Minden – Eine kritische Sicherheitslücke in der Programmiersprache PHP hat die Kreisverwaltung Minden-Lübbecke zum Handeln veranlasst. Bürger müssen sich vorübergehend auf Ausfälle einzelner Webseiten und digitaler Dienste sowie auf eingeschränkte Verwaltungsleistungen einstellen. Das teilte die Kreisverwaltung Kreis Minden-Lübbecke mit.
Nach Angaben der Kreisverwaltung betrifft die globale IT-Sicherheitslage auch die eigenen IT-Systeme. Die IT-Abteilung habe deshalb unverzüglich Schutzmaßnahmen eingeleitet, um Risiken früh zu verringern und Systeme sowie Daten zu sichern.
Die Lücke wurde am 21. Oktober 2026 öffentlich bekannt. PHP wird laut Kreisverwaltung weltweit für viele Internetangebote genutzt, ebenso für Teile der eigenen Webanwendungen und digitalen Dienste. Nach Angaben der Kreisverwaltung hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) eine Warnung der Stufe Orange herausgegeben. Schlimmstenfalls könnten Angreifer sich ohne Anmeldung Zugriff verschaffen, Schadcode auf betroffenen Servern starten und die Systeme komplett übernehmen.
Die Schutzmaßnahmen
Die IT-Abteilung des Kreises und die OWL-IT setzen nach eigenen Angaben konsequent um, was BSI und CERT-EU empfehlen. Dazu gehören diese Schritte:
- Vorübergehende Netztrennung: Systeme und Onlinedienste, die gefährdet sein könnten, nimmt die IT kontrolliert und vorsorglich vom Netz, um mögliche Angriffswege zu kappen.
- Zeitnahe Sicherheitsupdates: Die Entwickler haben die nötigen Korrektur-Updates bereitgestellt. Nach der schnellstmöglichen Installation folgt eine Prüfung auf Funktionsfähigkeit und Sicherheit.
- Kontrollierte Wiederinbetriebnahme: Sind Update und Sicherheitsprüfung erfolgreich, gehen die betroffenen Systeme und Dienste Schritt für Schritt wieder online.
Erste Störung bereits behoben
Am Vormittag waren im Bürger-Service Kartenzahlungen zeitweise nicht möglich. Diese Störung ist mittlerweile behoben. „Wir beobachten die weitere Entwicklung aufmerksam und passen unsere Schutzmaßnahmen an“, sagte Jörg-Michael Schrader, der als Dezernent für Digitalisierung und Informationstechnik zuständig ist. Werden zusätzliche Einschränkungen nötig, wolle der Kreis darüber informieren.
Einordnung
Das BSI beschreibt die Schwachstellen in einer Cybersicherheitswarnung. Die PHP-Entwickler hatten demnach Details und Patches zu zwei Schwachstellen in der Programmiersprache für den 21. Oktober 2026 angekündigt. Laut CVSS-Einstufung besteht die Gefahr, dass Angreifer über das Netz Schadcode auf Webservern zum Laufen bringen, auf denen PHP-Anwendungen betrieben werden.
Das BSI schließt aus den CVSS-Werten, dass Angreifer die Lücke ausnutzen können, ohne sich anmelden zu müssen und ohne dass ein Nutzer etwas tun muss. Das entspricht der Formulierung „ohne vorherige Anmeldung“ der Kreisverwaltung. In Berichten werden die Schwachstellen auch „PHP2Shell“ genannt, um die Ähnlichkeit mit der Schwachstelle „Log4Shell“ aufzuzeigen.
Laut BSI ist bislang keine erfolgreiche Ausnutzung in der Breite bekannt. Das CERT-EU rät Organisationen, betroffene Systeme sofort zu patchen. Wo das nicht möglich ist, sollten internetnahe Anwendungen bis zur geprüften Korrektur von öffentlichen Netzen getrennt werden. Das erklärt, warum auch die Kreisverwaltung Dienste vorsorglich vom Netz nimmt.
Redaktionsnotiz
Dass die Verwaltung Dienste lieber vorsorglich abschaltet, als Risiken einzugehen, ist nachvollziehbar, auch wenn es für Bürger lästig ist. Offen bleibt, welche Dienste genau betroffen sind und wie lange die Einschränkungen dauern. Wer etwas beim Kreis erledigen will, sollte bei Problemen später noch einmal versuchen.
