INTERVIEW - PHP-Panne: «Manche werden auch nach dem hundertsten Weckruf nicht wach», sagt ein Experte für Cybersicherheit

Interview

PHP-Panne: «Manche werden auch nach dem hundertsten Weckruf nicht wach», sagt ein Experte für Cybersicherheit

Manuel Atug sieht Hacker im KI-Zeitalter im Vorteil. Und er fordert: Die Verantwortung für Cybersicherheit in Firmen und Behörden müsse eingehalten werden – auf höchster Führungsebene.

25.10.2026, 05.30 Uhr

6 Leseminuten

Zwei Schwachstellen in der Skriptsprache PHP sorgten diese Woche für Chaos im Internet. Zahlreiche Websites wurden vom Netz genommen aus Angst, dass sie gehackt werden könnten. PHP sorgt bei rund 70 Prozent aller Websites weltweit dafür, dass Nutzer Inhalte eingeben und abrufen können.

Optimieren Sie Ihre Browsereinstellungen

NZZ.ch benötigt JavaScript für wichtige Funktionen. Ihr Browser oder Adblocker verhindert dies momentan.

Bitte passen Sie die Einstellungen an.

Eine KI vom Chatbot-Entwickler Open AI hatte zwei gravierende Sicherheitslücken in PHP gefunden. Hacker können die Schwachstellen ausnutzen, um aus der Ferne die Kontrolle über Webserver zu übernehmen alle Daten der Nutzer zu kopieren oder die Webseiten zu manipulieren. Dafür müssen sie sich nicht einmal einloggen.

Ein entsprechendes Update am Donnerstag um 16 Uhr hätte für Schutz sorgen sollen. Doch wegen eines Leaks wurden die Schwachstellen vorzeitig bekannt. Das gab Hackern potenziell viel Zeit, die Schwachstellen auszunutzen, bevor die Betreiber von Websites das Update installieren konnten.

Manuel Atug ist Informatiker und Experte für Cybersicherheit. Er berät die deutsche Regierung zu Fragen der Cybersicherheit und des digitalen Bevölkerungs- und Katastrophenschutzes und ist Gründer der unabhängigen Arbeitsgruppe Kritische Infrastrukturen sowie Experte der Exekutivagentur für die Forschung der Europäischen Union.

Im Gespräch erklärt er, welche Auswirkungen der Vorfall in den kommenden Wochen und Monaten noch haben könnte, weshalb Hacker im KI-Zeitalter immer noch im Vorteil sind und warum eine konsequentere Haftbarmachung auf höchster Führungsebene in Unternehmen und Behörden dringend notwendig ist, um die Sicherheitsrisiken in den Griff zu bekommen.

Frage: Herr Atug, wie schlimm war dieser Sicherheitsvorfall wirklich?

Antwort: Es war schon sehr schlimm. Auf einer Skala von 0 bis 10 bekamen die Schwachstellen eine Bewertung von 9,2. Das zeigt, wie kritisch die Sicherheitslücken sind. Hinzu kommt die grosse Reichweite: Rund 70 Prozent aller Websites im Internet verwenden PHP. Ausserdem ist es relativ einfach, die nun entdeckten Schwachstellen auszunutzen. Auf Social Media gab es sehr schnell detaillierte Anleitungen dafür.

Frage: In letzter Zeit häufen sich die Meldungen über Sicherheitslücken im Internet. Was war bei diesem jüngsten Vorfall anders?

Antwort: Viele sind besorgt, weil in diesem Fall KI involviert war. Aber KI hat hier als Software zur Automatisierung einfach das Finden der Schwachstellen beschleunigt. Das ist im Grunde eine gute Sache und nicht besonders spektakulär. Es ist gut, wenn man Schwachstellen in Internetsoftware findet und behebt. Besonders an diesem Fall war, dass der CEO einer Firma die Information über die Schwachstellen eigenmächtig und vor der Sperrfrist mit der ganzen Welt teilte. Das war ein Fall gelebter Ignoranz in der Führungsebene.

