Am 21. Oktober 2026 waren zahlreiche Websites in Deutschland und weltweit vorübergehend nicht erreichbar. Der Grund: Zwei kritische Sicherheitslücken in PHP. Was dahintersteckt, warum selbst große Organisationen betroffen waren und was das für Dich bedeutet.
Vielleicht hast Du es selbst bemerkt: Plötzlich waren Internetseiten von Unternehmen, Behörden und anderen Einrichtungen nicht mehr erreichbar. Auch wir bei der Wittkiel Gruppe haben am 21. Oktober vorsorglich unsere gehosteten Websites abgeschaltet.
Doch was war eigentlich passiert? Und war das Internet wirklich in Gefahr?
Was steckt hinter der PHP-Sicherheitslücke?
PHP ist eine Programmiersprache, die auf vielen Webservern im Hintergrund arbeitet. Sie sorgt beispielsweise dafür, dass Kontaktformulare funktionieren, Inhalte angezeigt werden oder Buchungen verarbeitet werden können.
Auch bekannte Website-Systeme wie WordPress, TYPO3 und Joomla nutzen PHP.
Am 21. Oktober wurden zwei besonders kritische Sicherheitslücken bekannt.
Das Problem: Angreifer könnten diese Schwachstellen unter bestimmten Voraussetzungen ausnutzen, um eigenen Programmcode auf einem Server auszuführen, ohne sich vorher anmelden zu müssen.
Fachleute nennen das Remote Code Execution (RCE). Vereinfacht gesagt: Ein Angreifer könnte versuchen, einem fremden Server Befehle zu geben. Im schlimmsten Fall könnten dadurch Websites manipuliert, Daten ausgelesen oder weitere Systeme angegriffen werden.
Die PHP-Entwickler bewerteten die beiden Schwachstellen mit 9,2 von 10 Punkten auf der internationalen CVSS-Sicherheitsskala.
Das ist ein sehr hoher Wert und erklärt, warum Hosting-Anbieter und Sicherheitsbehörden so schnell reagiert haben.
Warum wurden Websites einfach abgeschaltet?
Weil es zunächst keine vollständige Absicherung ohne Sicherheitsupdate gab.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnte vor den gravierenden Risiken. Auch die europäische IT-Sicherheitsorganisation CERT-EU empfahl, gefährdete Systeme notfalls vorübergehend vom öffentlichen Internet zu trennen.
Und das betraf längst nicht nur kleine Websites. Zahlreiche bekannte Einrichtungen waren zeitweise nicht erreichbar:
- Behörden und Ministerien: Die Landesregierung Baden-Württemberg schaltete ihre offiziellen Portale sowie die Websites der Ministerien und Regierungspräsidien vorsorglich ab. Auch das Bundesministerium für Wohnen, Stadtentwicklung und Bauwesen und der Bundesgerichtshof (BGH) waren zeitweise offline.
- Polizei und Kommunen: In Nordrhein-Westfalen waren unter anderem Online-Anzeigen und digitale Verwaltungsdienste der Polizei betroffen. Auch Städte wie Mainz und Bochum sowie Lübeck, Neumünster und Rendsburg in Schleswig-Holstein nahmen Websites vom Netz.
- Universitätskliniken: Die Berliner Charité sowie Kliniken in Köln, Bonn, Düsseldorf, Heidelberg und Mannheim schalteten Webauftritte vorübergehend ab. Auch das Universitätsklinikum Schleswig-Holstein (UKSH) in Kiel und Lübeck war betroffen. Die medizinische Versorgung lief weiter.
- Hochschulen: Unter anderem das Karlsruher Institut für Technologie (KIT), die Universität Hamburg und Hochschulen in Heidelberg, Konstanz, Köln, Bonn, Paderborn und Hagen schränkten ihre digitalen Angebote vorsorglich ein.
Wichtig dabei: Eine abgeschaltete Website bedeutet nicht automatisch, dass sie gehackt wurde. In vielen Fällen war die Abschaltung gerade die Vorsichtsmaßnahme, um einen erfolgreichen Angriff zu verhindern.
Am Nachmittag des 21. Oktober veröffentlichten die PHP-Entwickler Sicherheitsupdates, sogenannte Patches. Diese schließen die bekannten Schwachstellen.
Inzwischen sind zahlreiche Websites wieder erreichbar. Bei einigen älteren PHP-Versionen gestaltet sich die Absicherung allerdings schwieriger, weil dafür keine regulären Updates mehr bereitgestellt werden.
Auch wir haben die notwendigen Sicherheitsmaßnahmen umgesetzt und den Großteil unserer Hosting-Websites wieder online gestellt. Die verbleibenden Systeme werden erst nach entsprechender Absicherung wieder freigeschaltet.
Stand: 22. Oktober 2026
Was bedeutet das für mich?
Wenn Du eine Website besuchst:
Für normale Internetnutzer besteht durch diese Sicherheitslücken zunächst kein direkter Handlungsbedarf am eigenen Smartphone oder Computer. Das Problem liegt auf den Servern, nicht auf Deinem Gerät.
War eine Website kurzzeitig nicht erreichbar, kannst Du sie später erneut besuchen. Das allein ist kein Hinweis darauf, dass Deine Daten gestohlen wurden.
Wenn Deine Website bei uns gehostet wird:
Dann kannst Du beruhigt sein: Wir haben schnell reagiert, die notwendigen Sicherheitsupdates durchgeführt und zusätzliche Schutzmaßnahmen getroffen, um unsere Hosting-Systeme gegen die bekannt gewordenen Schwachstellen abzusichern.
Websites, bei denen die erforderlichen Maßnahmen bereits abgeschlossen sind, haben wir wieder online gestellt. Die übrigen Systeme werden erst nach entsprechender Absicherung freigeschaltet.
Du musst dafür selbst nichts unternehmen. Wir kümmern uns um die technische Absicherung im Hintergrund und behalten die weitere Entwicklung im Blick.
Der Vorfall zeigt, wie wichtig zuverlässiges Hosting und eine laufende technische Betreuung sind. Denn manchmal bedeutet verantwortungsvolle IT-Sicherheit auch, eine Website vorübergehend abzuschalten, um größere Schäden zu verhindern.
Du hast Fragen oder benötigst IT-Unterstützung?
Wenn Du bereits Kunde bei uns bist und Fragen zur aktuellen Situation hast oder technische Unterstützung benötigst, melde Dich gerne direkt bei uns. Unser Team hilft Dir weiter.