Wer heute auf der Website der Universität Heidelberg nach Informationen sucht, könnte vor einer leeren Seite stehen. Eine neu entdeckte, schwerwiegende Sicherheitslücke in der weit verbreiteten Programmiersprache PHP hat weltweit zahlreiche Internetseiten und Onlinedienste unter Druck gesetzt. Auch in Baden-Württemberg reagierten viele Einrichtungen vorsorglich – darunter die Universität Heidelberg und die Uniklinik Heidelberg.

Der Uniklinikverbund Mannheim-Heidelberg stellte klar: Es handelt sich nicht um einen Cyberangriff, sondern um eine präventive Maßnahme. Die Patientenversorgung sei nicht betroffen. Auch die Uniklinik Mannheim sowie die Universität Mannheim nahmen ihre Internetseiten vorübergehend vom Netz. Ebenso betroffen waren weitere Hochschulen, darunter die DHBW Mosbach.

Webseiten abgeschaltet, Klinikbetrieb läuft weiter

In Freiburg wurden sowohl die Website der Uniklinik als auch die Internetseite der Patienten-App „Meine Uniklinik“ abgeschaltet. Dort sollten Sicherheitsupdates eingespielt und Risiken vermieden werden; der Klinikbetrieb sei nicht beeinträchtigt. Die Universität Tübingen nahm ihre Website für ein Sicherheitsupdate vom Netz. Die Arbeiten begannen gegen 14 Uhr, eine Wiederfreischaltung am Abend wurde erwartet. Über Instagram und weitere Kanäle hielt die Universität ihre Nutzerinnen und Nutzer auf dem Laufenden.

Auch das Karlsruher Institut für Technologie (KIT) sperrte seine Website wegen kritischer Sicherheitslücken vorübergehend. Nach Angaben des KIT erfolgte die Abschaltung kontrolliert. Sobald die Sicherheitssoftware heruntergeladen war, sollte die Seite noch am Nachmittag wieder erreichbar sein. Vorsorglich offline ging außerdem die Homepage der Universität Ulm.

Das klingt im ersten Moment nach digitalem Stillstand, ist aber eher die Variante „lieber einmal zu viel den Stecker ziehen“. Die Institutionen führen Sicherheitsupdates durch, um mögliche Cyberangriffe zu verhindern. Viele Einrichtungen weltweit sind von der Lücke betroffen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) veröffentlichte deshalb eine Warnung.

Hier könnte Ihr Advertorial stehen
Ein Advertorial bietet Unternehmen die Möglichkeit, ihre Botschaft direkt im redaktionellen Umfeld zu platzieren

BSI erwartet Updates am 21. Oktober um 16 Uhr

Nach Angaben des BSI mit Sitz in Bonn vom 21. Oktober 2026 bedrohen kritische Schwachstellen in PHP derzeit Webanwendungen rund um den Globus. Sicherheitsupdates der PHP-Entwickler wurden für den 21. Oktober 2026 um 16:00 Uhr deutscher Zeit erwartet. Nach aktuellem Kenntnisstand sind alle bekannten PHP-Versionen bis mindestens PHP 5 betroffen.

PHP ist ein weltweit verbreiteter zentraler Bestandteil von Webanwendungen. Es kann nicht ausgeschlossen werden, dass Angreifer über die Schwachstellen aus der Ferne Schadcode auf Webservern mit PHP-Anwendungen ausführen. Das BSI warnt vor möglichen großflächigen Angriffskampagnen und einer Kompromittierung von IT-Systemen in unterschiedlichen Bereichen.

BSI-Vizepräsident Thomas Caspers erwartet, dass Angreifer die veröffentlichten Updates mithilfe KI-gestützter Werkzeuge innerhalb weniger Stunden analysieren und daraus Exploits erstellen könnten. Das Zeitfenster für Betreiber ist damit ziemlich schmal – eher Spalt als Tür.

Was Betreiber jetzt prüfen sollen

Das BSI fordert IT-Sicherheitsverantwortliche und Betreiber auf, die Patches unmittelbar nach ihrer Veröffentlichung auf PHP-Webservern zu installieren. Organisationen sollen für diesen Zeitpunkt ausreichende personelle Ressourcen bereithalten und den Patchstatus anhand des Sicherheitsberichts der Entwickler überprüfen. Exponierte PHP-Webserver sollen außerdem verstärkt auf Auffälligkeiten überwacht werden.

Die Warnung betrifft nicht nur Hochschulen. Gefährdet sein können weltweit Webanwendungen, Content-Management-Systeme und Online-Shops – darunter Systeme wie WordPress, TYPO3, WooCommerce und Shopware. Laut den ergänzenden Empfehlungen könnte die Schwachstelle Remote Code Execution ermöglichen: Angreifer könnten aus der Ferne Schadcode auf Webservern ausführen, vertrauliche Daten abgreifen und IT-Systeme vollständig kompromittieren.

Unternehmen sollten deshalb IT-Personal oder externe Dienstleister für eine unverzügliche Reaktion bereitstellen, die Sicherheitsupdates unmittelbar nach ihrer Veröffentlichung auf allen betroffenen Webservern installieren und den Patch-Status anhand des offiziellen Sicherheitsavisories prüfen. Öffentlich erreichbare PHP-Webserver gehören verstärkt auf ungewöhnliche Zugriffe, Lastspitzen und Auffälligkeiten in Server-Logs kontrolliert. Auch aktuelle Backups sämtlicher Server-Systeme sollen sichergestellt werden.

Unternehmensführungen werden aufgefordert, umgehend das IT-Team oder den Systemdienstleister zu informieren. Mögliche Folgen einer Kompromittierung wären Betriebsausfälle, Datenverlust und haftungsrechtliche Konsequenzen. Das BSI veröffentlichte außerdem Kontaktdaten seiner Pressestelle.

An der Universität Heidelberg blieb am 23. Oktober 2026 damit vorerst vor allem Geduld gefragt: Website offline, Sicherheitsarbeit im Hintergrund, die eigentlichen Aufgaben der Hochschule laufen weiter. Und irgendwo wartet schon der nächste Patch – hoffentlich nicht lange.