Webseite wegen Wartungsarbeiten nicht erreichbar? Notfall-Updates nach der PHP-Lücke erklärt

WindowsMaciPhoneAndroidAktualisiert

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) schrieb in seiner Warnung zu den PHP-Lücken vom Oktober 2026, einige Betreiber von PHP-Webservern hätten vorsorglich Systeme vom Internet getrennt. Deshalb sei die Erreichbarkeit verschiedener Webseiten in Deutschland eingeschränkt, bis die betroffenen Server aktualisiert sind. Das ist ein möglicher Grund für eine Wartungsseite. Dieser Ratgeber hat den Stand vom 23. Oktober 2026.

Kurze Antwort

Nachdem am 21. Oktober 2026 zwei kritische PHP-Lücken bekannt wurden, rieten BSI, die US-Behörde CISA und das britische NCSC, PHP sofort zu aktualisieren und Systeme notfalls vom Netz zu nehmen. Eine Wartungsseite kann bedeuten, dass der Betreiber genau das tut. Warte ab, prüf die offiziellen Kanäle der Seite und gib keine Daten auf nachgemachten Seiten ein.

Warum gehen Websites nach einer Sicherheitswarnung in den Wartungsmodus?

Weil die Lösung eine Änderung der Software auf dem Server ist, und ein Server, der sich nicht schnell reparieren lässt, abgeschaltet sicherer sein kann. PHP ist die Sprache, mit der viele Websites laufen. Das PHP-Projekt hat am 21. Oktober die korrigierten Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht. Laut seinem Hinweis ist nur ein Update eine vollständige Lösung. Die Lücken selbst beschreibt unsere Erklärung zur PHP-Sicherheitslücke, und Was ist PHP? erklärt, warum ein Fehler auf dem Server so viele Seiten betrifft.

Das BSI betont, dass die Lücken in der PHP-Laufzeitumgebung selbst stecken und nicht in einzelnen Anwendungen. Ein Update etwa von WordPress reicht deshalb nicht, PHP darunter muss ebenfalls gepatcht werden.

Nicht jedes Update geht schnell. Die japanische Behörde IPA schreibt, Systeme, die lange nicht aktualisiert wurden, könnten Änderungen am Code der Website und neue Tests brauchen. Fehlende Dokumentation, nicht mehr verfügbares Personal oder ausgelaufene Wartungsverträge könnten die Arbeit aufhalten. In der Zwischenzeit ist eine Wartungsseite oft das sichtbare Zeichen.

Was haben die offiziellen Stellen geraten?

Alle setzen das Update an die erste Stelle. Unterschiede gibt es bei der Frage, was gilt, wenn das nicht sofort geht.

  • BSI (Deutschland). Können Patches nicht umgehend installiert werden, empfiehlt das BSI, eine vorübergehende Trennung vom Internet zu erwägen, da alle Workarounds keinen vollständigen Schutz bieten. Ist beides nicht möglich, sollen mindestens die Anpassungen aus den Workarounds umgesetzt werden. Seine Kritikalitätsstufe für die Warnung ist 3 von 4 (Orange): Maßnahmen müssen unverzüglich ergriffen werden.
  • CISA (USA). Sofort patchen. Organisationen, die nicht sofort aktualisieren können oder noch PHP 8.1 oder älter nutzen, sollen PHP-Systeme vom Netz nehmen, bis sie gepatcht oder aktualisiert sind.
  • NCSC (Großbritannien). PHP aktualisieren, zuerst Systeme mit Internetzugang. Lassen sich auch die vorübergehenden Schutzmaßnahmen nicht oder nicht schnell genug umsetzen, sollen Organisationen erwägen, das System vom Netz zu nehmen, bis es vollständig abgesichert ist.
  • IPA (Japan). Ein verwundbares System soll nicht einfach weiterlaufen. Wo wirksame Zwischenlösungen schwierig sind, sollen Organisationen entscheiden, ob sie den Zugriff von außen sperren oder den Dienst vorübergehend einstellen, und dabei möglichen Schaden gegen die Folgen für ihr Geschäft abwägen.

Was mache ich, wenn eine Seite wegen Wartung nicht erreichbar ist?

Meistens: warten. Die Reparatur ist Sache des Betreibers. Nichts, was du auf deinem Handy oder Computer installierst, repariert den Server einer Website.

  1. Schau in die offiziellen Kanäle der Seite, etwa ihre bekannten Social-Media-Konten, die App, die du schon nutzt, oder eine erwartete E-Mail. Die IPA rät Organisationen, ihre Nutzer über Alternativen zu informieren, solange ein Dienst geändert oder eingestellt wird.
  2. Wenn du das Unternehmen erreichen musst, nutze Kontaktdaten, die du schon kennst. Das BSI rät bei verdächtigen Nachrichten, die Seite über die Startseite der Organisation aufzurufen, statt einem Link zu folgen.
  3. Kehr zur Seite zurück, indem du die Adresse selbst eintippst oder dein eigenes Lesezeichen nutzt. Das BSI empfiehlt, häufig besuchte Login-Seiten als Favoriten zu speichern.

