Schwere PHP-Sicherheitslücke: Bayerns Behörden schalten Homepages vorsorglich ab

Wegen einer weltweiten gravierenden Sicherheitslücke haben auch bayerische Behörden und Einrichtungen Webseiten vorübergehend vom Netz genommen. Die Homepages mehrerer Ministerien und der Polizei waren am Nachmittag nicht mehr zugänglich. «Aus sicherheitstechnischen Gründen ist dieses Webangebot aktuell leider nicht verfügbar», war dort teils als Hinweis zu lesen. 

Auch andere Behörden und Einrichtungen wie die Stadtverwaltungen von München und Augsburg, das Landratsamt Rhön-Grabfeld, das Augsburger Uniklinikum oder das Klinikum Nürnberg waren nicht erreichbar, ebenso waren bayerische Unternehmen betroffen. Die Internetseite der bayerischen Polizei ging am frühen Mittwochabend dann wieder ans Netz.

Hintergrund ist eine neu entdeckte, schwerwiegende Sicherheitslücke, die derzeit weltweit das Fundament zahlreicher Webseiten und Onlinedienste ins Wanken bringt. Betroffen ist die weit verbreitete Programmiersprache PHP, auf der ein Großteil des gesamten Internets basiert - von einfachen Blogs über große Nachrichtenportale bis hin zu komplexen Onlineshops und Content-Management-Systemen wie WordPress.

Abschalten von Internetseiten als Vorsichtsmaßnahme

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) und Bayerns Landesamt für Sicherheit in der Informationstechnik (LSI) hatten Alarm geschlagen und Warnungen herausgegeben. Das LSI stuft die Schwachstelle darin als «kritisch» ein. Eine LSI-Sprecherin sagte, das Herunterfahrten von Webseiten der Staatsregierung sei «eine reine Vorsichtsmaßnahme» gewesen, um eine sofortige Ausnutzung der Schwachstelle für Angriffe zu unterbinden. «Bislang gibt es keine Anzeichen für einen Hackerangriff.»

Die Entwickler des PHP-Projektes kündigten umgehend die Veröffentlichung eines Sicherheitspatches an. Das BSI riet Betreibern von Internetangeboten aber explizit, ihre Server im Zweifel komplett vom Netz zu nehmen.

Das bayerische Innenministerium bestätigte am Nachmittag, man habe den eigenen Internetauftritt auf Empfehlung von BSI und LSI vorsorglich vom Netz genommen. Das Update laufe bereits, die Internetseite solle danach wieder online sein. Man gehe davon aus, dass die Unterbrechung etwa eine Stunde dauern werde, sagte eine Sprecherin.