Wer heute am Campus der Uni Kiel auf eine Website der Hochschule oder einer anderen Einrichtung zugreifen will, könnte vor einer leeren Seite stehen. Nach einer Warnung des Bundesamts für Sicherheit in der Informationstechnik (BSI) haben zahlreiche Behörden und Organisationen in Schleswig-Holstein und anderen Regionen ihre Internetauftritte vorsorglich vom Netz genommen. Am frühen Mittwochabend waren unter anderem die Christian-Albrechts-Universität zu Kiel, das Universitätsklinikum Schleswig-Holstein in Kiel und Lübeck, das Universitätsklinikum Hamburg-Eppendorf sowie die Hochschule Flensburg nicht erreichbar.

Auslöser sind zwei kritisch eingestufte Sicherheitslücken in PHP, einer Programmiersprache, auf der ein großer Teil des Internets basiert. Betroffen sein können Blogs, Nachrichtenportale, Onlineshops und Content-Management-Systeme wie WordPress. Für viele Nutzerinnen und Nutzer sieht das gerade nach einem kaputten Internet aus – tatsächlich liegt die Schwachstelle aber auf den Servern, nicht auf den eigenen Geräten.

Websites vorsorglich abgeschaltet

Schleswig-Holsteins Digitalisierungsminister Dirk Schrödter erklärte, das Land habe am Mittwochmorgen weitreichende Schutzmaßnahmen eingeleitet. Weil eine Ausnutzung durch Angreifer erwartet wird, wurde der Internetzugriff auf betroffene Fachverfahren vorübergehend unterbunden. Betreiber spielen Sicherheitsupdates ein und führen gründliche Software-Aktualisierungen durch. Die Schutzmaßnahmen sollten laut Ministerium bis Donnerstagmorgen vollständig umgesetzt sein; im Einzelfall könne es jedoch längere Ausfallzeiten geben.

Auch Kommunen wie Niebüll, Bredstedt, Schleswig, Rendsburg und Lübeck waren zeitweise nicht erreichbar. Für nicht alle genannten Websites war offiziell bestätigt, dass die PHP-Sicherheitslücke der konkrete Grund für die Abschaltung war. Vermutlich wurden mehrere Seiten einfach vorsorglich vom Netz genommen. Verwaltungsverfahren, die keinen Internetzugriff benötigen, sind ausdrücklich nicht betroffen und können uneingeschränkt genutzt werden.

Der Landrat von Rendsburg-Eckernförde teilte mit, es gebe keine Hinweise auf Schäden oder illegale Datenabflüsse. Für normale Internetnutzer besteht beim alltäglichen Surfen mit Smartphone oder PC laut Experten derzeit kein direkter Handlungsbedarf. Also: kein hektisches Passwortwechseln, kein Kabelziehen. Die Unruhe spielt sich vor allem hinter den Webseiten ab.

Hier könnte Ihr Advertorial stehen
Ein Advertorial bietet Unternehmen die Möglichkeit, ihre Botschaft direkt im redaktionellen Umfeld zu platzieren

BSI erwartet schnelle Angriffswellen

In einer Mitteilung aus Bonn vom 21. Oktober 2026 warnt das BSI, dass kritische Schwachstellen in PHP derzeit weltweit Webanwendungen gefährden. Nach aktuellen Informationen sind alle bekannten PHP-Versionen betroffen – mindestens zurück bis PHP 5. Sicherheitsupdates der PHP-Entwickler wurden für den 21. Oktober um 16 Uhr deutscher Zeit erwartet.

Es kann laut BSI nicht ausgeschlossen werden, dass Angreifer die Lücken aus der Ferne zur Ausführung schadhaften Codes auf PHP-Webservern nutzen. Weil PHP weltweit verbreitet ist, könnten groß angelegte Angriffskampagnen IT-Systeme in unterschiedlichen Bereichen treffen. Das BSI hält eine kurzfristige, großflächige Ausnutzung innerhalb weniger Stunden nach Veröffentlichung der Updates für wahrscheinlich.

Besonders unangenehm: Angreifer könnten KI-gestützte Werkzeuge einsetzen, um die Schwachstellen und die veröffentlichten Patches schnell zu analysieren und daraus Exploits zu entwickeln. Das verkürzt die Zeit zwischen einem verfügbaren Update und möglichen Angriffswellen erheblich. Der Wecker für die IT-Abteilungen klingelt damit nicht irgendwann, sondern sofort.

Was Betreiber jetzt tun sollen

  • Personelle Ressourcen für die Veröffentlichung und Installation der Updates bereithalten.
  • Die Patches unmittelbar nach ihrer Veröffentlichung auf PHP-Webservern installieren.
  • Den Patchstatus anhand des zugehörigen offiziellen Advisories überprüfen.
  • Exponierte, also öffentlich erreichbare PHP-Webserver verstärkt auf Auffälligkeiten überwachen.

Der zusätzliche Kontext für Unternehmen ist heikel: Nach Angaben des BSI könnten nahezu alle bekannten PHP-Versionen betroffen sein, rückwirkend mindestens bis PHP 5. In der Praxis geht es damit nicht nur um einzelne Webseiten, sondern auch um Systeme wie WordPress, TYPO3, WooCommerce und Shopware – ebenso um IT-Infrastrukturen von Unternehmen jeder Größe.

Potentiell ermöglicht die Schwachstelle Remote Code Execution (RCE). Angreifer könnten aus der Ferne Schadcode auf Webservern ausführen, vertrauliche Daten abgreifen oder IT-Systeme vollständig kompromittieren. Mögliche Folgen wären Betriebsausfälle, Datenverlust und haftungsrechtliche Konsequenzen. Für Unternehmensleitungen heißt das: umgehend das eigene IT-Team oder den Systemdienstleister informieren.

Empfohlen werden außerdem aktuelle Backups aller Serversysteme. Öffentlich erreichbare PHP-Webserver sollten auf ungewöhnliche Zugriffe, Lastspitzen und Auffälligkeiten in Server-Logs kontrolliert werden. IT-Personal oder externe Dienstleister müssen kurzfristig für die Installation der Sicherheitsupdates verfügbar sein; anschließend sollte der Patch-Status erneut anhand des offiziellen Advisories geprüft werden.

Während an der Uni Kiel und anderswo Seiten wieder erreichbar werden sollen, bleibt für die Betreiber also einiges zu tun. Hinter einem scheinbar harmlosen Wartungshinweis laufen Sicherheitsupdates, Prüfungen und Überwachung – und irgendwo wartet vermutlich schon der nächste Server-Logeintrag, der nicht ganz ins Bild passt.

Quelle 1: shz.de
Quelle 2: Bundesamt für Sicherheit in der Informationstechnik
Quelle 3: Mittelstand-Nachrichten