Dresden/Schwerin. Eine schwerwiegende Sicherheitslücke in der weitverbreiteten Programmiersprache PHP sorgt am Mittwoch, dem 21. Oktober 2026, weltweit für erhebliche Probleme. Zahlreiche Behörden, Unternehmen und öffentliche Einrichtungen haben ihre Internetseiten vorsorglich abgeschaltet. Betroffen sind auch ostdeutsche Städte: In Dresden ist der städtische Internetauftritt nicht erreichbar, in Schwerin wurden neben dem Stadtportal auch Webseiten von Schulen und der Volkshochschule vom Netz genommen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt vor möglichen Cyberangriffen.
Angreifer könnten Schadcode auf Servern ausführen
Hintergrund sind kritische Schwachstellen in PHP. Die Programmiersprache bildet die technische Grundlage zahlreicher Webseiten und Internetanwendungen.
Unter bestimmten Voraussetzungen könnten Angreifer die Sicherheitslücken ausnutzen, um aus der Ferne schädliche Programme auf betroffenen Servern auszuführen.
Je nach Konfiguration und Zugriffsrechten wären dadurch weitere Angriffe auf angeschlossene Systeme, der Zugriff auf vertrauliche Informationen oder die Manipulation von Internetangeboten möglich.
Die Gefahr betrifft nicht automatisch jede Webseite, die PHP verwendet. Entscheidend sind unter anderem die eingesetzte Softwareversion und die jeweilige technische Konfiguration.
Für Betreiber verwundbarer Systeme besteht jedoch dringender Handlungsbedarf.
Dresden nimmt gesamten Internetauftritt vorsorglich offline
Die sächsische Landeshauptstadt reagierte am Mittwoch mit einer weitreichenden Vorsichtsmaßnahme.
Die Webseite dresden.de und weitere städtische Internetangebote wurden vorübergehend abgeschaltet.
Nach Angaben der Stadt handelt es sich ausdrücklich um eine vorbeugende Maßnahme. Ein erfolgreicher Angriff auf die städtischen Systeme sei bislang nicht festgestellt worden.
Die Stadtverwaltung will die erforderlichen Sicherheitsupdates installieren und die Angebote anschließend wieder freigeben.
Nach der bisherigen Planung sollen die Internetseiten voraussichtlich am Donnerstag, dem 22. Oktober, wieder erreichbar sein.
Während der Abschaltung bleiben die städtischen Ämter über andere Kommunikationswege, insbesondere telefonisch und per E-Mail, erreichbar. Bereits vereinbarte Termine sollen wie geplant stattfinden.
Auch Schulen und Volkshochschule in Schwerin betroffen
In Mecklenburg-Vorppommern hat die Landeshauptstadt Schwerin ebenfalls reagiert.
Die Verwaltung nahm ihre zentrale Internetseite schwerin.de vorsorglich vom Netz. Betroffen sind zudem Internetauftritte von Schulen und der Volkshochschule.
Auch weitere kommunale Einrichtungen meldeten zeitweilige Einschränkungen.
Die Stadt will die bereitgestellten Sicherheitsupdates einspielen, bevor die betroffenen Angebote wieder freigeschaltet werden.
Wann sämtliche Schweriner Internetseiten wieder vollständig erreichbar sein werden, war zunächst offen.
Für Bürger bedeutet die Abschaltung vor allem, dass digitale Informationen und einzelne Onlineangebote zeitweise nicht zur Verfügung stehen.
Sicherheitsproblem betrifft weit mehr als Deutschland
Die Schwachstellen sorgen international für Aufmerksamkeit.
Auch in anderen europäischen Ländern nahmen Behörden und öffentliche Einrichtungen ihre Webangebote vorsorglich offline.
Betroffen waren unter anderem Einrichtungen in den Niederlanden, Frankreich, Belgien und Finnland.
Sicherheitsbehörden und IT-Fachleute raten dazu, verwundbare Systeme unverzüglich zu aktualisieren. Wo eine zeitnahe Absicherung nicht möglich ist, kann eine vorübergehende Abschaltung erforderlich sein.
Die Situation verdeutlicht, wie abhängig staatliche Dienstleistungen inzwischen von grundlegenden Softwarekomponenten sind.
Was Unternehmen und Webseitenbetreiber jetzt beachten sollten
Für Betreiber von Internetseiten ist entscheidend, ob ihre Systeme eine betroffene PHP-Version verwenden und ob die jeweilige Schwachstelle tatsächlich ausnutzbar ist.
IT-Verantwortliche sollten daher die eingesetzten Versionen überprüfen, verfügbare Sicherheitsupdates installieren und ihre Systeme auf verdächtige Aktivitäten untersuchen.
Besonders wichtig sind außerdem aktuelle Datensicherungen sowie die Überprüfung von Zugriffsrechten.
Wer seine Webseite durch einen externen Dienstleister betreiben lässt, sollte klären, ob dieser die erforderlichen Schutzmaßnahmen bereits umgesetzt hat.
Für gewöhnliche Internetnutzer bedeutet die Sicherheitslücke dagegen nicht automatisch, dass ihre persönlichen Geräte infiziert sind.
Sie sollten insbesondere darauf achten, keine vermeintlichen Ersatzportale oder verdächtigen Links zu verwenden, die während der Abschaltungen auftauchen könnten.
Digitalisierung braucht funktionierende Sicherheitsvorsorge
Der Vorfall zeigt eine grundlegende Herausforderung der Digitalisierung öffentlicher Dienstleistungen.
Je mehr Verwaltungsangebote online angeboten werden, desto wichtiger werden regelmäßige Softwareaktualisierungen, verlässliche technische Betreuung und funktionierende Notfallpläne.
Dass Städte ihre Internetseiten vorsorglich abschalten, ist für Bürger zunächst ärgerlich. Gleichzeitig kann eine solche Maßnahme verhindern, dass Angreifer Sicherheitslücken ausnutzen.
Dresden und Schwerin setzen damit auf Vorsorge statt auf ein unkalkulierbares Risiko. Wann sämtliche betroffenen Angebote wieder uneingeschränkt verfügbar sind, hängt von der erfolgreichen Installation und Überprüfung der Sicherheitsupdates ab.
