Eine schwerwiegende IT-Sicherheitswarnung hat am 21. Oktober 2026 zahlreiche öffentliche Einrichtungen in Deutschland zu außergewöhnlichen Vorsichtsmaßnahmen veranlasst. Behörden, Stadtverwaltungen, Universitäten und Krankenhäuser nahmen Internetseiten und einzelne digitale Dienste vorübergehend vom Netz. Hintergrund sind zwei Sicherheitslücken in der weitverbreiteten Programmiersprache PHP. Nach Einschätzung von IT-Sicherheitsexperten könnten Angreifer die Schwachstellen unter bestimmten Voraussetzungen ausnutzen, um in Computersysteme einzudringen oder auf geschützte Daten zuzugreifen. Ob es bereits zu entsprechenden Angriffen oder Datenabflüssen gekommen ist, muss von möglichen Sicherheitsrisiken klar unterschieden werden.
Zahlreiche öffentliche Einrichtungen reagieren auf die Sicherheitswarnung
Die Auswirkungen der bekannt gewordenen Schwachstellen reichen nach den vorliegenden Informationen weit über einzelne Internetseiten hinaus.
In Berlin wurde unter anderem die Internetseite der Charité vorsorglich abgeschaltet. Auch die Internetwache der Berliner Polizei war von Einschränkungen betroffen.
Weitere Maßnahmen wurden aus mehreren Bundesländern gemeldet.
In Mainz nahm die Stadtverwaltung ihr Internetportal und weitere Onlineangebote vorübergehend vom Netz. Auch Dresden schaltete städtische Internetangebote ab.
In Hessen waren das Landesportal und Internetseiten von Ministerien betroffen. Bayern und Baden-Württemberg reagierten ebenfalls mit der zeitweisen Abschaltung von Regierungsseiten.
In Thüringen wurden unter anderem Internetauftritte der Staatskanzlei, mehrerer Ministerien, weiterer Behörden und der Landespolizei vorübergehend deaktiviert.
Auch in Nordrhein-Westfalen kam es zu Einschränkungen. Die Stadt Bochum trennte Webserver vorsorglich vom Netz, während die Ruhr-Universität Bochum den Zugriff auf bestimmte Internetseiten von außerhalb des Universitätsnetzes einschränkte.
Bei der Polizei Nordrhein-Westfalen waren zeitweise auch Möglichkeiten zur Online-Anzeigenerstattung betroffen.
Die Maßnahmen sollen verhindern, dass mögliche Angreifer Sicherheitslücken ausnutzen, bevor entsprechende Schutzmaßnahmen vollständig umgesetzt sind.
Auch Universitätskliniken betroffen
Besondere Aufmerksamkeit verdienen die gemeldeten Einschränkungen bei medizinischen Einrichtungen.
Neben der Berliner Charité reagierten nach den vorliegenden Informationen auch die Universitätskliniken Freiburg, Heidelberg und Mannheim auf die Sicherheitswarnung.
Die Universität Freiburg schaltete zudem zentrale Onlineangebote vorsorglich ab.
Für Patienten und Angehörige können solche Maßnahmen bedeuten, dass bestimmte Informationen oder digitale Kontaktmöglichkeiten zeitweise nicht erreichbar sind.
Wichtig ist jedoch die Unterscheidung zwischen einer abgeschalteten öffentlichen Internetseite und den internen medizinischen Systemen eines Krankenhauses.
Aus der vorübergehenden Nichterreichbarkeit einer Klinikwebseite lässt sich nicht ableiten, dass die medizinische Versorgung beeinträchtigt ist oder Patientendaten entwendet wurden.
Entsprechende Feststellungen wären nur auf Grundlage konkreter Informationen der betroffenen Einrichtungen oder zuständigen Behörden zulässig.
Was steckt hinter den Sicherheitslücken?
Im Mittelpunkt der aktuellen Warnung steht die Programmiersprache PHP, die weltweit auf zahlreichen Webservern eingesetzt wird.
PHP wird unter anderem verwendet, um dynamische Internetseiten, Verwaltungsportale, Onlineshops und weitere webbasierte Anwendungen bereitzustellen.
Werden sicherheitsrelevante Schwachstellen in einer solchen Technologie entdeckt, können unter Umständen sehr viele unterschiedliche Betreiber betroffen sein.
Nach den vorliegenden Berichten handelt es sich um zwei schwerwiegende Fehler, die über einen langen Zeitraum unentdeckt geblieben sein sollen.
Unter bestimmten technischen Voraussetzungen könnten Angreifer die Schwachstellen ausnutzen, um unberechtigte Zugriffe auf Server zu erlangen oder Daten auszulesen.
Ob ein bestimmter Internetauftritt tatsächlich angreifbar ist, hängt jedoch von der eingesetzten Softwareversion, der jeweiligen Serverkonfiguration und vorhandenen Sicherheitsmaßnahmen ab.
Nicht jede Internetseite, die PHP verwendet, ist deshalb automatisch von einem erfolgreichen Angriff bedroht.
Bundesamt für Sicherheit in der Informationstechnik warnt vor möglichen Angriffen
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) bewertet die Situation nach den vorliegenden Berichten als ernst.
BSI-Vizepräsident Thomas Caspers warnte demnach vor der Möglichkeit, dass Cyberkriminelle die bekannt gewordenen Schwachstellen sehr schnell für Angriffe nutzen könnten.
