Sicherheitslücken: Onlinedienste nach kritischen Updates teils wieder erreichbar

Von einer Entwarnung im Netz kann angesichts der weltweiten Sicherheitslücken noch keine Rede sein. Aber Webseiten in Deutschland sind nach und nach wieder erreichbar.

22.10.2026, 08.59 Uhr

Andere Websites sind nach Sicherheitsupdates nach und nach wieder verfügbar.

Beim offiziellen Hauptstadt-Portal berlin.de gab es am Donnerstagmorgen noch Einschränkungen. Ebenso waren einige Krankenhäuser in der Region und Universitäten nur eingeschränkt erreichbar. Die S-Bahn Berlin teilte dagegen in der Nacht mit, ihre Internetseiten stünden wieder uneingeschränkt zur Verfügung.

Am Donnerstagmorgen waren auch viele Internetseiten in Rheinland-Pfalz und im Saarland wieder freigeschaltet.

In Rheinland-Pfalz hatte das Land entschieden, Seiten abzuschalten, die die betroffene Software verwendeten, teilte der IT-Beauftragte der Landesregierung, Fedor Rose, mit. Es gebe keinerlei Hinweise darauf, dass Dritte die Schwachstellen ausgenutzt hätten.

In Saarbrücken waren unter anderem das städtische Webportal sowie die Internetseiten der Stadtwerke, der Saarbahn und des Zentralen Kommunalen Entsorgungsbetriebs (ZKE) betroffen. Die Landeshauptstadt Saarbrücken teilte mit, sie habe die betroffenen Online-Dienste vorsorglich abgeschaltet, um mögliche Sicherheitsrisiken für die städtischen IT-Systeme zu vermeiden. Die Stadt blieb telefonisch und per E-Mail erreichbar. Aktuelle Informationen sollten über ihre Social-Media-Kanäle verbreitet werden.

In Thüringen sind seit dem späten Mittwochabend ebenfalls viele Seiten wieder online, darunter jene der Staatskanzlei, der Landespolizei und des Innenministeriums.

Mehr zum Thema

• 4 Min

Auch mehrere Onlineservices der Polizei in Nordrhein-Westfalen waren nach Behördenangaben wieder am Netz. »Nach intensiven Arbeiten konnten die Seiten wieder in Betrieb genommen werden«, teilte das Landesamt für Zentrale Polizeiliche Dienste mit. Andere prominente Webseiten in Nordrhein-Westfalen waren allerdings auch am Donnerstagmorgen nicht erreichbar.

In Hessen wurden zeitweise viele Internetseiten hessischer Behörden und Ministerien abgeschaltet. Viele sind inzwischen wieder erreichbar. Dazu gehören die Internetseiten der Landesregierung und aller hessischen Ministerien. Die Staatskanzlei hatte am Mittwochabend mitgeteilt, dass die Sicherheitslücke in der weit verbreiteten Programmiersprache PHP »technische Anpassungen« auf hessen.de, den Ministeriumsseiten sowie nachgeordneten Bereichen im Hessen-Web nötig gemacht habe.

Betroffen waren zudem mehrere städtische Internetseiten, darunter auch der Internetauftritt der Stadt Offenbach. »Die vom Netz genommenen Systeme sind alle produktiv geschaltet und können wieder genutzt werden«, teilte die Stadtverwaltung noch am Mittwochabend mit.

Auch China und Südkorea alarmiert

Die Lücke sorgte international für Aufsehen. In China forderte das Industrieministerium Organisationen und Nutzer dazu auf, unverzüglich eine umfassende Überprüfung ihrer IT-Systeme durchzuführen und diese auf die neueste sichere PHP-Version zu aktualisieren. Zudem empfahl das Ministerium, die Überwachung der Cybersicherheit zu verstärken und Konten, Passwörter und Schlüssel rechtzeitig zu ändern. In Südkorea berief das Büro für Nationale Sicherheit eine Krisensitzung zur Cybersicherheit im Zusammenhang mit der PHP-Sicherheitslücke ein. In Finnland hatte das staatliche IT-Zentrum die öffentlichen Webdienste der Regierung als »Vorsichtsmaßnahme« abgeschaltet.

Das steckt hinter dem Ausfall

Hintergrund ist eine entdeckte, schwerwiegende Sicherheitslücke, die weltweit das Fundament zahlreicher Websites und Onlinedienste gefährdet. Kriminelle könnten die Schwachstellen ausnutzen, lautet die Warnung. Nach ersten Berichten haben kriminelle Gruppen bereits begonnen, die Schwachstelle für Angriffe auszunutzen, konkrete Schadensmeldungen fehlen bisher aber.

Betroffen ist die Programmiersprache PHP, auf der ein Großteil der Websites und Online-Anwendungen basiert – von einfachen Blogs über große Nachrichtenportale bis zu komplexen Onlineshops und Content-Management-Systemen wie WordPress.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) gab eine offizielle Cybersicherheitswarnung heraus. Es müssten rasch Sicherheitsupdates installiert werden, hieß es. Von den Schwachstellen gehe ein großes Bedrohungspotenzial aus.

Für normale Internetnutzer bestand beim alltäglichen Surfen auf dem Smartphone oder PC zunächst kein direkter Handlungsbedarf, da sich die Sicherheitslücke nicht auf den Endgeräten der Anwender befindet, sondern auf den Servern im Hintergrund. Dennoch können Verbraucher indirekt betroffen sein – etwa durch Ausfälle wichtiger Onlinedienste oder potenzielle Datenabflüsse auf nicht rechtzeitig geschützten Webseiten.

»Wir erleben einen Wendepunkt«

Der Vorsitzende des Parlamentarischen Kontrollgremiums für die Geheimdienste, Marc Henrichmann, hat angesichts der schwerwiegenden Sicherheitslücke in der Programmiersprache PHP vor einer neuen Dimension der Cyberbedrohung gewarnt. »Wir erleben einen Wendepunkt«, sagte der CDU-Politiker dem »Handelsblatt». Künstliche Intelligenz (KI) mache aus Schwachstellen, die bisher als kaum ausnutzbar gegolten hätten, in kurzer Zeit »echte Einfallstore«

Der Fall zeige auch, wie verwundbar staatliche Einrichtungen seien, wenn zentrale Software über Jahre unentdeckte Fehler enthalte, sagte der CDU-Politiker. Solche Sicherheitslücken würden gezielt von Kriminellen und staatlichen Akteuren ausgenutzt.

Henrichmann begrüßte vor diesem Hintergrund die geplante Stärkung des BSI im Haushaltsentwurf für 2027. »Unsere Sicherheitsbehörden brauchen die Werkzeuge, die Fachleute und die rechtlichen Befugnisse, um in diesem Wettlauf vorn zu bleiben«, sagte er. Zugleich nahm der Abgeordnete Unternehmen und andere Betreiber digitaler Infrastruktur in die Pflicht. »Aber auch jeder zivile Akteur muss endlich begreifen, wie real und folgenschwer Sicherheitslücken im Netz sind.«

mmq/dpa