PHP S-Bahn München: Ticketkauf vorerst nicht möglich

Kritische Schwachstelle

Weltweite IT-Lücke: Seiten offline, keine Tickets für den MVV

Eine neu entdeckte Schwachstelle in einer weit verbreiteten Web-Technologie versetzt Behörden und Einrichtungen in Alarmbereitschaft. Auch die Münchner S-Bahn ist betroffen.

Wegen einer als kritisch eingestuften Sicherheitslücke in der Programmiersprache PHP haben bayerische Behörden und Einrichtungen ihre Webseiten vorübergehend abgeschaltet. Betroffen waren unter anderem mehrere Ministerien, die Polizei, die Stadtverwaltungen von München und Augsburg sowie zwei Kliniken.

Das Bundesamt für Sicherheit in der Informationstechnik und das bayerische Landesamt für Sicherheit in der Informationstechnik hatten zuvor Warnungen herausgegeben, wie die Deutsche Presse-Agentur berichtet.

PHP ist eine Programmiersprache, auf der ein Großteil des Internets aufbaut – von einfachen Blogs über Nachrichtenportale bis hin zu Onlineshops und Verwaltungssystemen wie WordPress. Die neu entdeckte Schwachstelle betrifft damit potenziell zahlreiche Webseiten und Onlinedienste weltweit. Das LSI stufte die Lücke als „kritisch“ ein.

Auf den abgeschalteten Seiten war teils der Hinweis zu lesen: „Aus sicherheitstechnischen Gründen ist dieses Webangebot aktuell leider nicht verfügbar.“ Neben Behörden waren auch bayerische Unternehmen betroffen. So fand sich auf der Website des Münchner Verkehrsverbunds (MVV) der Hinweis, dass der Kauf von Tickets derzeit nicht möglich sei. Man habe den Ticketkauf daher vorsorglich deaktiviert und arbeite an einer schnellen Lösung. Die Internetseite der bayerischen Polizei ging indes am frühen Mittwochabend wieder ans Netz.

Eine Sprecherin des LSI erklärte, das Abschalten der Staatsregierungs-Webseiten sei „eine reine Vorsichtsmaßnahme“ gewesen, um eine sofortige Ausnutzung der Schwachstelle für Angriffe zu verhindern. „Bislang gibt es keine Anzeichen für einen Hackerangriff“, sagte sie.

Das bayerische Innenministerium bestätigte, den eigenen Internetauftritt auf Empfehlung von BSI und LSI vorsorglich vom Netz genommen zu haben. Eine Sprecherin teilte mit, das Update laufe bereits und die Seite solle danach wieder online gehen. Die Unterbrechung werde voraussichtlich etwa eine Stunde dauern. Das BSI empfahl Betreibern von Internetangeboten ausdrücklich, ihre Server im Zweifel vollständig abzuschalten. Die Entwickler des PHP-Projekts kündigten zeitnah die Veröffentlichung eines Sicherheitspatches an.