Ein besonderes Risiko besteht darin, dass veröffentlichte Sicherheitsupdates von Angreifern untersucht werden können, um daraus Rückschlüsse auf die zuvor vorhandenen Schwachstellen zu ziehen.
Auch künstliche Intelligenz kann bei solchen Analysen eingesetzt werden und die Entwicklung von Angriffsmethoden beschleunigen.
Daraus folgt allerdings nicht, dass bereits eine groß angelegte Angriffswelle stattgefunden hat.
Die Warnungen beziehen sich zunächst auf das technische Gefährdungspotenzial und die Möglichkeit einer schnellen Ausnutzung.
Künstliche Intelligenz soll bei der Entdeckung geholfen haben
Bemerkenswert ist auch die Rolle künstlicher Intelligenz bei der Identifizierung der Sicherheitsprobleme.
Nach Angaben aus der IT-Sicherheitsbranche wurden die Schwachstellen mithilfe moderner KI-gestützter Analyseverfahren entdeckt.
Demnach soll das Sicherheitsunternehmen Calif unter Einsatz eines KI-Modells eine der Schwachstellen identifiziert haben. Das Unternehmen Wiz soll unabhängig davon beide Sicherheitslücken festgestellt haben.
Die Entdeckungen verdeutlichen, dass künstliche Intelligenz zunehmend auch bei der Untersuchung komplexer Software eingesetzt wird.
Sie kann Sicherheitsexperten dabei unterstützen, ungewöhnliche Programmabläufe und mögliche Fehlerquellen zu erkennen.
Gleichzeitig besteht die Gefahr, dass vergleichbare Technologien von Kriminellen verwendet werden, um Angriffsmöglichkeiten schneller zu identifizieren.
Sicherheitsupdates stehen zur Verfügung
Nach den bisherigen Informationen haben die zuständigen PHP-Entwickler bereits Sicherheitsupdates bereitgestellt, mit denen die entdeckten Schwachstellen geschlossen werden sollen.
Für Betreiber betroffener Systeme kommt es nun darauf an, die erforderlichen Aktualisierungen möglichst schnell und fachgerecht einzuspielen.
Dabei müssen gegebenenfalls auch weitere Softwarekomponenten und Abhängigkeiten berücksichtigt werden.
Bis zur erfolgreichen Absicherung kann es sinnvoll sein, gefährdete Dienste vorübergehend nicht öffentlich erreichbar zu machen.
Die Abschaltung einer Internetseite ist in diesem Zusammenhang eine vorsorgliche Schutzmaßnahme und kein Beweis für einen bereits erfolgten Cyberangriff.
Was bedeutet die Situation für Verbraucher?
Für gewöhnliche Internetnutzer besteht nach den bislang vorliegenden Informationen zunächst kein Anlass, allein wegen dieser PHP-Schwachstellen ihre Computer oder Smartphones als unmittelbar betroffen anzusehen.
Die beschriebenen Sicherheitsprobleme betreffen in erster Linie serverseitige Software.
Dennoch können Verbraucher mittelbar Auswirkungen spüren.
So könnten Behördenportale, digitale Verwaltungsleistungen, Terminbuchungssysteme oder Online-Anzeigen zeitweise nicht erreichbar sein.
Wer eine dringende behördliche Angelegenheit erledigen muss, sollte prüfen, ob alternative Kontaktmöglichkeiten angeboten werden.
Besondere Vorsicht ist außerdem bei Nachrichten angebracht, die angeblich über die Sicherheitsprobleme informieren und zur Eingabe persönlicher Daten auffordern.
Kriminelle könnten die öffentliche Aufmerksamkeit für die IT-Warnungen nutzen, um gefälschte E-Mails oder betrügerische Internetseiten zu verbreiten.
Verbraucher sollten deshalb keine unbekannten Links öffnen, nur weil eine Nachricht mit einer angeblichen Sicherheitsaktualisierung oder behördlichen Warnung begründet wird.
Fazit: Vorsorgliche Abschaltungen sollen größere Schäden verhindern
Die bundesweiten Einschränkungen bei Behörden, Universitäten und Krankenhäusern verdeutlichen, wie stark öffentliche Einrichtungen inzwischen von einer funktionierenden und sicheren digitalen Infrastruktur abhängig sind.
Sicherheitslücken in weitverbreiteter Software können erhebliche Risiken verursachen, insbesondere wenn zahlreiche Einrichtungen vergleichbare technische Komponenten einsetzen.
Die vorsorgliche Abschaltung betroffener Internetangebote ist deshalb grundsätzlich eine nachvollziehbare Maßnahme, solange die sichere Nutzung nicht gewährleistet werden kann.
Entscheidend ist jedoch die sachliche Einordnung: Die Entdeckung schwerwiegender Sicherheitslücken bedeutet nicht automatisch, dass Behörden gehackt, Patientendaten gestohlen oder Verwaltungsnetze kompromittiert wurden.
Ob und in welchem Umfang tatsächlich Sicherheitsvorfälle stattgefunden haben, muss gesondert untersucht werden.
Für die betroffenen Einrichtungen steht nun die möglichst schnelle und sichere Wiederherstellung ihrer digitalen Angebote im Mittelpunkt. Verbraucher müssen währenddessen gegebenenfalls mit vorübergehenden Einschränkungen bei öffentlichen Onlinediensten rechnen.
