23. Oktober 2026, Uni Bonn: Wer heute die Internetseiten von Stadt, Universität oder Klinikum aufrufen wollte, konnte vor einer leeren Seite landen. Eine Sicherheitslücke in PHP hat mehrere Angebote aus der Region getroffen. Die Folgen sind noch nicht überall verschwunden.

Für normale Internetnutzer besteht beim alltäglichen Surfen per Smartphone oder PC allerdings kein unmittelbarer Handlungsbedarf. Die Lücke steckt nicht auf den Endgeräten, sondern auf den dahinterliegenden Servern. Das eigene Handy ist also nicht plötzlich unsicher, nur weil eine Website nicht lädt.

Websites wieder erreichbar – aber nicht alles funktioniert

In Siegburg werden die städtischen Internetseiten schrittweise aktualisiert. Dadurch sollen bald wieder alle Dienstleistungen vollständig verfügbar sein. Auch die Stadt Rheinbach meldet, dass ihre Website wieder online ist. Einige digitale Dienstleistungen funktionieren dort jedoch noch nicht.

Von der Störung waren unter anderem die Websites der Stadt Bonn, der Universität und des Klinikums betroffen. Für Studierende und Beschäftigte an der Uni Bonn heißt das: Manches geht wieder, anderes hängt noch. Ein bisschen Geduld, leider.

Warum so viele Seiten betroffen sein können

Das Bundesamt für Sicherheit in der Informationstechnik, kurz BSI, warnt vor einer schwerwiegenden IT-Sicherheitslücke. Betroffen sind zwei kritische Schwachstellen in der weit verbreiteten Programmiersprache PHP. Nach Angaben des Artikels läuft PHP im Hintergrund von rund 70 Prozent aller Webseiten.

Hier könnte Ihr Advertorial stehen
Ein Advertorial bietet Unternehmen die Möglichkeit, ihre Botschaft direkt im redaktionellen Umfeld zu platzieren

Damit könnten zahlreiche Internetangebote von Behörden, Unternehmen und anderen Einrichtungen betroffen sein. Weltweit seien möglicherweise Millionen Webseiten gefährdet. Das BSI warnt vor großflächigen Cyberangriffen und hat die Warnstufe auf 3/Orange gesetzt – „außerordentlich hoch“.

Zahlreiche Kommunen schalteten ihre Webseiten vorsorglich ab. Nach der Veröffentlichung von Software-Updates begann für die betroffenen Stellen ein Wettlauf gegen die Zeit: Die Systeme müssen aktualisiert werden, bevor die Sicherheitslücken ausgenutzt werden können.

Was das BSI veröffentlicht

Das BSI informiert mit IT-Sicherheitsmitteilungen, den sogenannten BITS, über Maßnahmen von Herstellern zu schwerwiegenden oder bereits ausgenutzten Schwachstellen in besonders kritischen IT-Produkten. Außerdem geht es um neue, herausragende Bedrohungen, Angriffsvektoren und Angriffstechniken sowie um Cybersicherheitsvorfälle mit Auswirkungen auf Dritte. Weitere Informationen zu BITS enthält eine Management-Information.

Aktuelle öffentliche BITS und weitere Sicherheitsmitteilungen veröffentlicht das BSI online. Zusätzlich gibt es vertrauliche BITS für bestimmte Zielgruppen. Ihre Einstufung erfolgt nach dem Traffic Light Protocol.

Mitglieder und Teilnehmer bestimmter Kooperationsplattformen können vertrauliche Warnungen per Newsletter abonnieren. Dazu zählen der Verwaltungs-CERT-Verbund (VCV), ein Zusammenschluss der CERTs der öffentlichen Verwaltung in Deutschland, sowie UP KRITIS. Dabei handelt es sich um eine öffentlich-private Kooperation von Betreibern Kritischer Infrastrukturen, deren Verbänden und zuständigen staatlichen Stellen.

Auch die Allianz für Cyber-Sicherheit (ACS) gehört dazu – eine öffentlich-private Kooperation von Unternehmen, Vereinen, Verbänden, Forschungseinrichtungen und weiteren Institutionen zur Stärkung der Cybersicherheit in Deutschland. Der ausführliche Hinweis führt zurück zu „Technische Sicherheitshinweise und Warnungen“ beim BSI.

Die Kurz-URL zu den BSI-Informationen lautet: https://www.bsi.bund.de/dok/BITS. In Bonn und Umgebung bleibt derweil der praktische Teil: Seiten nach und nach wieder öffnen, Updates einspielen, Dienste prüfen. Und manchmal einfach später noch einmal klicken.