Frage: Warum?

Antwort: Weil man in solchen Fällen das übliche Prozedere beachten muss. Man darf nicht verantwortungslos eine Schwachstelle publik machen, bevor alle Zeit hatten, die Sicherheitslücke zu schliessen.

Frage: In diesem Fall hätte aber eine einfache Anfrage an einen KI-Chatbot genügt, um die Schwachstellen zu finden. Deshalb entschied sich dieser CEO, die Welt öffentlich zu alarmieren. Er dachte, jeder hätte die Schwachstelle mithilfe von KI finden können.

Antwort: So hat er die Welt akut und unnötig gefährdet. Jede Schwachstelle kann im Prinzip irgendwann entdeckt werden, auch ohne KI. Aber noch einmal: Die ganze Welt zu informieren, ohne sich mit anderen abzusprechen, so dass sie Zeit haben, das Problem zu beheben, ist verantwortungslos.

Frage: Haben wir es hier also mit einem menschlichen Fehler zu tun?

Antwort: Ja. Hier hat jemand naiv gedacht, er habe schnelle, einfache Antworten auf eigentlich komplexe Fragen.

Frage: Was können Internetnutzer jetzt tun, um ihre Daten zu schützen?

Antwort: Jeder sollte sich überlegen: Wo sind Websites und Portale, auf denen ich Daten eingegeben habe? Dann sollte man alle Daten löschen, die für die Nutzung dieser Internetdienste nicht unbedingt notwendig sind. Ausserdem hat jeder Daten auf Plattformen, die er nicht mehr oder kaum nutzt. Dort sollte man mit dem Aufräumen anfangen.

Frage: Das kann unter Umständen sehr aufwendig sein.

Antwort: Ja, aber man hat sich auch den Aufwand gemacht, die Daten einzugeben. Also sollte man jetzt den gleichen Aufwand nicht scheuen, die Daten zu löschen. Man muss das nicht alles gleich machen, sondern sich die Arbeit über die nächsten Wochen oder Monate einteilen. Ich empfehle ohnehin mindestens einmal im Jahr eine Art digitalen Frühjahrsputz. Niemand will seine Daten in den Händen von Kriminellen wissen oder dass Stalker die eigene Wohnadresse erfahren. Und ja: Eine Adresse oder eine Telefonnummer kann man ändern. Aber viele unserer Daten bleiben für den Rest des Lebens relevant und unveränderlich, etwa das Geburtsdatum oder der Fingerabdruck.

Frage: Nun sind aber nicht nur private Nutzer von diesen Lücken betroffen. Auch Behörden, Spitäler oder sogar Regierungsstellen könnten Datenlecks erlitten haben. Was sollten diese Institutionen tun, um die wachsenden Cyberrisiken zumindest abzumildern?

Antwort: Das Erste ist, dass Geschäfts- und Behördenleiter den Datenschutz und die Datensicherheit zur Chefsache machen. Es genügt nicht, alles an die IT-Abteilungen zu delegieren. Wir haben eigentlich Gesetze, die die Haftung in diesem Bereich auf höchster Führungsebene verorten. Aber das grosse Problem ist, dass die Rechtsdurchsetzung noch nicht konsequent genug ist.

Frage: In diesem Fall haben aber viele schnell reagiert und Websites offline genommen.

Antwort: Ja, das ist eine positive Erkenntnis. Vor fünf oder zehn Jahren hätten nicht so viele so schnell gehandelt. Das zeigt, dass das Bewusstsein für die Gefahren wächst. Aber an vielen Stellen ist dieses Bewusstsein noch nicht scharf genug. Auch bei diesem Vorfall haben viele Betreiber von Websites herumgetrödelt und dadurch grosse Schäden riskiert.

Frage: Wenn Angreifer mithilfe von KI Sicherheitslücken schneller ausnutzen können, muss auch die Cybersicherheit mehr KI einsetzen, um Schritt halten zu können?

