Kritische Sicherheitslücke: Was müssen Internetnutzer beachten?

Krankenhäuser, Behörden und Universitäten haben Webseiten vorsorglich vom Netz genommen. In vielen Bundesländern sind erste Angebote zurück – doch längst nicht alle. Was steckt dahinter?

Update vom 22.10.2026: "Millionen" Hacker-Versuche - viele Webseiten noch offline

Eine weltweite Sicherheitslücke im Internet verursacht weiterhin Unruhe. Zahlreiche Webseiten, darunter auch viele in Deutschland, waren am Donnerstag (22. Oktober 2026) noch betroffen. Weltweit habe es "Millionen" Versuche von Hackern gegeben, die Schwachstelle auszunutzen, sagte der Chef des IT-Unternehmens Cloudflare, Matthew Prince, dem britischen Sender Sky News.

Der Grund ist eine kritische Sicherheitslücke in der weit verbreiteten Programmiersprache PHP, auf der ein Großteil des Internets basiert - von einfachen Blogs über große Nachrichtenportale bis hin zu komplexen Onlineshops und Content-Management-Systemen wie WordPress.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) veröffentlichte eine offizielle Cybersicherheitswarnung. Es müssten rasch Sicherheitsupdates installiert werden, hieß es. Von den Schwachstellen gehe großes Bedrohungspotenzial aus. Mehrere Bundesländer, Kommunen, Behörden, Universitäten und Krankenhäuser nahmen daraufhin vorsorglich ihre Webseiten vorübergehend offline. Darunter waren diverse Ministerien, Kommunen und Landratsämter in Bayern.

Sicherheitsupdates sollten installiert werden

"Systeme, für die aktuell noch kein Sicherheitsupdate eingespielt werden konnte, dürfen unter keinen Umständen weiter am Netz bleiben", sagte der IT-Sicherheitsexperte Christoph Fischer der Deutschen Presse-Agentur. Er forderte ein drastisches Durchgreifen der Betreiber. "Jede ungeschützte PHP-Anwendung ist in diesem Moment eine offene Tür für Kriminelle."

Am Morgen waren einige Dienste wieder verfügbar, darunter viele Webseiten in Rheinland-Pfalz und im Saarland. Auch in Thüringen waren seit dem späten Mittwochabend viele Seiten wieder online, darunter die der Staatskanzlei, Landespolizei und des Innenministeriums.

Die vom Netz genommenen Webseiten bayerischer Behörden und Einrichtungen waren größtenteils wieder online. An manchen Stellen mussten sich Internetnutzer aber auch am Donnerstag noch nach Alternativen umschauen: So war am Vormittag die Internetseite des Verkehrsverbunds Großraum Nürnberg (VGN) nicht erreichbar. Stattdessen wurden Nutzer dort auf die App des Verkehrsverbunds verwiesen, bis die Schutzmaßnahme wegen der Sicherheitslücke beendet sei.

Verbraucher können indirekt betroffen sein

In Baden-Württemberg waren teilweise Hinweise auf Wartungsarbeiten zu lesen. "Die Maßnahme dient dem vorsorglichen Schutz der Infrastruktur, bis die Entwickler die erforderlichen Sicherheitsupdates bereitstellen", teilte das Staatsministerium mit.

Auch in Nordrhein-Westfalen waren am Morgen einige prominente Webseiten weiterhin nicht erreichbar. Mehrere Online-Services der NRW-Polizei waren nach Behördenangaben jedoch wieder online. "Nach intensiven Arbeiten konnten die Seiten wieder in Betrieb genommen werden", teilte das Landesamt für Zentrale Polizeiliche Dienste mit.

Für normale Internetnutzer bestand beim alltäglichen Surfen auf dem Smartphone oder PC zunächst kein direkter Handlungsbedarf, da sich die Sicherheitslücke nicht auf Endgeräten befindet, sondern auf den Servern im Hintergrund. Dennoch können Verbraucher indirekt betroffen sein - etwa durch Ausfälle wichtiger Onlinedienste oder potenzielle Datenabflüsse auf nicht rechtzeitig geschützten Webseiten.

Politiker spricht von "Wendepunkt"

Der Vorsitzende des Parlamentarischen Kontrollgremiums für die Geheimdienste, Marc Henrichmann, warnte vor einer neuen Dimension der Cyberbedrohung. "Wir erleben einen Wendepunkt", sagte der CDU-Politiker dem Handelsblatt. Künstliche Intelligenz mache aus Schwachstellen, die bisher als kaum ausnutzbar gegolten hätten, in kurzer Zeit "echte Einfallstore".

"Das ist eine der ernstesten Sicherheitslücken der vergangenen Jahre", sagte Henrichmann. Die Schwachstelle betreffe einen Großteil der Websites weltweit und sei "ein Problem für die gesamte digitale Infrastruktur". Der Fall zeige, wie verwundbar staatliche Einrichtungen seien, wenn zentrale Software über Jahre unentdeckte Fehler enthalte. Solche Sicherheitslücken würden gezielt von Kriminellen und staatlichen Akteuren ausgenutzt.

Ursprungsmeldung vom 21.10.2026: Zahlreiche Webseiten offline – BSI stuft Lage als "kritisch" ein

Eine neu entdeckte, schwerwiegende Sicherheitslücke bringt weltweit das Fundament zahlreicher Webseiten und Onlinedienste ins Wanken.

Die Homepages mehrerer Ministerien und der Polizei waren am Nachmittag nicht mehr erreichbar. "Aus sicherheitstechnischen Gründen ist dieses Webangebot aktuell leider nicht verfügbar", war dort teilweise als Hinweis zu lesen. Auch andere Behörden und Einrichtungen in Franken, wie das Landratsamt Rhön-Grabfeld, das Landratsamt Kitzingen und das Klinikum Nürnberg, waren nicht erreichbar.

Der Hintergrund ist eine neu entdeckte, ernsthafte Sicherheitslücke. Betroffen ist die weit verbreitete Programmiersprache PHP, auf der ein Großteil des Internets basiert – von einfachen Blogs über große Nachrichtenportale bis hin zu komplexen Onlineshops und Content-Management-Systemen wie WordPress.

Entwickler kündigten Sicherheitspatch an

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) und das bayerische Landesamt für Sicherheit in der Informationstechnik (LSI) hatten Alarm geschlagen und Warnungen herausgegeben. Das LSI stuft die Schwachstelle als "kritisch" ein. Die Entwickler des PHP-Projektes kündigten für Mittwochnachmittag die Veröffentlichung eines Sicherheitspatches an. Das BSI empfahl Betreibern von Internetangeboten jedoch ausdrücklich, ihre Server im Zweifel komplett vom Netz zu nehmen.

Das bayerische Innenministerium bestätigte am Nachmittag, dass man den eigenen Internetauftritt auf Empfehlung von BSI und LSI vorsorglich offline genommen habe. Das Update laufe bereits, die Internetseite solle danach wieder online sein. Man gehe davon aus, dass die Unterbrechung etwa eine Stunde dauern werde.