Aschaffenburg: PHP-Sicherheitslücke legt städtische Webseiten lahm

Eine weltweit bekannt gewordene, kritische Sicherheitslücke in der Programmiersprache PHP hat auch in Aschaffenburg Folgen: Mehrere Webseiten und Online-Dienste der Stadt waren seit Donnerstag, 22. Oktober, vorübergehend nicht erreichbar. Wie die Stadt mitteilt, werden die betroffenen Systeme von externen Dienstleistern geprüft und mit Sicherheitsupdates versehen.

PHP-Sicherheitslücke: Diese Aschaffenburger Angebote waren betroffen

Die zentrale Seite aschaffenburg.de wurde nach Angaben der Stadt bereits aktualisiert und blieb erreichbar. Bei einer Prüfung am Donnerstagvormittag waren dagegen unter anderem offline:

• das Ratsinformationssystem (ris.aschaffenburg.de)
• Stadt- und Stiftsarchiv, Museen, Stadttheater und Kunsthalle Jesuitenkirche
• die Kulturstadt-Seite, das Bildungsbüro und die Familienangebote
• die Seite des Jugendparlaments sowie Teile der Online-Dienste

Die Stadt betont, dass die Liste nicht abschließend ist. Bei einer Stichprobe von bachgau.social am Freitagnachmittag waren das Ratsinformationssystem sowie die Seiten von Archiv, Museen und Stadttheater wieder erreichbar, einzelne andere Angebote noch nicht. Bei dringenden Anliegen bittet die Stadt, die zuständigen Ämter telefonisch zu kontaktieren; die Zentrale ist unter Tel. 06021 330-0 erreichbar.

Hintergrund: Was hinter der Lücke steckt

PHP ist eine der meistgenutzten Programmiersprachen für Webseiten. Auch verbreitete Systeme wie WordPress, Typo3, Joomla, Drupal oder Moodle bauen darauf auf. Nach Berichten von ZDFheute geht es um zwei schwere Fehler im Kern von PHP, die Sicherheitsforscher „PHP2Shell“ nennen. Angreifer könnten darüber aus der Ferne und ohne Anmeldung Schadcode auf Servern ausführen, Webseiten übernehmen oder Daten abgreifen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat die Lage mit der Warnstufe Orange als außerordentlich kritisch eingestuft; die PHP-Entwickler hatten für Mittwoch, 21. Oktober, ein Sicherheitsupdate angekündigt.

Aschaffenburg ist nicht allein: Auch andere Städte, etwa Mainz, haben ihre Portale vorsorglich vom Netz genommen.

Was das für Bürger bedeutet

Für Nutzer, die Webseiten nur ansurfen, besteht nach Einschätzung von Fachleuten kein direkter Handlungsbedarf – die Lücke betrifft Server, nicht private Computer oder Smartphones. Spürbar sind vor allem Ausfälle von Online-Diensten. Wer Formulare oder Termine online erledigen wollte, sollte es später erneut versuchen oder anrufen.

Gut zu wissen für Website-Betreiber

• Vereine, Betriebe und Privatleute mit eigener Website sollten beim Hoster oder Dienstleister nachfragen, ob das PHP-Update eingespielt ist.
• Content-Management-Systeme und Plugins ebenfalls aktualisieren.
• Veraltete PHP-Versionen, die keine Updates mehr erhalten, sind ein besonderes Risiko.
• Vorsicht vor E-Mails oder Anrufen, die angeblich im Namen eines Hosters zu dringenden „Sicherheitsupdates“ auffordern und Zugangsdaten verlangen – Betrüger nutzen solche Nachrichtenlagen gern aus.
• Aktuelle Warnungen veröffentlicht das BSI.

Wie schnell IT-Probleme den Alltag treffen, zeigte in der Region bereits der Cyberangriff auf die TH Aschaffenburg. Mehr zu Angriffen auf Einrichtungen in Bayern lesen Sie in unserem Beitrag über gehackte Handwerkskammern.