Selbst das BKA ging offline: Was hinter der Sicherheitslücke steckt

Bonn/Mainz. Das Bundeskriminalamt hat seine Internetseite vom Netz genommen. Die Stadt Mainz auch, dazu die Berliner Charité, zwei Landesregierungen, Kliniken, Hochschulen und ein Dutzend Stadtverwaltungen. Der Grund: zwei schwere Fehler in einem Software-Baustein, der im Hintergrund von zwei Dritteln aller Webseiten der Welt arbeitet. Das Bundesamt für Sicherheit in der Informationstechnik warnte am Mittwoch mit der zweithöchsten Stufe.

Für die allermeisten Menschen ist die wichtigste Nachricht aber eine andere: Ihr Handy und Ihr Computer sind nicht betroffen.

Was passiert ist

Jede Internetseite liegt auf einem Computer irgendwo im Netz. Darauf arbeitet eine Software, die die Seite zusammensetzt, bevor sie im Browser erscheint. Diese Software ist für Besucher unsichtbar – und sie steckt in rund 69 Prozent aller Webseiten, deren Technik bekannt ist.

Genau dort wurden zwei Fehler gefunden. Über sie könnte ein Angreifer eigene Befehle auf dem Computer ausführen, auf dem die Seite liegt. Ohne Passwort. Ohne dass jemand auf etwas klicken muss. Wem das gelingt, dem gehört die Seite.

Seit Mittwochnachmittag gibt es eine Reparatur.

Warum alle gleichzeitig nervös wurden

Die Fehler waren eigentlich für Donnerstag zur Veröffentlichung vorgesehen – abgestimmt zwischen Entdeckern, Entwicklern und großen Anbietern, damit die Reparatur bereitliegt, bevor das Problem bekannt wird.

Diese Absprache hielt nicht. Am Dienstag tauchten Details vorzeitig im Netz auf. Daraufhin zog das Entwicklerteam die Veröffentlichung um einen Tag vor.

Das erklärt die Hektik des Mittwochs: Erst wussten alle, dass ein Problem existiert – und erst Stunden später gab es die Lösung dafür.

Der Vizepräsident des BSI, Thomas Caspers, formulierte es so: "Wir halten eine kurzfristige, großflächige Ausnutzung innerhalb weniger Stunden nach Erscheinen der Sicherheitsupdates für wahrscheinlich." Und weiter: "Es besteht also unverzüglicher Handlungsbedarf!"

Dass eine Reparatur das Risiko kurzfristig erhöht, klingt widersinnig, ist aber Alltag in der IT-Sicherheit: An einer Reparatur lässt sich ablesen, was kaputt war – und damit, wo man angreifen müsste.

Wurde schon jemand angegriffen?

Mehrere Sicherheitsfirmen melden erste Angriffsversuche. Ein tatsächlich gelungener Einbruch ist bislang in keinem Fall öffentlich belegt.

Das ist ein wichtiger Unterschied, und er wird in diesen Tagen viel durcheinandergehen. Niemand kann derzeit sagen, ob und wo etwas passiert ist.

Wer vorsorglich abgeschaltet hat

Die Liste ist lang geworden – und sie zeigt, wie tief diese Software im Alltag steckt. Abgeschaltet wurde überall aus Vorsicht, nicht weil irgendwo etwas passiert wäre.

Bund und Länder: das Bundeskriminalamt in Wiesbaden. Die Landesregierungen in Hessen und Baden-Württemberg samt Ministerien und nachgeordneten Behörden. In Bayern Ministerien und die Seiten der Polizei. Auch die Seite des Bundesinnenministeriums war zeitweise nicht erreichbar.

Städte und Kreise: Mainz, Bremen, Düsseldorf, Kassel, Offenbach, Mülheim an der Ruhr, die Landkreise Werra-Meißner und Waldeck-Frankenberg, die Gemeinde Bad Emstal.

Kliniken: die Berliner Charité einschließlich Online-Terminbuchung, das Klinikum Nürnberg, die Universitätskliniken Freiburg, Heidelberg und Mannheim, das Harzklinikum in Sachsen-Anhalt.

Hochschulen: die Universitäten Freiburg, Bochum, Kassel und Düsseldorf. In Freiburg traf es neben der Webseite auch das Intranet, die Lernplattform und den Mailzugang der Studierenden.

