Bundesamt für Sicherheit in der Informationstechnik
BSI stellt bislang keine Angriffe durch PHP-Sicherheitslücke fest

Das Bundesamt für Sicherheit in der Informationstechnik hat bislang keine Fälle festgestellt, in denen die Sicherheitslücke in der Programmiersprache PHP ausgenutzt wurde. Die Behörde erklärte, dennoch könnten erfolgreiche Angriffe derzeit nicht ausgeschlossen werden.

    Mehrere Bildschirme stehen nebeneinander. Darauf zu lesen ist der Schriftzug des BSI: Bundesamt für Sicherheit in der Informationstechnik.
    Bundesinnenministerin Faeser hat das neue Nationale IT-Lagezentrum des BSI eröffnet. (Oliver Berg / dpa / Oliver Berg)
    Weiter hieß es, Webseiten der Bundesverwaltung, die präventiv vom Netz genommen worden seien, seien größtenteils wieder verfügbar. Der Deutsche Städte- und Gemeindebund hatte angesichts der Sicherheitslücke einen besseren Schutz vor Cyberangriffen gefordert. Ein Sprecher sagte der "Rheinischen Post", man sehe vor allem Bund und Länder in der Verantwortung, entsprechende Strukturen zur schnellen Reaktionsfähigkeit im Krisenfall bereitzustellen.
    Appell von IT-Experten
    Nach dem Bekanntwerden der Sicherheitslücke bei der Programmiersprache PHP fordern IT-Experten Nachbesserungen bei der Cybersicherheit und eine Haftung bei unzureichendem Schutz. Der Sprecher der Arbeitsgruppe Kritische Infrastruktur, Atug, sagte im Deutschlandfunk, es handle sich im Fall PHP um ein gravierendes Ausmaß. Mit Blick auf unzureichende Schutzmaßnahmen bei Nutzern der betroffenen Webanwendungen, kritisierte Atug, dass deutsche Unternehmens- und Behördenleitungen die Verantwortung oftmals nicht wahr- oder ernst nähmen. Der IT-Experte sprach sich dafür aus, in einem solchen Fall Rechtsdurchsetzungen vorzunehmen. Atug bezeichnete Lücken bei der Cybersicherheit der deutschen Wirtschaft als - so wörtlich - "riesig großes offenes Scheunentor" und verwies auf Schäden in Milliardenhöhe.
    Auch der Sprecher des Chaos Computer Clubs, Neumann, sprach sich im Deutschlandfunk dafür aus, Betreiber von Webseiten bei Fahrlässigkeit in Haftung zu nehmen, insbesondere bei gefährdeten Kundendaten.
    Mehr Informationen zu der Sicherheitslücke und ihren Folgen finden Sie hier.
    BSI: Gefahr noch nicht gebannt
    Diese Nachricht wurde am 22.10.2026 im Programm Deutschlandfunk gesendet.