Sicherheitslücke: Zahlreiche Behörden-Webseiten in Hessen abgeschaltet
"Wartung: Wir sind bald wieder für Sie da!" Diese Meldung war zu sehen, wenn man am Mittwochmittag die Webseiten der hessischen Landesregierung aufrufen wollte. "Aufgrund von Wartungsarbeiten ist unsere Internetseite momentan leider nicht verfügbar. Bitte versuchen Sie es zu einem späteren Zeitpunkt", hieß es dort weiter.
"Aufgrund einer Sicherheitslücke in der Software PHP, die auch für die Webangebote der Hessischen Landesregierung genutzt wird, werden derzeit technische Anpassungen vorgenommen", teilte eine Sprecherin der Staatskanzlei auf Anfrage der hessenschau mit.
Bislang keine Hackerattacke
In diesem Zusammenhang seien hessen.de sowie die Webseiten der Ministerien und der nachgeordneten Behörden im Hessen-Web vorübergehend nicht erreichbar. Am Abend waren die Seiten wieder verfügbar.
"Die vorübergehende Abschaltung erfolgt rein vorsorglich, um möglichen Sicherheitsrisiken entgegenzuwirken und die Sicherheit der Webangebote zu gewährleisten", sagte die Sprecherin. Eine Hackerattacke auf die Webseiten der Landesregierung habe es bislang nicht gegeben.
Auch BKA zeitweise offline
Auch das Bundeskriminalamt (BKA) in Wiesbaden hatte seine Webseite vorsorglich vom Netz genommen. Während der Behebung der PHP-Sicherheitslücken sei die Webseite aus Sicherheitsgründen vorübergehend nicht erreichbar, bestätigte ein BKA-Sprecher.
Zahlreiche weitere Internetseiten in Hessen waren zumindest zeitweise nicht erreichbar. Betroffen waren unter anderem die Städte Offenbach und Kassel, die Universität Kassel und die Frankfurt University of Applied Sciences, die Landkreise Werra-Meißner, Waldeck-Frankenberg und Wetterau sowie die Unikliniken Gießen Marburg und Frankfurt. Zeitweise offline waren zudem die Webseiten des Bundesinstituts für Bevölkerungsforschung (BiB), der hessischen Feuerwehr und das Tourismusportal edersee.com.
Sicherheitslücke birgt Gefahren
Hintergrund ist die neu entdeckte Sicherheitslücke in der Programmiersprache PHP, die weltweit auf zahlreichen Internetseiten und für Onlinedienste eingesetzt wird. "Es wurden zwei schwere Fehler in PHP selbst entdeckt", sagt Dennis Kenji-Kipker, IT-Sicherheitsexperte beim cyberintelligence.institute in Frankfurt.
Demnach können Angreifer die Sicherheitslücken aus der Ferne ausnutzen, um eigenen Schadcode auf betroffenen Servern auszuführen. "Sie müssen sich dafür nicht einmal anmelden, und das ist auch die Schwere, die wir sehen", so Kipker.
Im schlimmsten Fall könnten die Angreifer dadurch die Kontrolle über einen Server übernehmen und beispielsweise auf gespeicherte Kundendaten oder Passwörter zugreifen.
Bundesamt warnt vor großem Bedrohungspotenzial
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnte vor der Schwachstelle und empfahl, betroffene Server vorübergehend vom Internet zu trennen. Das Amt stufte das Risiko in einer Warnung mit der Stufe "3/Orange" als außerordentlich hoch ein. Von der Schwachstelle gehe ein herausragendes Bedrohungspotenzial aus.
PHP wird von vielen verbreiteten Systemen genutzt, mit denen Webseiten erstellt und verwaltet werden. Dazu gehört WordPress, aber auch andere Content-Management-Systeme wie Joomla!, TYPO3 und Drupal setzen auf die Programmiersprache. Die Webseiten und Apps des Hessischen Rundfunks sind nach derzeitigem Stand nicht betroffen.
Problem betrifft Internetseiten weltweit
"Entdeckt hat die Lücke ein Team von Sicherheitsforschern", sagt Kipker. Eigentlich sollten die Informationen erst später veröffentlicht werden, damit die Entwickler eine verbesserte Version bauen können. "Aber schon am Dienstag sind erste Hinweise im Netz durchgesickert", berichtet Kipker. Wer diese weitergegeben hat, ist bislang unklar.
"Es werden teilweise bereits Angriffe gemeldet", sagt der IT-Sicherheitsexperte. Cybersicherheitsfirmen suchen demnach aktuell nach Spuren möglicher Angriffe. In Hessen sind bislang keine Hackerangriffe im Zusammenhang mit der Sicherheitslücke bekannt.
Wie lange das Ganze dauern wird, ist bislang unklar. "Gut betreute Seiten können binnen Stunden bis weniger Tage geschützt werden", so Kipker. Bei größeren Anbietern könnte es etwas länger dauern.
Was sollten Webseitenbetreiber tun?
IT-Experten raten Webseitenbetreibern, sich unverzüglich mit den zuständigen Systemadministratoren, IT-Dienstleistern oder Webhosting-Anbietern in Verbindung zu setzen. Sie sollten ihre Systeme so schnell wie möglich aktualisieren.
Bei älteren, nicht mehr unterstützten PHP-Versionen kann es erforderlich sein, weitere Schutzmaßnahmen zu ergreifen. Die Entwickler von PHP haben am Nachmittag ein Sicherheitsupdate veröffentlicht.
Für normale Internetnutzer besteht beim alltäglichen Surfen auf dem Smartphone oder PC kein direkter Handlungsbedarf, da sich die Sicherheitslücke nicht auf den Endgeräten der Anwender befindet, sondern auf den Servern im Hintergrund. Indirekte Folgen sind dennoch möglich: Internetangebote könnten vorübergehend ausfallen. Bei erfolgreichen Angriffen besteht zudem die Gefahr, dass Daten in fremde Hände gelangen.