Anbieter und Unternehmen: der Hoster netcup nahm vorübergehend sämtliche Webhosting-Pakete vom Netz, der Anbieter Uberspace schaltete zeitweise ganz ab. Dazu kleinere Dienste und das Tourismusportale.

In Mainz blieben die Ämter per Telefon und E-Mail erreichbar, Termine galten weiter. Die Charité betonte ausdrücklich, dass es keinen Angriff gegeben habe. Auch die Lernplattform von Schulen in Rheinland-Pfalz "Bildungsportal RLP" ist aktuell eingeschränkt.

Und in der Region?

Aus dem Raum Koblenz und Neuwied wurde bis zum Mittwochabend keine Abschaltung offiziell gemeldet.

Die Internetseite der Stadt Neuwied war am Mittwochabend allerdings nicht erreichbar. Ob das mit der Sicherheitslücke zu tun hat, ist offen.

Generell gilt an diesem Tag: Eine nicht erreichbare Behördenseite ist zunächst ein Zeichen von Vorsicht und nicht dafür, dass etwas passiert wäre. Ämter und Bürgerbüros arbeiten in solchen Fällen normal weiter. Wer etwas zu erledigen hat, kommt per Telefon oder E-Mail weiter.

Wenn Sie keine eigene Internetseite haben

Dann müssen Sie nichts tun.

Ihr Smartphone, Ihr Tablet, Ihr Computer zu Hause sind nicht betroffen. Die Fehler stecken in den Computern hinter den Webseiten, nicht in Ihren Geräten. Sie müssen nichts installieren, nichts abschalten, kein Passwort ändern.

Es kann in diesen Tagen vorkommen, dass einzelne Seiten vorübergehend nicht erreichbar sind. Das ist Vorsicht, kein Angriff.

Eine Sache lohnt sich für die nächsten Wochen: Wenn eine E-Mail Sie wegen eines angeblichen "Sicherheitsvorfalls" drängt, auf einen Link zu klicken oder ein Passwort einzugeben – tun Sie es nicht. Rufen Sie die Seite selbst auf oder greifen Sie zum Telefon. Nach großen Sicherheitsmeldungen versuchen Betrüger regelmäßig, die allgemeine Verunsicherung zu nutzen.

Wenn Sie eine eigene Internetseite haben

Das betrifft Vereine, kleine Betriebe, Praxen, Gaststätten, Selbstständige.

Zuerst: Warten Sie auf Post von Ihrem Anbieter. Viele Anbieter informieren ihre Kunden in einem solchen Fall von sich aus – netcup etwa hat das am Mittwoch getan. Wenn bis Donnerstagabend nichts gekommen ist, fragen Sie aktiv nach. Keine Nachricht ist in dieser Lage keine Entwarnung.

Dann: Klären Sie, wie Ihre Seite gebaut ist.

Haben Sie die Seite mit einem Baukasten selbst zusammengeklickt – Wix, Jimdo, Squarespace? Dann betreibt der Anbieter die gesamte Technik. Sie müssen nichts tun.

Liegt die Seite bei einem Hosting-Anbieter wie IONOS, Strato oder All-Inkl und läuft mit WordPress oder einem ähnlichen Programm? Dann sollten Sie nachhaken.

Und ein Trugschluss: Dass Ihre Seite normal aussieht und funktioniert, sagt nichts darüber aus, ob sie sicher ist. Verlässlich ist nur die Auskunft des Anbieters.

Das eigentliche Problem sind die vergessenen Seiten

Rund jede dritte Seite mit dieser Technik läuft auf einer Fassung, die seit Jahren keine Sicherheitsupdates mehr erhält. Für sie gibt es auch jetzt keine offizielle Reparatur.

Das sind selten die großen Anbieter. Das sind die alte Vereinsseite, die seit 2017 niemand mehr angefasst hat. Die Seite des Betriebs, dessen Webdesigner längst in Rente ist. Das Portal, von dem niemand mehr weiß, wer es betreut.

Wenn Ihnen beim Lesen eine solche Seite einfällt – das ist der Anruf, der sich diese Woche lohnt.

Fachbegriffe für Interessierte: Es geht um die Programmiersprache PHP und die Schwachstellen CVE-2026-109618 und CVE-2026-109619, bekannt als "PHP2Shell", bewertet mit 9,2 von 10 Punkten. Die BSI-Warnung trägt die Kennung BITS-H 2026-297981-1032, Stufe 3 (Orange). Bereinigt sind die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35; Version 8.1 und älter erhalten keine offiziellen Updates mehr.