Webseiten-Abschaltung „richtig“Bund stellt bisher keine Angriffe nach PHP-Sicherheitslücke fest
Am Mittwoch wird öffentlich, dass die wichtige Programmiersprache PHP schwerwiegende Lücken aufweist. Schnell gehen Webseiten offline und die Angst vor einer Angriffswelle wächst. Bisher hat das BSI jedoch keine Fälle festgestellt, in denen die Sicherheitslücken ausgenutzt wurden.
Nach der Warnung vor schwerwiegenden Sicherheitslücken in der Programmiersprache PHP sind bislang keine erfolgreichen Cyberangriffe festgestellt worden. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) habe bislang keine Fälle festgestellt, in denen die Sicherheitslücken ausgenutzt wurde, erklärte die IT-Sicherheitsbehörde. „Dennoch können erfolgreiche Angriffe derzeit nicht ausgeschlossen werden.“ Experten warnten zudem, dass Unternehmen oft nicht wüssten, wo PHP bei ihnen zum Einsatz komme.
Das BSI und das zentrale IT-Dienstleistungsunternehmen des Bundes (ITZ-Bund) hätten am Mittwoch „sehr schnell und klar reagiert“, sagte Bundesdigitalminister Karsten Wildberger der „Bild“-Zeitung. Unter anderem waren die Internetauftritte von mehreren Behörden nach der BSI-Warnung vorsichtshalber vorübergehend offline genommen worden. „Websites der Bundesverwaltung, die präventiv vom Netz genommen wurden, sind größtenteils wieder verfügbar“, erklärte am Donnerstag das Bundesinnenministerium.
Das BSI hatte am frühen Mittwochnachmittag eine Warnung wegen einer Sicherheitslücke bei PHP ausgegeben und für 16.00 Uhr ein Sicherheitsupdate der PHP Foundation angekündigt. Es bestand demnach die Sorge, dass es infolge der Veröffentlichung des Updates eine Angriffswelle geben könnte, weil die Sicherheitslücke dann mittels KI nachvollzogen werden kann. Weltweit waren deshalb Websites vorsichtshalber vom Netz genommen worden, zahlreiche Dienste waren – meist vorübergehend – nicht verfügbar.
PHP ist die wichtigste Programmiersprache für Websites und Webanwendungen weltweit. Schätzungsweise 70 Prozent aller Websites basieren auf dem Skript. Nach Angaben des Digitalverbands Bitkom sind praktisch alle Unternehmen, Organisationen und Institutionen in Deutschland, die eine eigene Website haben, potenziell angreifbar, wenn sie die Lücke nicht schließen.
Auch der US-Geheimdienst National Security Agency (NSA) mahnte wegen der Gefahr von Cyberangriffen zur „umgehenden“ Installation des Sicherheitsupdates. Die Sicherheitslücke könne es Hackern ermöglichen, sich „direkten Zugriff“ auf Datensysteme oder Server-Datenbanken zu verschaffen, warnte die NSA.
Abschalten war „richtige Entscheidung“
Dass Abschalten von Webseiten sei „die richtige Entscheidung“ gewesen, sagte Wildberger. „Nach unserem bisherigen Erkenntnisstand gibt es aktuell keine Hinweise auf eine erfolgreiche Kompromittierung von Systemen der Bundesverwaltung.“ Dass bislang keine kompromittierten Systeme gemeldet worden seien, „lässt aktuell den Schluss zu, dass viele Betreiber gemäß den Empfehlungen bereits erfolgreich gepatcht haben“, erklärte das BSI.
Endnutzern rät die IT-Sicherheitsbehörde insbesondere, ihre Internetrouter nicht so zu konfigurieren, dass sie auch von unterwegs darauf zugreifen können. „Zusätzlich ist besondere Vorsicht insbesondere im Umgang mit Downloads und Weitergabe sensibler Daten geboten, da weiterhin die Möglichkeit besteht, dass manipulierte Websites im Umlauf sind“, erklärte eine Behördensprecherin.
Der Bitkom-Experte Felix Kuhlenkamp warnte zudem, „dass viele Unternehmen PHP nutzen, ohne es zu wissen, etwa weil ihre Website mit einem Content-Management-System läuft“. Auch Olaf Pursche vom Verband der Internetwirtschaft Eco erklärte, viele Firmen wüssten nicht, ob PHP bei ihnen „im Hintergrund läuft, etwa in Verwaltungsoberflächen von Routern, Speichersystemen oder Sicherheitsprodukten“.
„Neues Zeitalter der Cybersicherheit“
Wildberger zufolge zeigt der Fall auch: „Wir stehen am Beginn eines neuen Zeitalters der Cybersicherheit.“ KI-basierte Tools könnten dabei helfen, Schwachstellen schneller und präziser aufzuspüren als je zuvor. Die Bundesregierung stelle sich dieser Entwicklung entschlossen. „Wir investieren gezielt in unsere digitale Souveränität und bauen eigene Kompetenzen auf – unter anderem mit dem neuen KI-Sicherheitsinstitut.“
Scharfe Kritik an der IT-Sicherheitspolitik der Bundesregierung äußerte allerdings der Grünen-Innenpolitiker Konstantin von Notz. „Dringend notwendig ist, auf diese stark gestiegene Bedrohungen mit echten politischen Handlungen zu antworten, die die IT-Sicherheit schnellstmöglich signifikant erhöhen“, sagte von Notz der „Rheinischen Post“. Das jedoch tue die Bundesregierung nicht.
Der Deutsche Städte- und Gemeindebund (DStGB) forderte ebenfalls bessere Strukturen in Deutschland zum Schutz vor Cyberangriffen. „Wir sehen hier zudem vor allem Bund und Länder in der Verantwortung, entsprechende Strukturen zum besseren Schutz und zur schnellen Reaktionsfähigkeit im Krisenfall bereitzustellen“, sagte ein Verbandssprecher der „Rheinischen Post“.
