PHP-Sicherheitslücke hält Berlin.de und Kliniken offline

PHP-Lücke hält deutsche Webseiten teilweise offline

Infolge einer weltweiten Sicherheitslücke sind weiterhin zahlreiche Internetseiten in Deutschland betroffen. Beim Hauptstadt-Portal berlin.de sowie bei einigen Krankenhäusern und Universitäten gibt es Einschränkungen, während die S-Bahn Berlin ihre Seiten wieder vollständig freigeschaltet hat.

Erste Angebote wieder erreichbar

Wegen einer kritischen Sicherheitslücke in der verbreiteten Programmiersprache PHP hatten viele Einrichtungen in Deutschland ihre Webseiten vorsorglich vom Netz genommen. Am Morgen waren unter anderem zahlreiche Angebote in Rheinland-Pfalz und im Saarland wieder frei geschaltet.

Auch in Thüringen gingen seit dem späten Mittwochabend viele Seiten wieder online, darunter die Staatskanzlei, die Landespolizei und das Innenministerium. Mehrere Online-Services der Polizei in Nordrhein-Westfalen waren nach Behördenangaben ebenfalls wieder erreichbar.

Warnung vor Angriffen auf Server

Hintergrund ist eine neu entdeckte, schwerwiegende Sicherheitslücke, die weltweit zahlreiche Webseiten und Onlinedienste gefährdet. Kriminelle könnten die Schwachstellen ausnutzen, um betroffene Server anzugreifen.

PHP wird für einen großen Teil des Internets eingesetzt – von einfachen Blogs über Nachrichtenportale bis hin zu Onlineshops und Content-Management-Systemen wie WordPress. Das Bundesamt für Sicherheit in der Informationstechnik gab deshalb eine offizielle Cybersicherheitswarnung heraus und forderte die rasche Installation von Sicherheitsupdates.

Kein direkter Handlungsbedarf für Nutzer

Die Sicherheitslücke liegt nicht auf den Endgeräten der Anwender, sondern auf den Servern im Hintergrund. Für das alltägliche Surfen auf Smartphone oder PC besteht daher zunächst kein unmittelbarer Handlungsbedarf.

Verbraucher können dennoch indirekt betroffen sein, wenn wichtige Onlinedienste ausfallen oder nicht rechtzeitig geschützte Webseiten Daten abfließen lassen. Betreiber müssen ihre Systeme aktualisieren oder die betroffenen Angebote bis zur Absicherung offline lassen.

Polizei nimmt Online-Services wieder in Betrieb

Das Landesamt für Zentrale Polizeiliche Dienste in Nordrhein-Westfalen teilte mit: „Nach intensiven Arbeiten konnten die Seiten wieder in Betrieb genommen werden.“ Andere prominente Webseiten in Nordrhein-Westfalen waren am Donnerstag allerdings weiterhin nicht erreichbar.

Die PHP-Sicherheitslücke trifft eine zentrale Schicht des Internets: Die Programmiersprache läuft auf vielen Webservern und bildet die technische Grundlage zahlreicher Webseiten, Portale und Online-Dienste. Deshalb reagieren Behörden, Kliniken, Hochschulen und Kommunen teilweise mit einer vorsorglichen Abschaltung, wenn ein Sicherheitsupdate nicht sofort eingespielt werden kann.

Schutz durch Abschalten und Aktualisieren

Die am Mittwoch veröffentlichte Warnung des Bundesamts für Sicherheit in der Informationstechnik richtet sich vor allem an Betreiber. Sie sollen die bereitgestellten Aktualisierungen unverzüglich installieren oder ihre Anwendungen vorübergehend vom Netz nehmen. Der aktuelle Betrieb einzelner Seiten zeigt, dass die technische Bereinigung regional unterschiedlich schnell vorankommt.

Für Bürgerinnen und Bürger liegt das unmittelbare Risiko nicht auf dem eigenen Smartphone oder Computer, sondern bei den Servern besuchter Angebote. Einschränkungen können daher vor allem durch nicht erreichbare Online-Dienste entstehen. Bei ungeschützten Webseiten besteht zudem das Risiko, dass Angreifer Daten abgreifen oder die Infrastruktur missbrauchen.

Ausfälle bleiben möglich

Die Rückkehr erster Seiten bedeutet nicht automatisch, dass alle Betreiber ihre Systeme bereits vollständig abgesichert haben. Entscheidend sind eingespielte Updates, anschließende Prüfungen und die Wiederfreigabe durch die jeweils zuständigen IT-Stellen. Bis dahin können öffentliche Informationen, Terminbuchungen oder digitale Verwaltungsangebote regional weiter fehlen.

Pressespiegel: Einigkeit, Unterschiede und offene Fragen

FOCUS online: „Gravierende Sicherheitslücke bedroht weltweit Webseiten“ (21.10.2026)

Der Beitrag habe die weltweiten Auswirkungen und die vorsorgliche Abschaltung deutscher Webseiten herausgestellt. Als Schwerpunkt nenne er die hohe technische Gefahr für betroffene Server sowie den Zeitdruck bei der Installation des Sicherheitsupdates.

WDR: „Polizei, Kommunen, Krankenhäuser : Webseiten teilweise wegen IT-Lücke offline“ (21.10.2026)

Der WDR habe den Blick auf Nordrhein-Westfalen und die dort betroffenen Kliniken, Hochschulen, Kommunen und Polizeidienste gerichtet. Zugleich habe der Beitrag berichtet, dass einzelne Online-Angebote bereits wieder erreichbar gewesen seien; offen bleibe der Zeitpunkt der vollständigen Wiederfreischaltung.

Beide Beiträge hätten die vorsorglichen Abschaltungen und die zentrale Rolle des PHP-Updates bestätigt. Unterschiede ergäben sich vor allem beim regionalen Schwerpunkt: Während FOCUS online die globale Bedrohung und technische Folgen betont habe, habe der WDR konkrete Auswirkungen in NRW beschrieben.