Am Morgen nach der weltweiten Alarmierung über eine Sicherheitslücke im Netz sind viele Webseiten wieder erreichbar - aber längst nicht alle: Nach wie vor im Offline-Modus ist seit gestern etwa der VGN (Verkehrsverbund Großraum Nürnberg) - aus Sicherheitsgründen.
Denn: Ungeschützte Webseiten müssen im Kampf gegen die schwerwiegende PHP-Lücke nach Ansicht von IT-Sicherheitsexperten sofort abgeschaltet werden. Betroffen ist die weltweit verbreitete Programmiersprache PHP. Angesichts drohender automatisierter Angriffswellen fordert der Karlsruher IT-Sicherheitsexperte Christoph Fischer ein drastisches Durchgreifen der Betreiber.
„Systeme, für die aktuell noch kein Sicherheitsupdate eingespielt werden konnte, dürfen unter keinen Umständen weiter am Netz bleiben“, sagte Fischer der Deutschen Presse-Agentur. „Jede ungeschützte PHP-Anwendung ist in diesem Moment eine offene Tür für Kriminelle.“
In der Metropolregion Nürnberg waren der Einschätzung am Mittwoch gleich mehrere Kommunen und Kliniken gefolgt: Die Webseiten der Kliniken Neumarkt, Nürnberg und Forchheim wurden offline genommen, gleiches galt für die Seite der Technische Hochschule Nürnberg Georg Simon. Auch Caritas Nürnberg, der VGN, das BAMF und die Infra in Fürth sowie die Finanzämter in Fürth und in Forchheim schalteten ihre Seiten vorsichtshalber offline.
Die Seiten der Landratsämter Forchheim, Weißenburg-Gunzenhausen sowie Erlangen-Höchstadt, die Stadt Herzogenaurach, Roth, Hilpoltstein, Hersbruck und Ebermannstadt, das Polizeipräsidium Mittelfranken, die Bundespolizei sowie die Seiten des BRK Nürnberger Land, Fürth, Kreisverband Südfranken sowie Forchheim waren ebenfalls zeitweise nicht erreichbar.
Am Abend konnten einige Angebote wieder online gehen, darunter städtische Seiten wie die von Nürnberg, Hilpoltstein, Schwanstetten und Büchenbach. Auch das Klinikum Nürnberg war wieder online erreichbar, ebenso die Polizei. Weiterhin nicht erreichbar ist am Donnerstagmorgen der VGN, die Seite der VAG (Verkehrs-Aktiengesellschaft Nürnberg) funktioniert wie gewohnt.
Wie geht es weiter? Über das reine Abschalten hinaus weist Experte Fischer auf ein zentrales datenschutzrechtliches Problem hin: Wenn ein System über eine Schwachstelle kompromittiert wurde, sei es oft schwer zu sagen, was genau passiert sei und was abhandengekommen sei.
Gemäß der Europäischen Datenschutz-Grundverordnung (DSGVO) sei dieser Nachweis für betroffene Organisationen jedoch zwingend notwendig. Hier müsse man dringend nachbessern und eine bessere Forensik bereitstellen.
Zudem fordert Fischer, dass alle Beteiligten - vom PHP-Team über Provider und Webseiten-Betreiber bis hin zu den Behörden - für derartige IT-Katastrophen künftig fertige Notfallpläne in den Schubladen haben müssen.
Gravierende Schwachstelle
Am Mittwoch hatte unter anderem das Bundesamt für Sicherheit in der Informationstechnik (BSI) vor der gravierenden Schwachstelle mit dem Namen „PHP-Shell“ gewarnt. Bundesländer, Kommunen, Behörden, Krankenhäuser, Universitäten sowie andere öffentliche Einrichtungen, aber auch private Webseiten-Betreiber hatten daraufhin bereits ihren Internetauftritt vorsorglich vom Netz genommen. Angreifer können die Lücke nutzen, um aus der Ferne einen fremden Code auszuführen und Server vollständig zu übernehmen.
Für normale Internetnutzer bestand beim alltäglichen Surfen auf dem Smartphone oder PC zunächst kein direkter Handlungsbedarf, da sich die Sicherheitslücke nicht auf den Endgeräten der Anwender befindet, sondern auf den Servern im Hintergrund. Dennoch können Verbraucher indirekt betroffen sein - etwa durch Ausfälle wichtiger Onlinedienste oder potenzielle Datenabflüsse auf nicht rechtzeitig geschützten Webseiten.
Ob die breite Masse der Betreiber den Aufrufen von Behörden und Experten folgte und ungeschützte Systeme abgeschaltet hat, sollte sich in den nächsten Stunden zeigen. Experte Fischer geht davon aus, dass es Monate dauern wird, bis die vielen Millionen Systeme bereinigt sind.
Keine Kommentare