Fehlermeldung im Netz: Darum kappen Dresden und Plauen ihre IT-Systeme
Dresden. Wer am Mittwochnachmittag dresden.de aufruft, landet nicht beim Rathaus, sondern bei einer Fehlermeldung. Eine Panne ist das nicht: Die Stadt hat ihre Website und alle weiteren städtischen Internetauftritte temporär vom Netz genommen, bevor Angreifer eine frisch bekannt gewordene Sicherheitslücke ausnutzen können.
Auslöser ist eine Meldung des Network Operations Center (NOC) über eine Lücke in der Programmiersprache PHP, die auch hinter den städtischen Seiten steckt. Über solche Schwachstellen können Angreifer Schadcode auf Servern ausführen. Die Abschaltung sei reine Vorsorge, teilte die Stadt mit. Das Sicherheitsupdate werde bereits installiert.
Das BSI schlägt Alarm
Wie ernst die Lage ist, zeigt eine Warnung des Bundesamts für Sicherheit in der Informationstechnik (BSI). Betroffen sind nach dessen Angaben praktisch alle gängigen PHP-Versionen, und PHP läuft hinter einem Großteil der Websites weltweit. Ein Patch der Entwickler war für Mittwoch, 16 Uhr, angekündigt und soll sofort eingespielt werden.
BSI-Vizepräsident Thomas Caspers drängte zur Eile. „Wir halten eine kurzfristige, großflächige Ausnutzung innerhalb weniger Stunden nach Erscheinen der Sicherheitsupdates für wahrscheinlich: Angreifer können diese mittels KI-gestützter Werkzeuge innerhalb kurzer Zeit analysieren und entsprechende Exploits generieren. Es besteht also unverzüglicher Handlungsbedarf!“
Auch Plauen zog den Stecker
Dresden ist nicht allein. Auch die Stadt Plauen nahm ihre Website vom Netz, dazu die angeschlossenen Seiten von Fabrik der Fäden, Vogtlandbibliothek und Vogtlandkonservatorium. Der Webhoster sperrte dort alle Server mit sofortiger Wirkung. Betroffen ist auch die Online-Terminvergabe, die auf einem eigenen Server läuft und von der städtischen IT aktualisiert wird.
Ämter bleiben erreichbar
Wer ein Anliegen hat, kommt trotzdem durch. In Dresden sind die Ämter und Einrichtungen weiter per Telefon und E-Mail erreichbar, vereinbarte Termine finden wie geplant statt. In Plauen ist der Mittwoch ohnehin Schließtag, die Verwaltung ist zu den üblichen Öffnungszeiten telefonisch und per Mail zu erreichen.
Wann dresden.de genau zurückkommt, hängt am Tempo des Updates und den Sicherheitsprüfungen danach. Die Stadt rechnet erst am Donnerstag mit der Wiederinbetriebnahme.
