„Millionen“ Hacker-Versuche – was die weltweite Sicherheitslücke für Internetnutzer bedeutet

Eine gravierende Sicherheitslücke in der Programmiersprache PHP versetzt derzeit die IT-Welt und Betreiber von Webseiten in Aufruhr. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) und internationale Experten warnen vor akuter Gefahr. Die wichtigsten Fragen und Antworten im Überblick:

Was genau ist passiert und wie schwer wiegt das Problem?

In der weitverbreiteten Programmiersprache PHP, die als technisches Fundament für einen Großteil aller weltweiten Webseiten dient, wurden zwei extrem kritische Schwachstellen entdeckt. Unter dem Namen „PHP2Shell“ (registriert unter CVE-2026-109618 und CVE-2026-109619) ermöglichen diese Fehler Kriminellen, aus der Ferne eigenen Schadcode auf Servern auszuführen. Weil dadurch eine vollständige Übernahme betroffener Systeme droht und die Details der Lücke vorab unbeabsichtigt an die Öffentlichkeit gelangten, stufen Behörden und IT-Sicherheitsexperten die Lage als außerordentlichen Notfall ein. Viele Webseitenbetreiber haben ihre Internetauftritte vorsorglich vom Netz genommen – darunter auch zahlreiche Behörden in Deutschland.

Wie ist die Lage in Deutschland?

Am Morgen waren manche Angebote wieder freigeschaltet, darunter viele Internetseiten in Rheinland-Pfalz und im Saarland. Auch in Thüringen waren seit dem späten Mittwochabend viele Seiten wieder online, darunter die von Staatskanzlei, Landespolizei und Innenministerium.

In Baden-Württemberg waren teils Hinweise auf Wartungsarbeiten zu lesen. „Die Maßnahme dient dem vorsorglichen Schutz der Infrastruktur, bis die Entwickler die erforderlichen Sicherheitsupdates bereitstellen“, teilte das Staatsministerium mit.

Auch in Nordrhein-Westfalen waren am Morgen manche prominenten Webseiten weiter nicht erreichbar. Mehrere Online-Services der NRW-Polizei waren nach Behördenangaben dagegen wieder am Netz. „Nach intensiven Arbeiten konnten die Seiten wieder in Betrieb genommen werden“, teilte das Landesamt für Zentrale Polizeiliche Dienste mit.

Sind meine persönlichen Daten auf Online-Portalen oder in Onlineshops in Gefahr?

Ja, indirekt besteht ein Risiko. Wenn eine Website, ein Bürgerportal oder ein Onlineshop die betroffene PHP-Version nutzt und nicht rechtzeitig geschützt wurde, können Angreifer über den Schadcode Zugriff auf die dahinterliegenden Datenbanken erlangen. Dadurch könnten sensible Kundendaten, Passwörter oder Kontaktdaten abfließen.

Auf den Endgeräten der Nutzer selbst (wie Smartphones, Tablets oder PCs) besteht jedoch keine direkte Gefahr; die Schwachstelle liegt ausschließlich auf den Servern der Webseitenbetreiber im Hintergrund.

Welche Rolle spielt bei der PHP-Krise die Künstliche Intelligenz?

Bislang ist nicht genau bekannt, wie die PHP-Fehler entdeckt worden sind. Es spricht aber viel dafür, dass sie durch den massiven Einsatz von Künstlicher Intelligenz aufgespürt wurden – auch weil die Sicherheitslücken zuvor jahrzehntelang übersehen worden waren. KI spielt aber auch bei dem Bedrohungsszenario eine Rolle. Angreifer können Künstliche Intelligenz einsetzen, um die Schwachstellen der ungeschützten PHP-Server zu scannen und Angriffe in Sekundenschnelle ohne manuellen Aufwand im großen Stil vorzunehmen. KI wirkt in dieser Krise somit als Katalysator auf beiden Seiten – beim Angreifen wie beim Verteidigen.

Weltweit habe es „Millionen“ Versuche von Hackern gegeben, die Schwachstelle auszunutzen, sagte der Chef des IT-Unternehmens Cloudflare, Matthew Prince, dem britischen Sender Sky News.

Wie kann ich als Betreiber einer eigenen Webseite prüfen, ob ich sicher bin?

Betreiber von Webseiten – egal ob Blogs, Vereinshomepages oder Webseiten von Unternehmen und öffentlichen Einrichtungen – müssen die verwendete PHP-Version ihrer Serverumgebung prüfen. Das Entwicklerteam hat am Mittwoch entsprechende Notfall-Updates bereitgestellt. Große Webhoster wie Ionos haben bereits in ihren Systemen die PHP-Version aktualisiert, sodass zumindest diejenigen Websites geschützt sind, die automatische Sicherheitsupdates vorgesehen haben.

Wie geht es jetzt weiter und wann ist die Gefahr gebannt?

Die weltweite Welle automatisierter Angriffe läuft derzeit an und wird voraussichtlich noch über Wochen und Monate hinweg andauern, da Angreifer unermüdlich nach ungepatchten Systemen suchen. Entwarnung kann erst gegeben werden, wenn die breite Masse der Webhoster und Systemadministratoren die Sicherheitsupdates eingespielt hat. Systeme und veraltete PHP-Versionen, für die es keine offiziellen Updates mehr gibt, müssen von den Betreibern isoliert oder unverzüglich abgeschaltet werden, um dauerhafte Einfallstore für Cyberkriminelle zu verhindern.