Die Welt nach dem PHP-Chaos: Ist das Internet kaputt?

Ein grosser Teil des Internets basiert auf Computerprogrammen, die von Freiwilligen entwickelt wurden. Nun schlagen Insider Alarm: Entweder die Szene professionalisiert sich, oder wir werden künftig vermehrt desaströse Hacks erleben.

25.10.2026, 05.30 Uhr

4 Leseminuten

Es war eine verrückte Woche für die globale IT-Sicherheit: Am Mittwoch wurde eine Software-Schwachstelle bekannt, die rund siebzig Prozent aller Websites gefährdete. Über sie versuchten Hacker, vollen Zugriff auf Webserver zu erhalten, die die populäre Programmiersprache PHP nutzen.

Optimieren Sie Ihre Browsereinstellungen

NZZ.ch benötigt JavaScript für wichtige Funktionen. Ihr Browser oder Adblocker verhindert dies momentan.

Bitte passen Sie die Einstellungen an.

Weltweit gingen deswegen Hunderte Websites von Behörden, Unternehmen und Universitäten vorsorglich offline, bis ein Sicherheitsupdate installiert werden konnte. Zeitgleich starteten Hacker laut dem CEO des IT-Unternehmens Cloudflare Millionen von Angriffen. Wie viele davon erfolgreich verliefen, ist noch unbekannt.

Der Zwischenfall hinterlässt bei Kennern der Internet-Infrastruktur einen bitteren Nachgeschmack. Sie warnen seit Jahren vor «Zombie-Code» – also alten, nicht gewarteten und damit potenziell unsicheren Programmen. Der jüngste Schock zeigt nun, wie überfällig ein Kulturwandel in der Internet-Entwicklung ist.

Open-Source-Software: Niemand fühlt sich zuständig

Das Internet basiert zu einem grossen Teil auf einem Programmcode, der von Freiwilligen entwickelt wurde. FOSS nennt man in der IT-Branche diese Art von Code: «Free and Open Source Software». Die Programme sind für alle öffentlich einsehbar. Jeder kann sie herunterladen, sie für seine eigenen Zwecke weiterentwickeln oder eine Firma darauf aufbauen. All das ist gratis.

Tatsächlich basieren fast alle Websites und digitalen Anwendungen auf Open-Source-Projekten. Viele davon erledigen wichtige Teilaufgaben des Internets. Ein gutes Beispiel ist die PHP-Software. Dank ihr können Websites interaktiv dargestellt werden: Mit ihr lassen sich Inhalte zum Beispiel nach einem Log-in personalisieren.

Andere Open-Source-Programme übernehmen andere Aufgaben: FFmpeg bereitet Videos so auf, dass sie auf einem Bildschirm abgespielt werden können. cURL verschiebt Daten und Befehle von einem Computer zum nächsten. Tzdata sagt dem Computer, welche Zeit es in seiner Zeitzone ist. Allein im Web-Bereich, also jenem Bereich der Computerwissenschaften, in dem es ums Internet geht, gibt es Hunderttausende von Open-Source-Projekten.

Vermutlich hat jede Website eine «Zombie-Komponente»

Und so stecken in jeder Website mehrere Stücke von Open-Source-Software. Das macht die Open-Source-Szene zum eigentlichen Fundament des Internets. Doch Experten geben seit Jahren warnend zu bedenken: Viele der Softwares seien instabil wie Treibsand.

So zeigte eine Erhebung der Cybersicherheitsfirma Synopsys aus dem Jahr 2024: Über 70 Prozent aller Open-Source-Projekte enthalten bekannte Sicherheitslücken. Und viele der Programmcodes sind veraltet. Glaubt man ausserdem einer Untersuchung der Cybersicherheitsfirma Black Duck, enthalten über 90 Prozent aller Unternehmensanwendungen Open-Source-Komponenten, die in den vergangenen vier Jahren nicht gewartet wurden.

