Maschinen · Wochenthema

Eine Woche, zwei Warnungen: PHP-Lücke und KI-Angreifer

Vorsorgliche Abschaltungen in halb Europa und eine KI-Angriffsserie für 5.000 Dollar zeigen, wie schnell und billig Angriffe werden.

WORTH Signals · 24.10.2026 · 6 Min. Lesezeit · English

Eine Woche, zwei Warnungen: PHP-Lücke und KI-Angreifer

Zwei kritische Lücken in PHP haben in dieser Woche Behörden, Kliniken und Hochschulen in Europa und in Japan auch Banken dazu gebracht, Websites und Onlinedienste vorsorglich abzuschalten; bestätigte Einbrüche gab es bis Freitag nicht. Parallel wurde bekannt, dass ein einzelner Angreifer mit KI-Agenten für rund 5.000 Dollar mehr als 1.200 Websites angriff und bei über 100 Unternehmen eindrang.

Die Woche

17. Oktober: Amazons Köder-Server registrieren einen ersten Angriffsversuch auf die PHP-Lücken, vier Tage vor dem offiziellen Update. Wie die Angreifer an die Information kamen, ist offen.
19. Oktober: Die Sicherheitsfirma NorForge und Reuters machen eine KI-gesteuerte Angriffsserie öffentlich. Betroffen sind unter anderem Websites von Deere und SharkNinja.
21. Oktober: Das PHP-Projekt veröffentlicht die Updates. Cloudflare zählt binnen 45 Minuten Zehntausende, bis zum Folgetag Millionen Angriffsversuche. Das BSI ruft zum sofortigen Handeln auf.
21. und 22. Oktober: In Deutschland gehen unter anderem Seiten von Bundespolizei, Robert Koch-Institut und Zoll, mehrere Landesportale, Städte wie München und Köln, die Charité und viele Hochschulen vorsorglich vom Netz. In den Niederlanden ist das Bürgerportal DigiD einige Stunden offline. In Japan setzen Shizuoka Bank, die 77 Bank und Mizuho Teile ihrer Onlinedienste aus.
23. Oktober: Die meisten deutschen Dienste sind wieder erreichbar. Mehrere Sicherheitsfirmen melden weiterhin keine bestätigten Übernahmen, BSI-Vizepräsident Thomas Caspers spricht von beobachteten, aber erfolglosen Angriffen.

Was passiert ist

Die Woche zeigt zwei Entwicklungen, die zusammengehören. Erstens reicht eine einzige Lücke in einer Basistechnik, um in vielen Ländern zugleich öffentliche Dienste vom Netz zu nehmen. Die Abschaltungen waren Vorsorge, keine Folge erfolgreicher Angriffe. Sie zeigen aber, wie wenig Spielraum Betreiber haben, wenn Angreifer binnen Minuten reagieren und offenbar schon vor der Veröffentlichung aktiv waren. Zweitens werden Angriffe billig. In der von NorForge beschriebenen Serie kostete ein erfolgreicher Einbruch rechnerisch rund 50 Dollar an Rechenleistung. Die Agenten arbeiteten selbstständig, im Schnitt knapp einen Tag pro Einbruch, laut Reuters offenbar mit DeepSeek und Claude Code. In Südkorea griffen Angreifer Ende September und Anfang Oktober Banken, Sparkassen und Kapitalmarktfirmen gleichzeitig mit KI-gestützten Werkzeugen an. Das BSI warnte, Angreifer könnten neue Lücken mit KI-Werkzeugen sehr schnell auswerten. Damit schrumpft die Zeit zwischen Bekanntwerden einer Lücke und dem ersten Angriff, die Verteidigern zum Aktualisieren bleibt.

Fragen

Kann eine Lücke wie diese einen Blackout auslösen?

