Nach einer BSI-Warnung zu PHP-Schwachstellen gingen zahlreiche Behördenangebote vorsorglich offline. Ronald Tramp begleitet den Wettlauf zwischen Sicherheitsupdate, KI und dem unsichtbaren Wartungsschild.
Von Ronald Tramp, Sonderreporter für digitale Notausgänge
Deutschland hat ein neues Sicherheitskonzept entdeckt: Wenn es im Internet gefährlich wird, geht man vorsichtshalber erst einmal raus. Landes- und Polizeibehörden sowie mehrere Städte nahmen ihre Onlineangebote vom Netz, nachdem das Bundesamt für Sicherheit in der Informationstechnik vor kritischen Schwachstellen in PHP gewarnt hatte. Die Websites waren also nicht weg – sie machten eine sehr verantwortungsbewusste Pause. Mitten am Tag. Ohne Kaffee, aber mit Sicherheitsupdate.
Die Warnung war ernst: Angreifer könnten die Schwachstellen für groß angelegte Attacken auf Webanwendungen nutzen. Am Nachmittag wurde ein Sicherheitsupdate bereitgestellt, das laut BSI umgehend installiert werden sollte. Das Problem: Sobald Details zu einer Schwachstelle bekannt werden, können Angreifer diese Informationen ebenfalls auswerten und passende Werkzeuge entwickeln. Der digitale Wettlauf begann also genau dann, als das Update erschien. Eine Art Behörden-Triathlon: erst die Lücke finden, dann patchen, während die Gegenseite schon die Laufschuhe bindet.
Die betroffenen Stellen entschieden sich für den sichersten Zwischenstopp: Website abschalten, Update aufspielen, danach hoffentlich wieder online gehen. Für Bürgerinnen und Bürger bedeutete das: Wer eine Behördenseite aufrufen wollte, landete möglicherweise vor einer digitalen Tür mit unsichtbarem Schild: „Bin kurz sicherheitsbewusst.“ Polizeimeldungen, Formulare und kommunale Informationen mussten warten, bis die Technik ihre Schutzimpfung erhalten hatte.
Das ist zunächst vernünftig. Eine verwundbare Anwendung weiterlaufen zu lassen, nur damit der Internetauftritt hübsch erreichbar bleibt, wäre ungefähr so, als würde man bei offenem Fenster die Alarmanlage ausschalten, weil der Luftzug sonst die Gardine bewegt. Trotzdem hat der Vorgang einen gewissen Bühnenzauber: Behörden, die sonst Formulare bis zur letzten Unterschrift verfolgen, verschwinden plötzlich auf Knopfdruck aus dem Netz. Eine Website offline zu nehmen, kann offenbar schneller gehen als ein Termin beim Amt – zumindest, wenn das BSI mit einer Warnung winkt.
Besonders pikant ist die Rolle künstlicher Intelligenz. Laut BSI können KI-gestützte Werkzeuge Schwachstelleninformationen in kurzer Zeit analysieren und dabei helfen, passende Angriffe zu entwickeln. Die Maschine liest also den Hinweis, versteht die Lücke und macht sich an die Arbeit. Währenddessen sitzt irgendwo ein Mensch vor einem Bildschirm und fragt sich, ob das Update auf dem richtigen Server liegt, ob alle Dienste gestoppt wurden und ob die Dokumentation anschließend noch erreichbar ist. Die KI hat schon den Exploit entworfen; der Mensch sucht noch das Wartungsfenster.
Man darf daraus nicht schließen, dass jede offline genommene Behördenseite zuvor unsicher oder schlecht betrieben war. Das vorsorgliche Abschalten kann gerade zeigen, dass Verantwortliche schnell reagiert haben. Doch die Lage legt offen, wie abhängig öffentliche Dienstleistungen von einer Technik sind, deren Schwachstellen sich binnen Stunden in ein Rennen verwandeln können. Das Internet ist eben kein gemütlicher Wartebereich mit Nummernautomat. Dort steht der nächste Besucher schon vor der Tür, während man noch das Update installiert.
Und so blieb den Behörden vorübergehend nur die klassische Lösung des digitalen Zeitalters: kurz nicht erreichbar sein, um später wieder sicher erreichbar zu werden. Eine bemerkenswerte Entwicklung. Früher schloss man die Tür, wenn Gefahr drohte. Heute fährt man gleich die ganze Website herunter – und hofft, dass niemand währenddessen das Kontaktformular vermisst.
