Zürcher Nachrichten - PHP-Sicherheitslücke: Wildberger sieht für Bund aktuell keine Hinweise auf Schaden

Weltweit waren infolge einer Warnung vor der schwerwiegenden Sicherheitslücke bei der Programmiersprache PHP am Mittwoch etliche Webseiten vorsorglich vom Netz genommen worden. Die PHP Foundation, welche die Programmiersprache weiterentwickelt, brachte am Mittwoch ein Sicherheitsupdate heraus und forderte alle PHP-Nutzer auf, dieses umgehend zu installieren. Websites und -anwendungen, die angreifbar bleiben, könnten gehackt und dazu benutzt werden, um Viren, Spam und Falschinformationen zu verbreiten.

Der US-Geheimdienst National Security Agency (NSA) und das Bundesamt für Sicherheit in der Informationstechnik (BSI) in Bonn hatten wegen der Gefahr von Cyberangriffen zur "umgehenden" Installation des Sicherheitsupdates geraten. Die Sicherheitslücke könne es Hackern ermöglichen, sich "direkten Zugriff" auf Datensysteme oder Server-Datenbanken zu verschaffen, warnte die NSA.

Nach Angaben eines Sprechers des Bundesdigitalministeriums wurden am Mittwoch "auch mehrere Auftritte von Bundesministerien, die beim ITZ Bund gehostet werden", vom Netz genommen. Das sei "rein präventiv" geschehen, betonte der Sprecher. Nach einem Sicherheitsupdate seien die Webseiten nach und nach wieder online gestellt worden.

Dass Abschalten von Webseiten sei "die richtige Entscheidung" gewesen, sagte Wildberger. "Nach unserem bisherigen Erkenntnisstand gibt es aktuell keine Hinweise auf eine erfolgreiche Kompromittierung von Systemen der Bundesverwaltung." Die Bundesregierung nehme den Vorfall und die aktuellen Warnungen "sehr ernst".

Nach Einschätzung des Sicherheitsunternehmens Wiz Research basieren etwa 70 Prozent der weltweiten Websites auf PHP. Nach Angaben des Digitalverbands Bitkom ist in Deutschland theoretisch ein Großteil der Unternehmen, Organisation und Institutionen von der Sicherheitslücke betroffen.

Das Problem sei aber, "dass viele Unternehmen PHP nutzen, ohne es zu wissen, etwa weil ihre Website mit einem Content-Management-System läuft", erklärte der Bitkom-Experte Felix Kuhlenkamp. "Vielen Unternehmen dürfte ein Überblick darüber fehlen, welche Server genau mit welcher Software aus dem Internet erreichbar sind."

Auch Olaf Pursche vom Verband der Internetwirtschaft Eco erklärte, viele Firmen wüssten nicht, ob PHP bei ihnen "im Hintergrund läuft, etwa in Verwaltungsoberflächen von Routern, Speichersystemen oder Sicherheitsprodukten". "Wer IT auslagert, lagert nicht die Verantwortung aus: Unternehmen müssen mit Hostern und Dienstleistern verbindlich klären, wer Updates einspielt und deren Umsetzung bestätigt", fuhr er fort.

Wildberger zufolge zeigt der Fall auch: "Wir stehen am Beginn eines neuen Zeitalters der Cybersicherheit." KI-basierte Tools könnten dabei helfen, Schwachstellen schneller und präziser aufzuspüren als je zuvor. Die Bundesregierung stelle sich dieser Entwicklung entschlossen. "Wir investieren gezielt in unsere digitale Souveränität und bauen eigene Kompetenzen auf - unter anderem mit dem neuen KI-Sicherheitsinstitut."

Scharfe Kritik an der IT-Sicherheitspolitik der Bundesregierung äußerte allerdings der Grünen-Innenpolitiker Konstantin von Notz. "Dringend notwendig ist, auf diese stark gestiegene Bedrohungen mit echten politischen Handlungen zu antworten, die die IT-Sicherheit schnellstmöglich signifikant erhöhen", sagte von Notz der "Rheinischen Post" (Freitag). Das jedoch tue die Bundesregierung jedoch nicht.

Der Deutsche Städte- und Gemeindebund (DStGB) forderte ebenfalls bessere Strukturen in Deutschland zum Schutz vor Cyberangriffen. "Wir sehen hier zudem vor allem Bund und Länder in der Verantwortung, entsprechende Strukturen zum besseren Schutz und zur schnellen Reaktionsfähigkeit im Krisenfall bereitzustellen", sagte ein Verbandssprecher der "Rheinischen Post".

A.Weber--NZN