Nach heutigem Stand nicht. Betroffen waren Websites, Portale und Apps, also die öffentliche Schaufensterebene. Einordnung: Stromnetze werden über eigene Leitsysteme gesteuert, die nicht auf PHP-Webservern laufen und vom Internet getrennt sein sollen. Die Abschaltungen dieser Woche waren freiwillig und zeitlich begrenzt. Das reale Risiko liegt woanders: Ein übernommener Webserver kann zum Einstieg in ein internes Netz werden, wenn Systeme schlecht voneinander getrennt sind. Amazon rät deshalb, verdächtige Aktivitäten bis mindestens zum 17. Oktober zurückzuverfolgen, auch auf bereits aktualisierten Servern.

Was passiert, wenn die alten Kernsysteme der Banken angegriffen werden?

Viele Banken führen Konten und Buchungen noch auf Großrechnern mit Programmen in COBOL, einer Sprache aus den späten 1950er-Jahren. Diese Systeme sind in der Regel nicht direkt aus dem Internet erreichbar. Das Risiko entsteht an den Übergängen: Apps, Schnittstellen, Dienstleister. In Südkorea warnen Fachleute, dass über Jahrzehnte angebaute Funktionen bekannte Schwachstellen schwer behebbar machen. KI wirkt in beide Richtungen: Sie hilft Angreifern, alten Code zu analysieren, und Banken wie KB Kookmin setzen sie ein, um COBOL in moderne Sprachen zu übertragen. Ein erfolgreicher Angriff auf ein Kernbankensystem ist in dieser Woche nicht bekannt geworden.

Waren deutsche Banken betroffen?

In den ausgewerteten Übersichten taucht keine deutsche Bank mit abgeschaltetem Onlinebanking auf. Betroffen waren in Deutschland vor allem Behörden, Kliniken, Hochschulen, Medien und Hoster. In Japan dagegen setzten mehrere Banken Teile ihrer Onlinedienste vorsorglich aus.

Die nächsten Wochen

In den kommenden Wochen geht es um Aufräumarbeit. Der Engpass sind Altsysteme: Der Hoster Mittwald hatte bis Freitag keine Korrektur für sehr alte PHP-Versionen. Weil Angreifer schon vor dem Update aktiv waren, müssen Betreiber prüfen, ob Server unbemerkt übernommen wurden. Einordnung: Erfahrungsgemäß folgen auf solche Schlagzeilen Phishing-Wellen, etwa angebliche Sicherheitshinweise von Banken oder Hostern.

Ein bis drei Jahre

Die Kosten pro Angriff sinken, die Zahl möglicher Angreifer steigt. Wenn ein Einbruch rund 50 Dollar kostet, lohnen sich auch kleine Ziele wie Mittelständler, Praxen und Kommunen. Für Unternehmen verschiebt sich die Frage von der Abwehr an sich zur Geschwindigkeit: Wer Updates in Tagen statt Stunden einspielt, ist im Nachteil. In der EU gelten mit NIS2 und für Finanzunternehmen mit DORA bereits Pflichten zu Meldung und Widerstandsfähigkeit. Einordnung: Die Woche liefert Aufsichten und Versicherern Argumente, Prüfungen zu verschärfen und Bedingungen an die Reaktionszeit zu knüpfen.

Fünf bis zehn Jahre

Langfristig entscheidet sich, ob KI eher Angreifern oder Verteidigern nützt. Dieselben Modelle, die Lücken finden, können Code prüfen, bevor er ausgeliefert wird, und alte Programme modernisieren. Die Debatte ist offen: Anthropic-Chef Dario Amodei hält Beschränkungen für offene Modelle für nötig, andere argumentieren, offene Modelle stärkten vor allem die Verteidigung. Einordnung: Für Organisationen mit viel Altsoftware, darunter Behörden und Banken, wird Modernisierung damit zur Sicherheitsfrage und nicht nur zur Kostenfrage. Wer seine Systeme versteht und schnell ändern kann, hat einen strukturellen Vorteil.

Worauf zu achten ist

Ob CISA oder BSI erste erfolgreiche Übernahmen über die PHP-Lücken bestätigen
Ob BaFin oder EBA Banken zu KI-gestützten Angriffen befragen oder Vorgaben machen
Weitere Berichte über autonome KI-Angriffsserien und die Reaktion der Modellanbieter