Claudia Urbasek

Millionen Webseiten sind durch eine schwere Sicherheitslücke in der Programmiersprache PHP bedroht. Das trifft auch kleine Webseiten-Inhaber, zum Beispiel von Vereinen oder Shops. Felix Freiling, Inhaber des Lehrstuhls für IT-Sicherheit an der Friedrich-Alexander-Universität (FAU) im Department Informatik, erklärt, was jetzt zu tun ist, um die eigene Webseite zu schützen.((ContentAd))Herr Freiling, die PHP-Sicherheitslücke bedroht Millionen Webseiten. In großen Unternehmen und Behörden reagieren die IT-Abteilungen sofort. Aber was tue ich, wenn ich zum Beispiel für einen kleinen Verein eine Webseite gebaut habe und nun gar nicht weiß, was ich tun soll?Zunächst muss man erstmal schauen, ob die eigene Website überhaupt PHP verwendet, es gibt unterschiedliche Arten, eine Website zu betreiben. Viele Leute buchen bei einem Webseitenanbieter eine Domain. Sie haben dann eine Art Editor. Dort gibt man die Daten für die eigene Website ein. Der Webseitenanbieter generiert die Seite und stellt sie online. In dem Fall hat man eigentlich gar keine Möglichkeit, Einfluss darauf zu nehmen, ob man sicher ist oder nicht. Da liegt die Verantwortung bei dem Host, also bei der Firma, bei der Sie die Domain gebucht haben und die die Seite für Sie online stellt. In diesem Fall muss der Webseitenanbieter den Patch, der die Sicherheitslücke schließt, einspielen. Der Hoster muss die Technologie hinter der Webseite aktuell halten, es ist dessen Verantwortung.Es gibt aber eine weitere Kategorie.((Platzhalter))Ja, die nächste, meist etwas teurere Kategorie, ist beispielsweise eine WordPress- oder Typo3-Instanz. Die kann man selbst konfigurieren. Zum Beispiel: Wenn die Friedrich-Alexander-Universität eine eigene Website betreibt, bei der sie entscheidet, dass sie sie im FAU-Design haben möchte, mit bestimmten Funktionen, beispielsweise auch zur Datenabfrage oder Ähnlichem. Dann hat man normalerweise Kontrolle über die Technologien, die auf den Webseiten betrieben werden. Da hat man üblicherweise Zugang zu einem Portal, auf dem man alles konfigurieren kann und auch sagen kann, welche PHP-Version man nutzen will. In WordPress ist das zu finden im WordPress-Admin-Dashboard unter „Werkzeuge/Website-Zustand/Bericht/Server/PHP“, bei anderen Portalen im Control-Panel, oft im Reiter „Entwicklung“. Wer seine Seite auf dieser Basis erstellt, sollte unbedingt sofort Folgendes tun: Man sollte schauen, welche PHP-Version aktiviert ist, und diese deaktivieren. Denn selbst die neueste Version ist seit gestern veraltet. Noch sicherer ist es, die komplette Seite offline zu nehmen, bis der neue Patch aufgespielt ist.((Platzhalter))Wie gehe ich denn dann weiter vor?Dann muss man in dem Portal, in dem man seine Webseite konfiguriert, schauen, ob eine aktuellere Version, also eine gepatchte Version von PHP, die die Sicherheitslücke schließt, verfügbar ist und diese auswählen und aktivieren. Wichtig ist zu wissen: Es gibt noch nicht für alle PHP-Versionen eine gepatchte Version. In dem Fall sollte man die Website so lange offline lassen, bis es eine Version gibt, die die Lücke schließt.((ContentAd))Gibt es noch eine dritte Art, Webseiten zu betreiben?Ja, da hat man einen eigenen Server und konfiguriert den. Das ist dann eigentlich nur für Informatiker und Experten interessant.Kann ich als Nutzer eines Portals das Update durchführen, wenn die Seite offline ist?Ja, sobald das Update der PHP-Version im Portal des Hosts verfügbar ist, kann ich es aktivieren. Der Webseitenanbieter ist in der Verantwortung, die gepatchte Version zur Verfügung zu stellen, aktivieren muss sie aber der Nutzer im Portal. Es ist als allererster Schritt aber ganz wichtig, die Seite offline zu nehmen, wenn für die eigene Seite PHP genutzt wird. Solange man sie online hat und die veraltete PHP-Version noch draufhat, besteht jederzeit die Möglichkeit, dass sich Angreifer dieser Website bemächtigen. Dann hilft es auch nicht, später die PHP-Version zu aktualisieren, da ist der Rechner schon kompromittiert und es muss eigentlich neu aufgesetzt werden.Wie erkenne ich denn als Laie, ob es schon einen Zugriffsversuch gegeben hat?Leute, die sich damit auskennen, schauen sich die Log-Dateien an, also die Protokoll-Dateien der Web-Server, ob es da irgendwelche ungewöhnlichen oder ungewohnt viele Zugriffe gab in einer bestimmten Zeit. Aber ansonsten erkennt man das eigentlich erst, wenn es zu spät ist, nämlich wenn die Webseite andere Sachen anzeigt, die man gar nicht anzeigen möchte.

Felix Freiling Schatten

Friedrich-Alexander-Universität Erlangen-Nürnberg

216783130 (1)

Kliniken in Nürnberg und Erlangen betonen nach PHP-Lücke: Patientendaten sind sicher

Eine schwerwiegende Sicherheitslücke bringt weltwe

Dieser Cyberattacken-Schock zeigt: Wir müssen unsere digitale Sicherheit aufrüsten

https://images.nordbayern.de/image/contentid/policy:1.15325423:1792681262/Felix_Freiling_Schatten.jpg?f=16:9&h=320&m=FIT&w=600&$p$f$h$m$w=d68f742

https://www.nn.de/region/sie-betreiben-eine-webseite-fau-experte-erklart-wie-man-die-php-sicherheitslucke-schliesst-1.15325422

Erlangen - Wer eine Webseite betreibt, ist derzeit in Sorge. Eine schwere Sicherheitslücke ist ein Einfallstor für Angreifer. Ein Erlanger Experte erklärt Schritt für Schritt, was jeder, der eine Webseite betreibt, nun tun muss, um die Lücke zu schließen. 

Sie betreiben eine Webseite? FAU-Experte erklärt, wie man die PHP-Sicherheitslücke schließt