Die nach Bekanntwerden kritischer PHP-Sicherheitslücken vorsorglich abgeschalteten Internetseiten der Bundesverwaltung waren am 23. Oktober größtenteils wieder erreichbar. Das erklärte das Bundesinnenministerium in Berlin. Meldungen über erfolgreich kompromittierte IT-Systeme lagen ihm zu diesem Zeitpunkt nicht vor. Wer die einzelnen Angebote nach welchen Prüfungen wieder freigegeben hat, geht aus dieser Lageauskunft allerdings nicht hervor.
Damit bleiben zwei Fragen auseinanderzuhalten: Ist eine Webseite wieder erreichbar? Und ist hinreichend geprüft, dass sie sicher betrieben werden kann? Fehlende Angriffsmeldungen sind noch kein Beweis dafür, dass sämtliche Systeme unversehrt geblieben sind.
Wer die Rückkehr organisiert
Das Bundesamt für Sicherheit in der Informationstechnik beobachte und analysiere die Lage engmaschig, erklärte das Innenministerium. Eine vollständige Rückkehr aller abgeschalteten Bundesangebote konnte dessen Sprecher am Freitag nicht bestätigen. Eine zentrale Einzelabnahme durch das BSI ist mit diesen Angaben ebenso wenig belegt wie ein einheitlicher Prüfkatalog für die Wiederfreigabe.
Wie Betreiber praktisch vorgehen, zeigt der kommunale IT-Dienstleister Komm.ONE. Er hatte die von ihm betriebenen PHP-Anwendungen vorsorglich heruntergefahren – darunter kommunale Webseiten und Onlinedienste. Seit dem 21. Oktober würden die Systeme auf Sicherheitslücken und notwendige Updates geprüft und schrittweise wieder hochgefahren, teilte das Unternehmen am Folgetag mit. Wer die abschließende Freigabe erteilt und welche Prüfergebnisse dafür vorliegen müssen, erläutert die Mitteilung nicht.
Konkreter ist ein Beispiel außerhalb der Bundesverwaltung: An der Heinrich-Heine-Universität Düsseldorf müssen Betreiber dezentraler Webangebote die Freigabe beim universitären Sicherheitsteam beantragen. Sie bestätigen, dass keine PHP-Komponenten vorhanden sind oder eine korrigierte Version läuft. Nach dem Update muss PHP neu gestartet worden sein. Zum Antrag gehören Serveradresse, verantwortliche Person und eingesetzte Software. Das dokumentiert Zuständigkeiten und technische Voraussetzungen, ist aber kein Beleg für das Verfahren anderer öffentlicher Stellen.
Ein Update beantwortet nicht jede Frage
Die PHP-Entwickler veröffentlichten am 21. Oktober Sicherheitsupdates gegen zwei kritische Schwachstellen. Diese können Angreifern ermöglichen, ohne Anmeldung Programmcode auf einem Webserver auszuführen. Das beschreibt die mögliche Wirkung der Lücken – nicht einen nachgewiesenen Schaden bei deutschen Behörden.
Am 23. Oktober ergänzte das PHP-Projekt einen weiteren Sicherheitshinweis: Bei einer ungewöhnlichen Kombination aus Konfiguration und Anwendungscode bleibe eine Möglichkeit zur entfernten Codeausführung. Dafür empfahlen die Entwickler eine zusätzliche Einstellung bis zur nächsten regulären Fehlerkorrektur. Anwendungen ohne die betreffende Konstellation seien davon nicht betroffen.
Für die Bewertung einer Wiederfreigabe reicht deshalb die Nachricht „Update installiert“ allein nicht aus. Entscheidend ist auch, welche Software tatsächlich läuft, welche Konfiguration vorliegt und ob es Hinweise auf frühere Eingriffe gibt. Die ausgewerteten öffentlichen Mitteilungen liefern für einzelne Bundeswebseiten keine entsprechenden Prüfprotokolle. Daraus folgt nicht, dass solche Kontrollen unterblieben sind; sie sind öffentlich nur nicht nachvollziehbar.
Welche Wege ohne Portal bleiben
Für Bürger zählt außerdem, ob ein dringendes Anliegen auch bei einem ausgefallenen Onlinedienst bearbeitet werden kann. Mainz nennt auf seiner allgemeinen Serviceseite telefonische, elektronische und persönliche Kontakte. Das Service-Center unter 06131 115 gibt montags bis freitags von 8 bis 18 Uhr Auskunft über städtische Dienstleistungen.
Eine Auskunft ersetzt allerdings nicht automatisch die eigentliche Verwaltungsleistung. Bei dringenden Anträgen oder nahenden Fristen ist deshalb mit der zuständigen Stelle zu klären, welcher Einreichungsweg akzeptiert wird. Zur Rückkehr ins Netz gehört aus Bürgersicht nicht nur eine funktionierende Startseite, sondern auch ein klar benannter Kontakt, solange der benötigte Dienst fehlt.
Redaktionell geprüft · 24. Oktober 2026
