PHP-Lücke: Wildberger sieht keine Kompromittierung des Bundes

PHP-Lücke führt zu vorsorglicher Abschaltung von Bundesseiten

Digitalminister Karsten Wildberger (CDU) sieht derzeit keine Hinweise darauf, dass Webseiten und IT-Systeme des Bundes von der PHP-Sicherheitslücke betroffen sind. Mehrere beim ITZ-Bund gehostete Seiten von Bundesministerien waren am frühen Mittwochnachmittag vorsorglich vom Netz genommen worden.

Bund setzt auf Vorsicht

Wildberger bezeichnete die Abschaltung der Websites der Bundesverwaltung als richtige Entscheidung. Nach dem bisherigen Erkenntnisstand gebe es aktuell keine Hinweise auf eine erfolgreiche Kompromittierung von Systemen der Bundesverwaltung.

Das Bundesamt für Sicherheit in der Informationstechnik hatte gemeinsam mit dem ITZ-Bund auf die Warnungen reagiert. Das ITZ-Bund ist das zentrale IT-Dienstleistungsunternehmen des Bundes.

Updates schließen nicht jede Lücke

Der Digitalminister verwies auf die wachsende Bedeutung Künstlicher Intelligenz für die Cybersicherheit. KI-basierte Werkzeuge könnten helfen, Schwachstellen schneller zu erkennen; zugleich wolle die Bundesregierung ihre digitale Souveränität stärken und eigene Kompetenzen ausbauen.

Bitkom-Sicherheitsexperte Felix Kuhlenkamp warnte vor einer schnellen Entwarnung. Viele Betreiber hätten die verfügbaren Updates zwar zügig installiert, die Lücke sei aber noch nicht überall geschlossen; für ältere PHP-Versionen gebe es teilweise keine Aktualisierung.

Kommunen fordern bessere Krisenstrukturen

Die Linken-Digitalpolitikerin Donata Vogtschmidt forderte die Bundesregierung zu einer umfassenden öffentlichen Information über die Risiken und notwendigen Sicherheitsupdates auf. Cybersicherheit müsse als Teil des Katastrophenschutzes verstanden werden.

Der Deutsche Städte- und Gemeindebund sieht Bund und Länder in der Verantwortung, bessere Strukturen für Schutz und schnelle Reaktionen auf Cyberangriffe bereitzustellen. Viele Kommunen hätten schnell und verantwortungsvoll reagiert, zugleich bestünden wegen fehlender finanzieller und personeller Ressourcen weiterhin Defizite.

Die PHP-Sicherheitslücke betrifft eine weit verbreitete serverseitige Programmiersprache und damit grundsätzlich zahlreiche Internetangebote. Nach Angaben des Bundesamts für Sicherheit in der Informationstechnik können Angreifer die Schwachstellen aus der Ferne ausnutzen, Schadcode ausführen und unter bestimmten Voraussetzungen die Kontrolle über Server übernehmen.

Das vorliegende Sicherheitsupdate reduziert das Risiko für unterstützte PHP-Versionen, beseitigt aber nicht automatisch mögliche bereits erfolgte Eindringversuche. Betreiber müssen deshalb neben der Installation der Aktualisierung auch Protokolle und Dateien auf verdächtige Aktivitäten prüfen. Besonders problematisch sind ältere PHP-Versionen, für die keine regulären Updates mehr bereitstehen.

Breite Abhängigkeit erhöht den Handlungsdruck

Die vorsorgliche Abschaltung von Behördenangeboten zeigt, wie stark öffentliche Kommunikation von zentral betriebenen IT-Strukturen abhängt. Dass viele Seiten inzwischen wieder erreichbar sind, deutet auf schrittweise Prüfungen und Aktualisierungen hin; zugleich bleibt der Schutz lückenhaft, solange einzelne Systeme verwundbar bleiben.

Für Bürger besteht nach derzeitigem Stand kein Anlass, allein wegen der PHP-Lücke vorsorglich Passwörter zu ändern. Die Schwachstellen liegen auf den Servern der Webseiten. Betreiber sollten dagegen prüfen, welche PHP-Version eingesetzt wird, ob der Hoster Sicherheitskorrekturen bereitstellt und ob Hinweise auf unbefugte Zugriffe vorliegen.

Cyberabwehr wird zur Daueraufgabe

Der Vorgang verdeutlicht außerdem die strukturelle Herausforderung für Bund, Länder und Kommunen: Kurze Reaktionszeiten, begrenzte Personalressourcen und veraltete Software können Sicherheitsmaßnahmen erschweren. Die politische Debatte über digitale Souveränität und den Einsatz von Künstlicher Intelligenz gewinnt dadurch praktischen Druck, ersetzt aber nicht die grundlegende Pflege, Aktualisierung und Kontrolle bestehender Systeme.

Pressespiegel: Einigkeit, Unterschiede und offene Fragen

Deutschlandfunk: „PHP-Sicherheitslücke - BSI hat noch keine Schäden festgestellt“ (22.10.2026)

Der Beitrag bestätigt, dass das BSI bislang keine ausgenutzten Fälle festgestellt hat und dass ein Sicherheitsupdate vorliegt. Zugleich hebt er hervor, dass zahlreiche Behördenangebote noch offline sind und das vollständige Ausmaß erst in den kommenden Tagen sichtbar werden könnte.

BR24: „PHP-Sicherheitslücke: Wie gefährlich ist sie wirklich?“ (22.10.2026)

BR24 ordnet die technischen Risiken ausführlicher ein und verweist auf zwei kritische Schwachstellen, verfügbare Updates sowie mögliche Angriffe auf ungepatchte Server. Der Schwerpunkt liegt stärker auf den Folgen für Betreiber und Verbraucher, darunter der Umgang mit älteren PHP-Versionen und möglichen Datenabflüssen.

Gemeinsam ist beiden Beiträgen die Einschätzung, dass bislang keine allgemeine Entwarnung besteht: Ein Update ist verfügbar, doch der Schutz hängt von der schnellen Umsetzung und der Prüfung bereits betroffener Systeme ab.