PHP-Sicherheitslücke: Internetangebot bleibt eingeschränkt - BSI warnt vor "herausragendem Bedrohungspotenzial"

22.10.2026

PHP-Sicherheitslücke legt Hunderte Webseiten in Deutschland lahm
Schwachstelle in weit verbreiteter Programmiersprache PHP alarmiert Sicherheitsexperten
Etliche Webseiten und Online-Dienste in Gefahr - das müssen Sie jetzt beachten

Auch am Morgen des 22. Oktober 2026 sind in Deutschland zahlreiche Internetauftritte infolge einer gravierenden PHP-Sicherheitslücke weiterhin nicht vollständig verfügbar. Das offizielle Berliner Hauptstadt-Portal berlin.de beispielsweise verzeichnet nach wie vor Einschränkungen. Gleiches gilt für mehrere Krankenhäuser in der Region sowie verschiedene Universitäten, die nur begrenzt erreichbar sind.

Weltweite Sicherheitslücke in PHP bedroht das Fundament des Internets

Auslöser der massiven Störungen ist eine neu entdeckte kritische Sicherheitslücke in der Programmiersprache PHP. Diese Technologie bildet das Rückgrat eines erheblichen Teils des weltweiten Internets – von Blogs und Nachrichtenportalen über Online-Shops bis hin zu Content-Management-Systemen wie WordPress.

2265028

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) stufte die Bedrohung mit der Warnstufe "3 / Orange" als außerordentlich hoch ein. Laut der offiziellen Cybersicherheitswarnung droht ohne sofortige Gegenmaßnahmen eine massive Beeinträchtigung des Regelbetriebs. Die Schwachstellen könnten von Kriminellen ausgenutzt werden, um in Serversysteme einzudringen. Das BSI betonte, dass von der Lücke ein herausragendes Bedrohungspotenzial ausgehe und Sicherheitsupdates umgehend eingespielt werden müssten.

PHP-Sicherheitslücke legt deutsches Netz lahm - etliche Webseiten offline

Gleichzeitig zeichnet sich in Teilen des Landes eine Entspannung ab. In Rheinland-Pfalz und im Saarland konnten am Morgen viele Webseiten wieder freigeschaltet werden. Auch in Thüringen gingen bereits am späten Abend des 21. Oktober zahlreiche Angebote wieder ans Netz – darunter die Seiten der Staatskanzlei, der Landespolizei und des Innenministeriums. Am Vortag hatten Behörden, Kommunen und Unternehmen bundesweit ihre Webpräsenzen vorsorglich abgeschaltet, um dringend benötigte Sicherheitsupdates einzuspielen.

Webseiten der NRW-Polizei und S-Bahn Berlin wieder erreichbar

Besonders in Nordrhein-Westfalen hat sich die Lage bei den Polizeidiensten verbessert. Das Landesamt für Zentrale Polizeiliche Dienste (LZPD) meldete, dass die zuvor abgeschalteten Online-Services wieder funktionieren. "Nach intensiven Arbeiten konnten die Seiten wieder in Betrieb genommen werden", erklärte die Behörde. Am Mittwoch waren unter anderem die Online-Anzeigenerstattung und die Versammlungsanmeldung vorübergehend nicht nutzbar gewesen. Die Berliner S-Bahn gab in der Nacht zum 22.10. ebenfalls Entwarnung: Ihr Internetauftritt stehe wieder uneingeschränkt zur Verfügung. Dennoch bleibt die Situation in Nordrhein-Westfalen uneinheitlich – einige bekannte Webseiten im Bundesland waren auch am Donnerstag noch nicht wieder abrufbar.

Das müssen Bürgerinnen und Bürger jetzt zur Sicherheitslücke im Internet wissen

Für Privatpersonen besteht beim normalen Surfen am Smartphone oder Computer zunächst kein unmittelbarer Handlungsbedarf. Die Schwachstelle betrifft nicht die Endgeräte der Nutzer, sondern ausschließlich die Server, auf denen Webseiten betrieben werden. Dennoch spüren Verbraucher die Folgen deutlich: Behördenportale, Online-Dienste des Nahverkehrs und kommunale Serviceangebote sind vielerorts weiterhin nicht nutzbar. In Bochum etwa blieb das städtische Serviceportal abgeschaltet, Bauauskünfte konnten nicht abgerufen werden. In Hannover war bei der Üstra neben der Webseite auch der Fahrkartenkauf über die App betroffen. Zudem warnen Experten vor möglichen Datenabflüssen bei Webseiten, die nicht rechtzeitig abgesichert wurden. Polizeiliche Notrufe wie die 110 funktionieren uneingeschränkt, Anzeigen können weiterhin persönlich in jeder Dienststelle erstattet werden.

Weitere aktuelle Nachrichten haben wir hier für Sie zusammengefasst: