Am Mittwochnachmittag waren zahlreiche Webseiten öffentlicher Einrichtungen in Berlin und Brandenburg vorsorglich nicht erreichbar. Grund war eine weltweit entdeckte, gravierende Sicherheitslücke in PHP – einer Programmiersprache, auf der unter anderem Blogs, Nachrichtenportale, Onlineshops und Content-Management-Systeme wie WordPress laufen. Auch an der HU Berlin wurden Webseiten und IT-Dienste vorsorglich eingeschränkt.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) stufte die Lage als kritisch beziehungsweise mit der Warnstufe „3 / Orange“ als außerordentlich hoch ein. Betreiber sollten unverzüglich Sicherheitsupdates installieren. Die PHP-Entwickler veröffentlichten am Mittwochnachmittag aktualisierte Versionen und empfahlen dringend die sofortige Installation von „PHP 8.5.12“.

Charité, Polizei und Feuerwehr offline

Die Charité nahm ihre offizielle Webseite vorsorglich vom Netz. Nach Angaben der Klinik handelte es sich nicht um einen Cyberangriff. Der Klinikbetrieb selbst war nicht beeinträchtigt; eingeschränkt waren lediglich Sichtbarkeit und Erreichbarkeit nach außen. Eine Online-Terminbuchung war vorübergehend nicht möglich. Die Sicherheitsupdates sollten bis zum folgenden Tag installiert werden.

Zeitweise nicht erreichbar waren außerdem die Webseite der Berliner Feuerwehr, die Internetwache der Berliner Polizei und die Webseite der Bundespolizei. Die Berliner Polizei stellte klar: In Notfällen soll weiterhin die 110 gewählt werden. Sprech- und hörgeschädigte Menschen können ein Fax an die 110 senden oder die Nora-App nutzen. Anzeigen konnten vorübergehend nur auf Polizeiabschnitten vor Ort aufgegeben werden. Wann die Internetwache wieder freigeschaltet werden sollte, war zunächst unklar.

Auch Webseiten des Landes Berlin waren im Tagesverlauf betroffen, am frühen Abend aber größtenteils wieder erreichbar. Einige Unterseiten blieben offline, darunter bestimmte Download-Formulare, der Newsletterversand und der Veranstaltungskalender. Der Zeitpunkt der vollständigen Wiederherstellung war noch nicht absehbar. Nicht verfügbar war zudem die Webseite des Berliner Abgeordnetenhauses.

Hier könnte Ihr Advertorial stehen
Ein Advertorial bietet Unternehmen die Möglichkeit, ihre Botschaft direkt im redaktionellen Umfeld zu platzieren

Universitäten schützen Daten und Infrastruktur

Mehrere Bildungseinrichtungen schränkten ihre Webseiten und IT-Dienste vorsorglich ein: die Freie Universität Berlin, die Humboldt-Universität zu Berlin, die Berliner Hochschule für Technik und das Wissenschaftszentrum Berlin (WZB). Die Humboldt-Universität und das WZB bezeichneten die Maßnahmen als Vorsichtsmaßnahmen zum Schutz von Daten und IT-Infrastruktur. Für Studierende bedeutete das: Manche Informationen waren plötzlich nicht dort abrufbar, wo sie sonst mit zwei Klicks liegen.

Beim Zugriff auf einzelne weiterhin erreichbare Seiten, unter anderem die Berliner Tafel, zeigten Browser wie Google Chrome und Microsoft Edge Sicherheitswarnungen an. Sie warnten vor möglichen Versuchen, Passwörter, Nachrichten oder Kreditkartendaten zu stehlen.

Auch in Brandenburg wurden Online-Dienste mehrerer Einrichtungen vorsorglich abgeschaltet. Die Webseiten der Universität Potsdam und des Klinikums Ernst von Bergmann waren nicht erreichbar. Der Landkreis Dahme-Spreewald nahm Internetdienste wegen der Schwachstellen vorsorglich offline.

Leak setzte Betreiber weltweit unter Druck

Die Sicherheitslücke betrifft zwei kritische Schwachstellen im Kern von PHP. Angreifer könnten sie aus der Ferne ausnutzen, eigenen Schadcode auf Servern ausführen und dadurch Webseiten übernehmen, sensible Kundendaten abgreifen oder betroffene Infrastrukturen für weitere Cyberangriffe missbrauchen. Experten schätzen, dass weltweit allein zwischen 400 und 500 Millionen Webseiten mit WordPress betrieben werden.

Die Schwachstellen waren den PHP-Entwicklern zunächst vertraulich gemeldet worden, während an einer Lösung gearbeitet wurde. Einen Tag vor der geplanten Veröffentlichung des Updates wurden Details zu den Lücken jedoch online geleakt. Das führte zur vorsorglichen Abschaltung zahlreicher Webseiten und setzte die internationale IT-Branche gehörig unter Zeitdruck. Neben dem IT-Sicherheitsunternehmen Huntress und dem PHP-Sicherheitsteam warnte auch das BSI. Die PHP Foundation forderte Nutzer auf, PHP umgehend zu aktualisieren. Heise Security empfahl, PHP-betriebene Webserver vom Netz zu trennen, solange das Sicherheitsupdate nicht installiert ist.

Regierungsbehörden, Unternehmen und Einrichtungen schalteten weltweit Webseiten ab – unter anderem in Deutschland, Frankreich, den Niederlanden, Dänemark, Finnland und Japan. In Deutschland nahmen mehrere Kommunen, Behörden, Universitäten und Krankenhäuser ihre Online-Angebote vorübergehend vom Netz.

Mainz schaltete nach einer Warnung des Bundes mehrere städtische Internetdienste und das zentrale Webportal ab. Auch Potsdam und Halberstadt deaktivierten ihre Webseiten. In Hannover nahm das Verkehrsunternehmen Üstra seine Website vom Netz; dadurch waren auch der Fahrkartenkauf und die Anzeige gekaufter Fahrkarten in der App betroffen.

In den Niederlanden waren unter anderem die Webseiten des Nationalen Zentrums für Cybersicherheit, des Hafens von Rotterdam und des nationalen Fußballverbands nicht erreichbar. Ein kleiner Klick auf eine vertraute Seite war damit plötzlich nicht mehr selbstverständlich – und vielerorts blieb nur die Offline-Variante.