Vor vier Jahren: Das ist für die Cybersicherheit so etwas wie die Steinzeit. Damals gab es noch keine KI-Chatbots, die sich für Hacking im grossen Stil einsetzen liessen: keinen Claude Fable, zum Beispiel.

Wie gravierend das Risiko ist, das von solch altem Code ausgeht, zeigt eine Auswertung der Cybersicherheitsfirma CVE Find: Seit KI-Modelle starke Hacking-Fähigkeiten entwickelt haben, steigt die Zahl der neu entdeckten Schwachstellen extrem an. Allein im laufenden Monat Oktober wurden bereits 13 000 neue Schwachstellen gefunden, so viele wie in den Jahren 2000 bis 2006 zusammen.

Die allermeisten dieser Schwachstellen sind deutlich weniger gravierend als die PHP-Schwachstellen, die in der vergangenen Woche Schlagzeilen machten. Die betroffene Software ist weniger stark verbreitet, oder der Schaden, den Hacker dank der Schwachstelle anrichten können, ist geringer.

Trotzdem zeigt der starke Anstieg, wie wichtig es wäre, dass Programmcodes regelmässig gewartet werden. Aus diesem Grund nennt Black Duck die veralteten Open-Source-Codes «Zombie-Komponenten». Sie sind ein Problem für Firmen, die ihre Dienste auf ihnen aufbauen.

Desaster wie letzte Woche könnten sich häufen

Experten warnen schon seit Jahren vor den Gefahren, die durch schlecht gewartete Open-Source-Programme entstehen. Der Softwareentwickler Derick Rethans findet dafür drastische Worte: «Finden wir keine Möglichkeit, um mehr Open-Source-Entwickler für ihre Arbeit zu bezahlen, müssen wir künftig mit mehr Vorfällen wie jenem mit der PHP-Schwachstelle rechnen.»

Rethans weiss, wovon er spricht. Er hat jahrelang ohne Bezahlung die PHP-Software weiterentwickelt. Heute ist er angestellt bei der PHP Foundation. Die Stiftung ist ein Glücksfall für die Open-Source-Community. Sie finanziert sich durch Spenden von grossen Tech-Unternehmen, die ihre Dienste unter anderem auf der Software von PHP aufbauen. Dank den Spenden können nebst Rethans zwölf weitere Entwickler zumindest in Teilzeit beschäftigt werden. Sie sind erreichbar, wenn es einen Notfall gibt, und kümmern sich darum, dass Schwachstellen im PHP-Code schnell beseitigt werden. So wie auch diese Woche.

Bei anderen Projekten gibt es keine solche Finanzierung. «Viele – oder sogar die meisten – Open-Source-Projekte werden nur von einer einzigen Person betrieben», sagt Rethans. Selbst falls die Person einen hervorragenden Job gemacht habe: «Was passiert, wenn es eine Sicherheitslücke gibt und die Person gerade nicht erreichbar ist?»

Politik drängt auf eine Professionalisierung

Das Problem ist in der Politik angekommen. Das deutsche Bundeswirtschaftsministerium hat ein Projekt namens Sovereign Tech Fund gegründet. Darüber bezahlt es Entwickler von systemkritischen Open-Source-Systemen.

Auch die USA und die EU investieren in Förderprogramme und Forschung, die der Open-Source-Community zugutekommen. Und grosse Tech-Firmen wie Google, Microsoft, Amazon und Meta finanzieren einerseits Stiftungen wie die PHP Foundation, erlauben andererseits manchen von ihren Angestellten, während der Arbeitszeit ihre Open-Source-Projekte voranzutreiben.

Dies soll zu einer Professionalisierung der Open-Source-Community führen. Allerdings werden sich trotz diesen Bestrebungen nie alle Open-Source-Projekte auf diesem Weg finanzieren lassen. Die Stabilität des Internets wird also zumindest manchmal noch davon abhängen, ob ein überarbeiteter Freiwilliger an einem Sonntagnachmittag seine E-Mails liest.

Ein Artikel aus der «NZZ am Sonntag»

Passend zum Artikel