Antwort: Das kann man leider nicht so pauschal sagen. Denn dafür ist KI noch zu fehleranfällig. Stellen Sie sich vor, Sie betreiben einen Online-Shop und die KI nimmt die Website sicherheitshalber, aber unnötig vom Netz. Da können Sie dann durch die ausfallenden Verkäufe viel Geld verlieren. In vielen Fällen sind automatisierte Lösungen, die ohne KI auskommen, besser. Aber vollständige Automatisierung ist immer gefährlich, es braucht immer noch erfahrene Menschen, die im Notfall eingreifen können.

Frage: Heisst das dann, dass die Angreifer immer im Vorteil sein werden?

Antwort: Die Angreifer werden immer im Vorteil sein, weil sie sich um Kollateralschäden keine Gedanken machen. Wenn bei einem Cyberangriff nicht alles genau nach Plan läuft, ist das dem Hacker in der Regel relativ egal. Hauptsache, er erreicht sein Ziel. Ein Verteidiger muss präziser vorgehen, weil er Nutzen und Kosten seiner Abwehraktionen abwägen muss, wie im Beispiel des Online-Shops.

Frage: Beim jüngsten Vorfall sind keine Datenlecks bekannt geworden. Für wie wahrscheinlich halten Sie es, dass über die nächsten Wochen oder Monate solche Meldungen auftreten?

Antwort: Die Wahrscheinlichkeit ist sehr hoch, denn viele Websites verwenden veraltete Versionen von PHP, und viele installieren die Updates nicht gleich. Wir könnten wieder eine Situation erleben wie 2021, als Hafnium, eine chinesische Tätergruppierung, auch ohne KI massenhaft vorhandene Schwachstellen in Microsoft-Mail-Servern über mehrere Monate hinweg ausnutzte. Damals waren Zehntausende Systeme in Deutschland betroffen, weil die Schwachstellen nicht rechtzeitig behoben wurden.

Frage: Wie viele von diesen Servern, die eine veraltete PHP-Version verwenden, sind bei kritischer Infrastruktur im Einsatz?

Antwort: Bei den kritischen Infrastrukturen ist sehr oft das Webportal gar nicht Teil der kritischen Dienstleistung. PHP kommt aber auch in den Webschnittstellen zum Einsatz, die die Systemadministratoren benutzen, um kritische Infrastrukturen zu bedienen. Wir reden von Firewalls, Netzwerkroutern oder Sicherheitssystemen. Diese Komponenten wären vom Vorfall betroffen. Angreifer könnten in diese Teile der Infrastruktur eindringen und von dort aus Störungen oder gar Ausfälle der kritischen Dienste bewirken. Das ist nicht nur ein theoretisches Risiko, sondern sehr realistisch. Ob es dazu kommt, wird die Zeit zeigen.

Frage: Heisst das, dass auch unsere WLAN-Router zu Hause gehackt werden könnten?

Antwort: Ja, Hacker können sich in diese Router aus der Ferne einschleusen und die Kontrolle darüber übernehmen. Sie könnten so Einstellungen ändern, Daten kopieren oder die Router zum Absturz bringen.

Frage: Was ist die wichtigste Lehre, die wir aus diesem Vorfall ziehen sollten?

Antwort: Die gute Nachricht: Viele Unternehmen und Behörden haben schneller als früher reagiert und anfällige Websites zeitnah offline genommen. Das zeigt, dass die Wahrnehmung des Problems und die Verantwortung zunehmen.

Frage: Und die schlechte Nachricht?

Antwort: Dass es leider noch manche gibt, die nie wach werden – auch nach dem hundertsten Weckruf nicht – und die Risiken verkennen. Deshalb braucht es dringend eine konsequentere Rechtsdurchsetzung, die die Verantwortlichen in den Chefetagen von Behörden und Unternehmen haftbar macht.

Ein Artikel aus der «NZZ am Sonntag»

Passend zum Artikel