmen.

„Angreifer könnten möglicherweise Schadcode einschleusen und dadurch Zugriff auf Systeme erlangen“, sagte Julian Reichwald, Professor für Wirtschaftsinformatik an der Technischen Hochschule Mannheim. Das IT-Sicherheitsunternehmen Huntress, das PHP-Sicherheitsteam und das BSI warnten ebenfalls. Heise Security rechnete damit, dass funktionsfähige Exploits innerhalb weniger Stunden, spätestens innerhalb eines Tages, verfügbar sein könnten.

Hier könnte Ihr Advertorial stehen
Ein Advertorial bietet Unternehmen die Möglichkeit, ihre Botschaft direkt im redaktionellen Umfeld zu platzieren

Betroffen sein können Blogs, Nachrichtenportale und Onlineshops ebenso wie Content-Management-Systeme. Genannt werden WordPress, Moodle, Joomla!, Typo3 und Drupal. Allein mit WordPress werden nach Schätzungen weltweit 400 bis 500 Millionen Webseiten betrieben. Das PHP-Projekt kündigte für Mittwochnachmittag um 16 Uhr einen Sicherheitspatch an; PHP-Entwickler und Hosting-Anbieter arbeiteten an der Behebung der Schwachstellen.

Universitäten, Kliniken und das KIT offline

Auch zahlreiche Universitäten, Hochschulen und Universitätskliniken in Baden-Württemberg schalteten ihre Seiten ab. Vorübergehend offline waren unter anderem die Universitätskliniken Mannheim und Heidelberg, die Universitäten Mannheim, Heidelberg, Konstanz, Ulm und Tübingen, die DHBW Mosbach, die Hochschule Biberach sowie die Hochschule für Technik, Wirtschaft und Gestaltung (HTWG) in Konstanz.

Der Uniklinikverbund Mannheim-Heidelberg erklärte, es habe keinen Cyberangriff gegeben. Die Patientenversorgung sei nicht beeinträchtigt gewesen. In Freiburg wurden vorsorglich die Website der Uniklinik und die Website der Patienten-App „Meine Uniklinik“ abgeschaltet, um Sicherheitsupdates durchzuführen. Der reguläre Klinikbetrieb lief weiter.

Auch das Karlsruher Institut für Technologie sperrte seine Website zeitweise. Nach Angaben des KIT handelte es sich um eine kontrollierte Abschaltung wegen kritischer Sicherheitslücken. Universitäten und Hochschulen arbeiteten am Nachmittag an der Behebung des Problems. Nach dem bereitgestellten Update, das die Lücke am späteren Nachmittag schloss, gingen erste Websites wieder online, darunter die Seiten der Universität Ulm und der Universität Tübingen. Weitere Websites sollten schrittweise folgen.

Nicht betroffen waren Websites, die nicht auf PHP basieren. Dazu gehörte unter anderem die Website des Landtags. Der Unterschied war für Nutzerinnen und Nutzer von außen allerdings kaum sichtbar: Ist eine Seite weg, bleibt sie erst einmal weg – egal, ob dahinter ein großer Serverraum oder ein kleines Hochschulteam steckt.

Vorsicht bis hinein in die Kommunen

Mehrere Kommunen und Behörden schalteten ihre Online-Angebote ebenfalls ab. Die Stadt Mainz deaktivierte mehrere städtische Internetdienste und das Portal mainz.de. Ämter und Bürgerbüros blieben telefonisch und per E-Mail erreichbar, bereits vereinbarte Termine fanden weiterhin statt. Betroffen war nur der externe Webauftritt; die kommunale Datenverarbeitung sollte dadurch geschützt werden.

Betreiber von Websites, Onlineshops und digitalen Plattformen sollen unverzüglich ihre Systemadministratoren, IT-Dienstleister oder Hosting-Anbieter kontaktieren, verfügbare PHP-Sicherheitsupdates und Patches für eingesetzte Content-Management-Systeme installieren sowie nicht mehr unterstützte PHP-Versionen isolieren oder aktualisieren. Als einzige Möglichkeit, eine Kompromittierung zu vermeiden, wurde das Trennen PHP-basierter Webserver vom Internet genannt.

Für normale Internetnutzer besteht beim Surfen mit Smartphone oder PC kein unmittelbarer Handlungsbedarf: Die Lücke betrifft Server und nicht Endgeräte. Indirekt kann die Sache trotzdem ankommen – durch Ausfälle wichtiger Onlinedienste oder Datenabflüsse bei Websites, die nicht rechtzeitig geschützt wurden.

Innenminister Manuel Hagel (CDU) sagte, das Land arbeite intensiv an der Behebung der Lücke. Im vergangenen Jahr habe der volkswirtschaftliche Schaden durch Cyberangriffe in Baden-Württemberg 30 Milliarden Euro betragen. Laut Bitkom richten ausländische Geheimdienste ihren Blick zunehmend auf die deutsche Wirtschaft; die meisten Angriffe werden China und Russland zugeordnet. Währenddessen verschwanden in Baden-Württemberg weiter einzelne Seiten aus dem Netz, eine nach der anderen, bis die Updates eingespielt waren.