Berliner Tageszeitung - Internetseiten weltweit gehen wegen Sicherheitslücke vorsorglich vom Netz

Der US-Geheimdienst National Security Agency (NSA) und das Bundesamt für Sicherheit in der Informationstechnik (BSI) in Bonn hatten wegen der Gefahr von Cyberangriffen zur "umgehenden" Installation eines Sicherheitsupdates geraten. BSI-Vizepräsident Thomas Caspers warnte auch Nutzer vor kompromittierten Websites.

Die Sicherheitslücke könne es Hackern ermöglichen, sich "direkten Zugriff" auf Datensysteme oder Server-Datenbanken zu verschaffen, warnte die NSA. "Kritische Schwachstellen innerhalb der Programmiersprache PHP bedrohen aktuell weltweit Webanwendungen", erklärte das BSI.

Das Sicherheitsupdate wurde am Mittwoch zur Verfügung gestellt. Gelinge es nicht, dieses schnell zu installieren, sollten die Internetseiten vorsorglich abgeschaltet werden, rieten NSA und BSI. Sonst könnten Cyberangreifer Server ohne ein Passwort übernehmen.

PHP ist eine beim Erstellen von Websites und Webanwendungen weltweit verbreitete Programmiersprache. Laut BSI sind vermutlich alle Versionen bis mindestens PHP 5 betroffen. "Wenn Sie PHP einsetzen, ist es zwingend erforderlich, dass Sie jetzt ein Update vornehmen", erklärte die PHP-Stiftung in einem Blogbeitrag.

"Das ist eine der ernstesten Sicherheitslücken der vergangenen Jahre", sagte der CDU-Politiker Henrichmann. Die Schwachstelle betreffe einen Großteil der Websites weltweit und sei damit "ein Problem für die gesamte digitale Infrastruktur". Der Fall zeige auch, wie verwundbar staatliche Einrichtungen seien, wenn zentrale Software über Jahre unentdeckte Fehler enthalte. Solche Sicherheitslücken würden gezielt von Kriminellen und staatlichen Akteuren ausgenutzt.

Betroffen sind nur Websites, die PHP auf eigenen Servern betreiben. Viele große Plattformen basieren auf anderen Programmiersprachen oder verfügen über Betreiber, die das Sicherheitsupdate zügig einspielen konnten, sodass sie weiterhin online bleiben konnten.

Der Digitalverband Bitkom riet Unternehmen, zu prüfen, wo "PHP in ihrer IT überall steckt, auch in älteren Versionen, die keine Updates mehr erhalten". "Viele wissen nicht genau, welche Komponenten in ihrer Software enthalten sind", sagte der Leiter Sicherheit des Verbands, Felix Kuhlenkamp. "Ein solcher Überblick ist aber die Voraussetzung, um in solchen Lagen schnell reagieren zu können."

In Deutschland nahmen am Mittwoch Landes- und Polizeibehörden sowie mehrere Städte ihre Angebote vorsorglich aus dem Netz, um Updates aufzuspielen. In Nordrhein-Westfalen wurden laut dem Landesamt für Zentrale Polizeiliche Dienste "einige Online-Dienste der Polizei NRW als Vorsichtsmaßnahme vorübergehend abgeschaltet". Die Berliner Polizei meldete Ausfälle der "Internetwache", über die Anzeigen gestellt werden können, und verwies auf die Notfallnummer 110. Auch am Donnerstagmorgen war die "Internetwache" nicht verfügbar.

In Frankreich waren die Internetauftritte mehrerer Behörden, unter ihnen die Pariser Polizei, nicht mehr erreichbar. In Belgien war unter anderem die Website des Außenministeriums offline. In den Niederlanden waren der digitale Identitätsdienst DigiD, die Parlamentswebsite und der Internetauftritt des nationalen Cybersicherheitszentrums betroffen.

Nach Angaben der Wikimedia-Stiftung war auch das von ihr betriebene Online-Lexikon Wikipedia betroffen, die Nutzer sollten daher mit Ausfällen rechnen. Auch beliebte Apps wie etwa ein Pokémon-Schlaftracker waren zeitweise nicht nutzbar.

Die Schwachstellen waren im August von der Sicherheitsfirma Calif und dem ChatGPT-Entwickler OpenAI gemeldet worden, die sie unabhängig voneinander am selben Tag entdeckt hatten. Wiz meldete später weitere Möglichkeiten, sie auszunutzen.

Nach Einschätzung von Wiz basieren etwa 70 Prozent der weltweiten Websites auf PHP. Das Unternehmen bezeichnete die Sicherheitslücken als "eine der schwerwiegendsten Schwachstellen, die jemals in PHP - und womöglich in der gesamten Softwaregeschichte - entdeckt wurden."

Die Schwachstellen wurden den PHP-Entwicklern zunächst vertraulich gemeldet und blieben unter Verschluss, während an einer Lösung gearbeitet wurde. Details wurden am Dienstag - einen Tag vor der geplanten Veröffentlichung des Updates - online geleakt. Dies führte zur vorsorglichen Abschaltung vieler Websites.

Laut BSI-Vizepräsidenten Thomas Caspers konnte bis Mittwochabend noch nicht beobachtet werden, "dass eine große Schadwirkung eingetreten ist". "Allerdings, wer heute noch nicht seine Webanwendungen patcht und eben die neueste Version aufspielt, läuft wirklich Gefahr, jetzt sehr kurzfristig dann doch betroffen zu sein", sagte Caspers in den ARD-"Tagesthemen" mit Blick auf die Aktualisierung der Sicherheitsupdates. Es sei davon auszugehen, dass nicht alle Betreiber die Updates installierten. "Dann werden wir auch die ersten Schäden sehen."

Nutzer sind laut Caspers zunächst jedoch nicht betroffen. Allerdings sollten Verbraucher darauf achten "und auch damit rechnen", dass in den nächsten Tagen über möglicherweise kompromittierte Webseiten versucht werden könnte, "Schadgut auch auf ihren Systemen" zu installieren.

L. Brown--BTZ