PHP-Sicherheitslücke: Was Experten Website-Betreibern jetzt raten

Ungeschützte Webseiten müssen im Kampf gegen die schwerwiegende PHP-Lücke nach Ansicht von IT-Sicherheitsexperten sofort abgeschaltet werden. Angesichts drohender automatisierter Angriffswellen fordert der Karlsruher IT-Sicherheitsexperte Christoph Fischer ein drastisches Durchgreifen der Betreiber.

Über das reine Abschalten hinaus weist Fischer auf ein zentrales datenschutzrechtliches Problem hin: Wenn ein System über eine Schwachstelle kompromittiert wurde, sei es oft schwer zu sagen, was genau passiert sei und was abhandengekommen sei.

Gemäß der Europäischen Datenschutz-Grundverordnung (DSGVO) sei dieser Nachweis für betroffene Organisationen jedoch zwingend notwendig. Hier müsse man dringend nachbessern und eine bessere Forensik bereitstellen.

Zudem fordert Fischer, dass alle Beteiligten - vom PHP-Team über Provider und Webseiten-Betreiber bis hin zu den Behörden - für derartige IT-Katastrophen künftig fertige Notfallpläne in den Schubladen haben müssen.

Man sehe, dass zurzeit immer wieder Versuche von Angriffen laufen würden, sagt Christopher Kunz, Redakteur beim Nachrichtenportal heise online, im heute journal. Diese würden allerdings meist mit nicht korrekt programmierter Schadsoftware durchgeführt - deshalb schlügen die Versuche momentan noch fehl. Jeder müsse seine PHP-Version nun aktualisieren.

Das PHP-Update dauere nicht lange - pro Rechner. Für Betreiber von Rechenzentren könne das Ganze eine langwierige Aufgabe werden. Sicherheitslücken gebe es in allen Programmiersprachen, erklärt Kunz. Doch mit Hilfe von KI sei es sehr viel einfacher geworden, auch "tief vergrabene Lücken zu suchen, zu finden und dementsprechend das Ganze zu analysieren".

Am Mittwoch hatte unter anderem das Bundesamt für Sicherheit in der Informationstechnik (BSI) vor der gravierenden Schwachstelle mit dem Namen "PHP2Shell" gewarnt. Bundesländer, Kommunen, Behörden, Krankenhäuser, Universitäten sowie andere öffentliche Einrichtungen, aber auch private Webseiten-Betreiber hatten daraufhin bereits ihren Internetauftritt vorsorglich vom Netz genommen. Angreifer können die Lücke nutzen, um aus der Ferne einen fremden Code auszuführen und Server vollständig zu übernehmen.

Ob die breite Masse der Betreiber den Aufrufen von Behörden und Experten folgte und ungeschützte Systeme abgeschaltet hat, sollte sich in den nächsten Stunden zeigen. Experten gehen davon aus, dass es Monate dauern wird, bis die vielen Millionen Systeme bereinigt sind.

Auch am Donnerstagmorgen sind weiterhin zahlreiche Internetseiten in Deutschland betroffen. Beim offiziellen Hauptstadt-Portal berlin.de gab es zuletzt Einschränkungen. Ebenso sind einige Krankenhäuser in der Region und Universitäten nur eingeschränkt erreichbar. Die S-Bahn Berlin teilte dagegen in der Nacht mit, ihre Internetseiten stünden wieder uneingeschränkt zur Verfügung.

Am Morgen waren manche Angebote wieder freigeschaltet, darunter viele Internetseiten in Rheinland-Pfalz und im Saarland. Auch in Thüringen sind seit dem späten Mittwochabend viele Seiten wieder online, darunter jene der Staatskanzlei, der Landespolizei und des Innenministeriums.

Auch mehrere Online-Services der Polizei in Nordrhein-Westfalen waren nach Behördenangaben wieder am Netz. "Nach intensiven Arbeiten konnten die Seiten wieder in Betrieb genommen werden", teilte das Landesamt für Zentrale Polizeiliche Dienste mit. Andere prominente Webseiten in Nordrhein-Westfalen waren allerdings auch heute nicht erreichbar.

Hinweis