Wildberger sagte der "Bild"-Zeitung, das BSI und das zentrale IT-Dienstleistungsunternehmen des Bundes (ITZ-Bund) hätten gemeinsam sehr schnell und klar reagiert. Der Minister sprach vom "Beginn eines neuen Zeitalters der Cybersicherheit". KI-basierte Tools könnten dabei helfen, Schwachstellen schneller und präziser aufzuspüren als je zuvor.

Das BSI erklärte, das komplette Ausmaß des Sicherheitsproblems werde wohl erst in den kommenden Tagen deutlich. In Deutschland wurden demnach bisher keine Angriffe registriert, in anderen Ländern aber sehr wohl, wie der Internetdienstleister Cloudflare berichtet.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) und Behörden weltweit hatten am Mittwoch vor einer hochkritischen Schwachstelle in der Programmiersprache PHP gewarnt. PHP ist eine der weltweit am häufigsten genutzten Technologien für den Betrieb von Webseiten und Online-Diensten. Die Programmiersprache läuft auf Webservern im Hintergrund und sorgt dafür, dass Inhalte dynamisch erzeugt werden, etwa bei Kontaktformularen, Kundenkonten, Online-Shops oder Nachrichtenportalen. Zahlreiche Behörden, Unternehmen und private Anbieter nutzen PHP für ihre Internetauftritte.

Die unter dem Namen "PHP2Shell" bekannt gewordenen Schwachstellen werden unter den Kennungen CVE-2026-109618 und CVE-2026-109619 geführt. Nach Angaben von Experten ermöglichen sie es Angreifern, aus der Ferne Schadcode auf betroffenen Servern auszuführen und diese unter Umständen vollständig zu übernehmen.

Die Sicherheitslücke betrifft sämtliche bekannten PHP-Versionen und Webseiten, die darauf basieren - potenziell viele Millionen weltweit. Hacker könnten sich über die Sicherheitslücke "direkten Zugriff" auf Datensysteme oder Server-Datenbanken verschaffen, erklärte die US-Behörde NSA.

Für Nutzerinnen und Nutzer von Smartphones oder Computern besteht keine unmittelbare Gefahr. Das Risiko liegt auf den Servern der jeweiligen Webseitenbetreiber. Werden diese kompromittiert, könnten Kundendaten, Passwörter oder Kontaktdaten betroffen sein.

Die Entwickler von PHP haben inzwischen Sicherheitsupdates zur Verfügung gestellt, die von den Webseiten-Betreibern eingesetzt werden müssen. Manchmal geschieht das auch automatisiert.

Der IT- und Serverexperte Manfred Kloiber vom Deutschlandfunk erwartet längerfristige Folgen. Problematisch seien ältere Anwendungen und Geräte, auf denen veraltete PHP-Versionen liefen . Dort reiche ein einfaches Update oft nicht aus, vielmehr müssten Systeme teilweise aufwendig umkonfiguriert oder neu programmiert werden.

Der Sprecher des Chaos Computer Clubs, Neumann, sagte im Deutschlandfunk , Behörden und Unternehmen müssten ihre Konzepte dahingehend anpassen, dass Sicherheitsupdates kurzfristig installiert werden könnten. Oftmals seien solche Updates in Behörden und Unternehmen noch eine monatliche Aufgabe.

Auch Neumann hält die Gefahr noch nicht für gebannt, weil Hacker sich zunächst oft unbemerkt Hintertüren einbauten, um Zugriff auf Webseiten zu erhalten. Er sprach sich dafür aus, dass Betreiber von Webseiten bei Fahrlässigkeit haften sollten, insbesondere bei unzureichendem Schutz von Kundendaten.

Der Branchenverband Bitkom bedauerte, dass viele Betreiber von Online-Anwendungen nicht wüssten, welche Komponenten in ihrer Software enthalten sind. Ein solcher Überblick sei aber die Voraussetzung, um in Bedrohungslagen schnell reagieren zu können.

Heute früh waren zahlreiche Webseiten von Stadtverwaltungen wieder online. Die Internetseiten einiger Kommunen - etwa in Dresden und Dessau-Roßlau - sind dagegen weiterhin nicht erreichbar. Auch die Auftritte einiger Krankenhäuser und Universitäten blieben abgeschaltet.

Der Deutsche Städte- und Gemeindebund forderte einen besseren Schutz vor Cyberangriffen. Ein Sprecher sagte der "Rheinischen Post", man sehe vor allem Bund und Länder in der Verantwortung, entsprechende Strukturen zur schnellen Reaktionsfähigkeit im Krisenfall bereitzustellen. Den Kommunen fehle es dafür zum Teil an finanziellen und personellen Ressourcen.