Kürbiskern-Chaos: Glatte Straße sorgt für Sperrung in Xanten
PHP-Sicherheitslücke legt Behörden bundesweit lahm: NRW-Polizei ist wieder online, andere Bundesländer kämpfen noch mit der Wiederherstellung ihrer Webseiten.
Die Geschichte rund um die PHP-Sicherheitslücke geht weiter. Nachdem wir in einem früheren Beitrag schon über die ersten Ausfälle bei der NRW-Polizei, der KVB und dem Kreis Düren berichtet haben, zeigt sich jetzt: Das Problem war kein NRW-Ding, sondern ein bundesweites. Wie Tech Insider berichtet, mussten am 21. und 22. Oktober 2026 Behörden in gleich mehreren Bundesländern ihre Internetauftritte vorsorglich abschalten, von Bayern bis Thüringen.
Im Zentrum steht eine Schwachstelle in PHP, einer der meistgenutzten Programmiersprachen für Webanwendungen weltweit. Ministerien, Polizeidienststellen, Kommunen und Landratsämter nutzen Systeme, die auf PHP basieren, weshalb die Lücke potenziell riesige Auswirkungen hatte. Das Bundesamt für Sicherheit in der Informationstechnik, kurz BSI, warnte vor der Schwachstelle und empfahl allen Betreibern, das verfügbare Sicherheitsupdate schnellstmöglich einzuspielen. Laut Tech Insider lagen bislang weder eine genaue Schwachstellenkennung noch belastbare Zahlen zu tatsächlichen Angriffsversuchen vor. Die Abschaltungen waren also in erster Linie vorsorglich, nicht die Reaktion auf bereits laufende Attacken.
Innerhalb weniger Stunden überschlugen sich die Ereignisse. Bayern meldete, dass bis zum Abend des 21. Oktober sämtliche Polizeibehörden, inklusive des Landeskriminalamts, sowie die Staatskanzlei wieder erreichbar waren. In Thüringen liefen die Webseiten von Staatskanzlei, Landespolizei und Innenministerium bis zum späten Mittwochabend wieder normal. Niedersachsen reagierte zentral: Die Landes-IT-Dienstleistungsstelle IT.Niedersachsen schaltete vorsorglich sämtliche Landeswebseiten in einen Wartungsmodus und spielte die Updates gebündelt ein. Auch Bremen bestätigte laut eigener Finanzbehörde, dass die zuvor abgeschalteten Landeswebseiten wieder online seien.
Nicht überall ging es gleich schnell: In Berlin und Brandenburg blieben laut Tech Insider einige Angebote zum Zeitpunkt der Berichterstattung weiterhin offline, darunter die Internetwache der Brandenburger Polizei. Gerade dieser Dienst ist für Bürger wichtig, weil darüber Anzeigen erstattet werden können.
Für Nordrhein-Westfalen meldete das Landesamt für Zentrale Polizeiliche Dienste, dass mehrere Online-Dienste der NRW-Polizei wieder funktionsfähig seien. Die Formulierung, die Seiten seien „nach intensiven Arbeiten“ wieder in Betrieb genommen worden, deutet laut Tech Insider darauf hin, dass die Wiederherstellung kein reiner Routinevorgang war, sondern spürbaren technischen Aufwand erforderte. Zu den konkreten Entwicklungen bei KVB und Kreis Düren liegen in den aktuellen überregionalen Berichten keine neuen Angaben vor.
Der Vorfall zeigt laut Tech Insider, wie verwundbar digitale Verwaltung gegenüber einer einzigen Software-Schwachstelle sein kann. Die unterschiedlich schnelle Wiederherstellung je Bundesland lässt sich am ehesten mit der jeweiligen föderalen IT-Organisation erklären: Länder mit zentralisierten IT-Dienstleistern wie Niedersachsen konnten offenbar schneller eine einheitliche Lösung ausrollen als Länder mit stärker verteilter IT-Verantwortung.
Wir informieren dich regelmäßig über aktuelle Nachrichten, Staus und wichtigen Themen - ohne Dich zu nerven!