Muss ich mit nachgemachten Seiten rechnen?

Vorsicht ist angebracht. Das BSI schreibt, Fälschungen von Webseiten sähen immer professioneller aus. Stutzig solltest du etwa werden, wenn eine Adresse zwar den Namen der Institution enthält, aber mit ungewöhnlichen Zahlen oder Zeichen kombiniert ist. Auch hinter Kurz-URLs kann sich ein Betrug verbergen. Und „https://“ bedeutet laut BSI heute keine Entwarnung mehr.

Eine Nachricht, die behauptet, eine deiner Seiten sei umgezogen, oder dich bittet, dich während der Wartung woanders anzumelden, verdient Misstrauen. Gib auf einer Seite, die du über eine unerwartete E-Mail, SMS oder Anzeige erreicht hast, kein Passwort, keine Kartennummer und keine persönlichen Daten ein. Mehr dazu in Phishing-Mails erkennen.

Heißt „Wartungsarbeiten“, dass die Seite gehackt wurde?

Nicht unbedingt. Eine Wartungsseite sagt dir, dass die Seite nicht erreichbar ist, nicht warum. Die Behörden oben raten Betreibern, Systeme vom Netz zu nehmen, wenn sie nicht sofort aktualisieren können, und das BSI berichtet, dass einige Betreiber das vorsorglich getan haben. Eine Wartungsseite kann also einfach heißen, dass gearbeitet wird.

Zur Ausnutzung, Stand 23. Oktober 2026: Das BSI schreibt, ihm lägen keine bestätigten Meldungen über erfolgreich kompromittierte Systeme aus der regulierten Wirtschaft oder der Bundesverwaltung vor. Erfolgreiche Angriffe könnten aber nicht ausgeschlossen werden, und Berichte über Ausnutzungsversuche zeigten, dass Angriffe versucht werden.

Stellt ein Unternehmen fest, dass Kundendaten betroffen sind, ist das eine eigene Sache mit eigenen Schritten. Persönliche Daten gehackt? erklärt, wie du davon erfahren würdest.

Warum dauert es so lange?

Manche Betreiber aktualisieren in Minuten, andere nicht. Das BSI weist darauf hin, dass auch Router, Firewalls und andere Geräte mit einer PHP-Weboberfläche betroffen sein können, und dass weltweit noch viele verwundbare Systeme erreichbar sind, teils weil sie seit Langem keine Updates mehr bekommen. Die IPA beschreibt die schweren Fälle: alte Systeme, bei denen ein PHP-Update Umbau und neue Tests bedeutet. Wer Personal, Budget und Wartung nicht sichern kann, soll laut IPA einen Umzug auf ein unterstütztes Produkt, weniger Funktionen oder das Ende der Veröffentlichung erwägen. Manche Seiten kommen also verändert zurück, manche vielleicht gar nicht.

Weitere Fragen

Ist eine Seite nach der Wartung sicher zu besuchen?

Die PHP-Lücken stecken in der Software des Servers, nicht in deinem Gerät. Was eine kompromittierte Seite Besuchern antun kann, steht in Kann eine gehackte Webseite dich beim Besuch hacken?

Wurden die PHP-Lücken schon ausgenutzt?

Das BSI ist laut Version 1.2 seiner Warnung noch keine erfolgreiche Ausnutzung in der Breite bekannt. Die US-Behörde CISA schreibt in ihrer Warnung vom 21. Oktober 2026, überarbeitet am 23. Oktober 2026, sie habe zum Zeitpunkt der Veröffentlichung keine erfolgreiche Ausnutzung dieser Schwachstellen in freier Wildbahn beobachtet. Keine der Warnungen, die wir für diesen Ratgeber genutzt haben, nennt eine Zahl betroffener Websites.

Was bedeutet „Notfallwartung“?

Das Wort steht nicht im PHP-Sicherheitshinweis, es ist die Formulierung des Betreibers. Die Arbeit, die BSI, CISA und NCSC beschreiben, ist das Update von PHP oder das vorübergehende Trennen eines Systems vom Internet, bis es aktualisiert ist.

Warum betrifft das so viele verschiedene Seiten?

Weil viele Seiten auf derselben PHP-Software laufen. Das BSI nennt als betroffene Versionen alle PHP-Versionen, und CISA weist darauf hin, dass PHP oft Bestandteil anderer Software ist. Auch Seiten, die nirgends PHP erwähnen, können also Arbeit haben.

Sollte ich mein Passwort für eine Seite ändern, die offline war?

Die Warnungen oben enthalten dazu keine Aufforderung an Besucher, nur weil eine Seite offline war. Teilt dir das Unternehmen mit, dass es ein Problem mit deinem Konto gab, folge seinen Anweisungen über die offiziellen Kanäle.

Quellen