Nicht aktualisierte Systeme akut gefährdet
Obwohl viele große Plattformen und Webhoster schnell reagieren konnten, raten IT-Experten und das Bundesamt für Sicherheit in der Informationstechnik (BSI) weiterhin zur Wachsamkeit. Da kriminelle Netzwerke nach wie vor automatisierte Such-Skripte einsetzen, stellt jede PHP-Installation, die noch nicht auf die gepatchten Versionen aktualisiert wurde, eine offene Flanke dar.
Webseitenbetreiber werden aufgefordert, umgehend im Kundenbereich ihres Hosters oder im Dashboard ihres Content-Management-Systems zu prüfen, ob die Notfall-Updates eingespielt sind. Veraltete PHP-Versionen, die von den Entwicklern nicht mehr offiziell unterstützt werden, sollten bis zu einer Migration oder Isolierung nicht weiter ungeschützt am öffentlichen Netz betrieben werden.
Drastische Warnung des BSI
Das BSI hatte am Mittwoch eine offizielle Cybersicherheitswarnung herausgegeben. Es müssten rasch Sicherheitsupdates installiert werden. Von den Schwachstellen gehe großes Bedrohungspotenzial aus. Mehrere Bundesländer, Kommunen, Behörden, Universitäten und Krankenhäuser nahmen daraufhin vorsorglich ihre Webseiten vom Netz.
„Systeme, für die aktuell noch kein Sicherheitsupdate eingespielt werden konnte, dürfen unter keinen Umständen weiter am Netz bleiben“, sagte der IT-Sicherheitsexperte Christoph Fischer der Deutschen Presse-Agentur. Er forderte ein drastisches Durchgreifen der Betreiber. „Jede ungeschützte PHP-Anwendung ist in diesem Moment eine offene Tür für Kriminelle.“
Keine Webseiten des Bundes gekapert
Digitalminister Karsten Wildberger sieht keine Hinweise, dass Webseiten und IT-Systeme des Bundes von der PHP-Sicherheitslücke betroffen sind. Der „Bild“-Zeitung sagte der CDU-Politiker [externer Link, möglicherweise Bezahlinhalt]: „Wir nehmen diesen Vorfall und die aktuellen Warnungen sehr ernst.“ Das BSI habe gemeinsam mit dem ITZ-Bund schnell und klar reagiert. Das ITZ-Bund ist das zentrale IT-Dienstleistungsunternehmen des Bundes.
Dass Websites der Bundesverwaltung vorsorglich vom Netz genommen worden seien, nannte Wildberger richtig. „Nach unserem bisherigen Erkenntnisstand gibt es aktuell keine Hinweise auf eine erfolgreiche Kompromittierung von Systemen der Bundesverwaltung.“
Lage in Bayern
Auch in Bayern sieht man derzeit keine Hinweise auf erfolgreiche Angriffe auf staatliche Webseiten. „Im Moment ist noch nichts bekannt, auch kein Datenabfluss“, so Bayerns Digitalminister Fabian Mehring (Freie Wähler). Entwarnung könne er aber noch nicht geben, da automatisierte Angriffe weiterlaufen würden, bis überall Sicherheitsupdates installiert seien. Gefordert seien jetzt auch Unternehmen, Vereine und Betreiber von eigenen Seiten, ihre Systeme zu aktualisieren. Mehring mahnte: „Wir sollten die digitale Haustür nicht den Cyberkriminellen offenstehen lassen.“
Allerdings gab die Stadt Eichstätt am Donnerstag bekannt, in der Nacht vom 8. auf den 9. Oktober Opfer eines sogenannten Ransomware-Angriff geworden zu sein. abei handelt es sich um Schadsoftware, mit der Lösegeld erpresst werden soll. Die Daten und Systeme werden so verschlüsselt, dass man selbst nicht mehr darauf zugreifen kann.
Im Fall Eichstätt haben die Täter die Daten zudem noch kopiert. Diese sollen nun auf einem Server im Ausland gespeichert sein. Laut Stadt besteht die Gefahr, dass diese veröffentlicht werden. Das sei bislang allerdings nicht passiert.
„Saubere Finanzierung von Open Source“
Für normale Internetnutzer bestand beim alltäglichen Surfen auf dem Smartphone oder PC zunächst kein direkter Handlungsbedarf, da sich die Sicherheitslücke nicht auf Endgeräten befindet, sondern auf den Servern im Hintergrund. Dennoch können Verbraucher indirekt betroffen sein – etwa durch Ausfälle wichtiger Onlinedienste oder potenzielle Datenabflüsse auf nicht rechtzeitig geschützten Webseiten.
Thomas Boele, Sicherheitsexperte bei Check Point, mahnte angesichts der jüngsten kritischen Sicherheitslücke in PHP eine grundlegende finanzielle Absicherung für Open-Source-Projekte an. In einem Gespräch mit der dpa sagte er, dass die Stiftungen, die diese zentralen Bausteine der digitalen Infrastruktur verwalten, dringend auf eine breite und stabile Finanzierung angewiesen seien. Nur so könne sichergestellt werden, dass Sicherheitsstandards kontinuierlich gepflegt, moderne Entwicklungsmethoden mit teuren KI-Tools implementiert und regelmäßige Audits durchgeführt werden. „Der Knackpunkt wirklich ist eine saubere Finanzierung von Open Source.“
Mit Informationen der dpa
