Cybersicherheit: Schwerwiegende Sicherheitslücke bedroht Millionen Webseiten
Behörden und Kliniken nehmen Angebote vorsorglich vom Netz
von Naomi Braun-Ferenczi drucken
Eine neu entdeckte Sicherheitslücke in PHP gefährdet nach Angaben von Sicherheitsexperten und BSI Millionen Webseiten und Onlinedienste. Betroffen sind auch verbreitete Systeme wie WordPress, Moodle, Joomla!, Typo3 und Drupal. Das BSI warnt vor einem außerordentlich hohen Risiko, empfiehlt schnelle Patches und rät im Zweifel dazu, Server vorübergehend vom Netz zu nehmen. Mehrere Bundesländer, Kommunen, Behörden, Universitäten und Krankenhäuser haben ihre Online-Angebote bereits vorsorglich abgeschaltet.
Der Kern des Problems ist Zuständigkeit. Wer eine Webseite, einen Server oder einen Dienst betreibt, trägt auch das Risiko für die verwendete Software. Genau deshalb ist die Abhängigkeit von zentraler Infrastruktur so heikel: Wenn eine Schwachstelle in einer weit verbreiteten Komponente auftritt, kann sie in kurzer Zeit sehr viele fremde Systeme zugleich treffen. Das ist kein Argument für mehr politische Kontrolle, sondern ein Hinweis auf die Fragilität technisch und organisatorisch konzentrierter Strukturen.
Besonders deutlich wird hier, wie leicht Verantwortung verwässert. Viele Betreiber arbeiten mit fremder Software, fremdem Hosting und komplexen Lieferketten. Das ist zulässig, solange die Entscheidungen freiwillig getroffen werden und die Haftung dort bleibt, wo auch die Verfügungsmacht liegt. Wer Systeme betreibt, muss sie prüfen, aktualisieren und im Zweifel abschalten. Wer das nicht kann, sollte sich nicht in Abhängigkeiten begeben, die er selbst nicht beherrscht.
Problematisch ist, dass bei solchen Vorfällen sofort der reflexhafte Griff zur Abschaltung als Normalfall erscheint. Eine Trennung vom Netz kann als Schutzmaßnahme notwendig sein. Sie bleibt aber ein Eingriff in den laufenden Betrieb und damit in Eigentum und Vertragsbeziehungen. Solche Entscheidungen gehören in die Hände der Verantwortlichen vor Ort, nicht in ein allgemeines Regime aus Warnstufen, Anweisungen und pauschalen Sicherheitsvorgaben.
Die Tatsache, dass öffentliche Stellen und große Einrichtungen ebenso betroffen sind wie private Anbieter, zeigt vor allem eines: Zentralisierung erzeugt großflächige Angriffsflächen. Je mehr Dienste auf denselben Grundlagen aufbauen, desto größer wird der Schaden, wenn diese Grundlage versagt. Das ist kein Marktversagen, sondern der Preis von Standardisierung ohne ausreichende Eigenverantwortung.
Wer digitale Infrastruktur nutzt, muss für ihre Sicherheit selbst einstehen. Wer entscheiden darf, muss auch haften. Genau daran fehlt es dort, wo man komplexe Systeme im großen Maßstab betreibt und am Ende doch erwartet, dass die Risiken sozialisiert werden. Die Freiheit, eigene Technik zu wählen, schließt die Pflicht ein, die Folgen dieser Wahl zu tragen.
Kommentare
Die Kommentarfunktion (lesen und schreiben) steht exklusiv nur registrierten Benutzern zur Verfügung.
Wenn Sie bereits ein Benutzerkonto haben, melden Sie sich bitte an. Wenn Sie noch kein Benutzerkonto haben, können Sie sich mit dem Registrierungsformular ein kostenloses Konto erstellen.