Kantone, Spitäler, KMU: In der Schweiz waren Tausende Websites von der gefährlichen Sicherheitslücke betroffen

Kantone, Spitäler, KMU: In der Schweiz waren Tausende Websites von der gefährlichen Sicherheitslücke betroffen

Um einen Hackerangriff zu verhindern, haben Behörden, Universitäten und Firmen ihre Websites vorübergehend vom Netz genommen. Die Schadensbilanz ist noch unklar.

Valentina Rötheli22.10.2026, 19.48 Uhr

3 Leseminuten

Die Website des Universitätsspitals Zürich (USZ) war plötzlich offline. Bürger im Kanton Neuenburg konnten die Website ihrer Gemeinde nicht mehr abrufen. Ein KMU konnte nicht mehr auf das System für die Lohnabrechnung zugreifen.

Optimieren Sie Ihre Browsereinstellungen

NZZ.ch benötigt JavaScript für wichtige Funktionen. Ihr Browser oder Adblocker verhindert dies momentan.

Bitte passen Sie die Einstellungen an.

Eine Sicherheitslücke in der weitverbreiteten Programmiersprache PHP hat auch die Schweiz stark getroffen. Tausende Websites und Softwarelösungen für Unternehmen waren vorübergehend nicht verfügbar. Websites sollten damit vor Hackerangriffen geschützt werden, bis die Sicherheitslücke durch Updates geschlossen wurde.

Besonders betroffen waren KMU. Viele von ihnen kaufen Softwarelösungen für Buchhaltung, Spesenmanagement oder Zeiterfassung von externen Dienstleistern ein. Einer dieser externen Dienstleistern ist Bexio, die seit 2018 zum Versicherungsunternehmen Mobiliar gehört. Die Software des Unternehmens fiel am Mittwoch für Stunden aus.

Aktiv informiert hat das Unternehmen die Kunden offenbar nicht. Das bestätigt ein Schweizer KMU, welches mehrere Softwarelösungen von Bexio nutzt. Bexio habe nur auf der eigenen Website auf die Sicherheitslücke hingewiesen, sagt der Geschäftsleiter der betroffenen Firma. Auf Anfrage der NZZ hat Bexio zunächst nicht reagiert.

Für Schweizer KMU sind solche extern eingekauften Softwaredienstleistungen zentral. Sie haben oft nicht die Ressourcen, um für Lohnzahlungen oder Rechnungsstellung eigene Systeme zu betreiben. Die Vorteile von solchen extern eingekauften Dienstleistungen würden überwiegen, sagt der KMU-Geschäftsleiter.

Trotzdem macht ihm diese Abhängigkeit Sorgen. Wenn man für ein paar Stunden keine Rechnungen versenden könne, sei das nicht so schlimm. Aber wenn beispielsweise Lohnzahlung oder Arbeitszeitabrechnung nicht mehr funktionierten, dann sei das problematischer.

Auch Kantone und Spitäler betroffen

Nicht nur KMU, auch zahlreiche Websites und Systeme von kantonalen Verwaltungen und Spitälern mussten wegen der Sicherheitslücke abgeschaltet werden. Der Kanton-Basel Stadt hat am Mittwochmorgen dazu einen Krisenstab einberufen und die entsprechenden Websites per sofort vom Netz genommen.

Der Kanton Freiburg musste über 30 Mitarbeiter aus dem Amt für Informatik mobilisieren, um die durch die Sicherheitslücke gefährdeten Systeme zu identifizieren und die notwendigen Softwareupdates einzuleiten. Die Situation sei jetzt unter Kontrolle, schreibt der Kanton.

Neben der Website des Universitätsspitals Zürich war auch diejenige der Insel Gruppe betroffen. Es war vorübergehend nicht möglich, auf diese zuzugreifen. Die beiden Spitäler betonen, dass der Spitalbetrieb dadurch nicht beeinträchtigt gewesen sei.

Weltweit trifft es Hunderttausende Websites

Am Mittwoch und Donnerstag sind wegen der Sicherheitslücke in der Programmiersprache PHP weltweit Hunderttausende Websites vorsorglich abgeschaltet worden. KI-Systeme hatten die Schwachstellen aufgespürt. Mit PHP können Websites erstellt werden – vom einfachen Blog bis zu komplexen Systemen wie Wordpress, die zur Verwaltung von Website-Inhalten dienen. Rund 70 Prozent der Websites weltweit basieren auf PHP.

Das Bundesamt für Cybersicherheit (BACS) hatte bereits am Mittwoch vor zwei kritischen Schwachstellen gewarnt. Wie viele Websites von Schweizer Behörden und Unternehmen betroffen waren, konnte das BACS auf Anfrage nicht genau sagen. Wie SRF schreibt hat allein die Basler Firma Cyon, ein Host von Websites von Vereinen, KMU oder Konzernen, über 100 000 Websites vorübergehend vom Netz genommen.

Bundesamt gibt noch keine Entwarnung

Die Sicherheitslücke ist kritisch, weil sie ein Einfallstor für Hacker ist. Diese können ohne Anmeldung auf den Code einer Website zugreifen und sie übernehmen. Nicht nur Internetseiten, auch unternehmensinterne Tools, beispielsweise für die Buchhaltung, basieren auf PHP. Ein Angriff von Hackern birgt die Gefahr, dass diese Zugriff zu heiklen Daten erlangen. Der Internetkonzern Cloudflare hat laut Medienberichten Millionen von Angriffsversuchen registriert, schreibt dessen CEO auf X.

Die Schwachstellen können mit Sicherheitsupdates von PHP behoben werden. Betroffene Systeme sollten so schnell wie möglich aktualisiert werden, schrieb das BACS. Wenn ein sofortiges Update nicht möglich sei, solle eine vorübergehende Ausserbetriebnahme geprüft werden solle. Das Update war jedoch erst ab Mittwochnachmittag verfügbar. Bis dann blieben die Sicherheitslücken bestehen.

Inzwischen konnten die meisten Websites und Systeme der Kantone und Spitäler aktualisiert und wieder in Betrieb genommen werden. Angefragte Kantone und Spitäler schreiben, dass Spezialisten die IT-Infrastruktur nach wie vor eng überwachen. Einige wenige Internetseiten und intern genutzte Software von Behörden bleiben aber weiterhin offline.

Dem Bundesamt für Cybersicherheit waren bis zum frühen Donnerstagabend keine Angriffe bekannt, die auf die PHP-Sicherheitslücke zurückzuführen sind. Es sei aber möglich, dass Vorfälle noch nicht erkannt oder gemeldet worden seien.

Passend zum Artikel