Ich habe im Radio gehört, dass Ende Oktober Websites der Regierung offline gingen. Stand dahinter ein Hack?
Nein, dahinter stand die Angst vor einem Hack.
Okay, wer hatte denn alles Angst?
Hunderte, zum Beispiel: Europas größter Handelshafen in Rotterdam und der IT-Dienstleister der deutschen Verwaltung. Außerdem die Websites von 32 öffentlichen Diensten in Großbritannien, die Metropolitan Police, das belgische Außenministerium und Japans größte Bank.
Und wovor hatten sie Angst?
Vor einer kompletten Übernahme ihrer Server, also der Computer, auf denen ihre Websites liegen.
Denn am Dienstag, dem 20. Oktober, wurde bekannt, dass die Programmiersprache PHP, mit der viele Server Websites zusammenbauen, eine Schwachstelle enthielt, die Cybersicherheitsexpert:innen zu den schlimmstmöglichen zählten.
Erfolgreiche Angreifer:innen hätten auf betroffenen Servern eigene Befehle ausführen können. Damit hätten sie Daten abgreifen, Schadsoftware installieren und von dort aus tiefer ins eigentlich abgesperrte Netzwerk vordringen können. Sie hätten den Server auch als Geisel nehmen können, indem sie ihn komplett verschlüsseln und nur gegen ein Lösegeld wieder freigeben.
Passiert so etwas bei einem Server, ist es für den Rest der Welt selten eine Meldung wert. Aber die Schwachstelle, die da gefunden wurde, betraf rund 70 Prozent aller Websites, also hunderte Millionen. In den ersten zwei Stunden, nachdem die Schwachstelle bekannt wurde, registrierte der Netzwerkdienstleister Cloudflare, über den ein großer Teil des Webverkehrs läuft, hunderttausende Versuche, sie auszunutzen. Das schrieb Cloudflare-Chef Matthew Prince auf X. Bald waren es Millionen.
Noch am selben Tag veröffentlichte das PHP-Projekt ein offizielles Update, um Systeme, die die Software verwenden, sicher zu machen. Zwischenzeitlich waren große Teile des Internets offline, weil Administrator:innen, also die Leute, die Server betreuen, Zeit brauchten, um auf die neue Version von PHP umzustellen.
Die Tage darauf gehörten zu den hektischsten des Internets.
Der PHP-Fehler, inzwischen als PHP2Shell bekannt, war nur einer von vielen neuen Zwischenfällen, in denen Angreifer:innen oder Sicherheitsexpert:innen mithilfe von KI schwerwiegende Sicherheitslücken in der Infrastruktur des Internets offenlegten.
Allein im Oktober 2026 verzeichneten Cyberexpert:innen Angriffe auf über 400 Finanzinstitute in Lateinamerika sowie auf Regierungen und Krankenhäuser in Asien, Europa und Südamerika. Dabei nutzten die Angreifer:innen aber andere Schwachstellen als jene von PHP.
Wegen PHP2Shell und der vielen anderen Angriffe nennen manche Sicherheitsleute laut dem US-Nachrichtenportal Vox den Oktober 2026 inzwischen „Black October“, in Anlehnung an den „Black Tuesday“, den Tag des New Yorker Börsencrashs im Oktober 1929.
Der renommierte Cybersicherheitsforscher Matthew Green schrieb auf X: „Viele Leute finden gerade heraus, dass das gesamte Internet aus trockenem Zunder besteht und das Einzige, was es davon abhält, in Flammen aufzugehen, ist, dass die Teenager noch nicht die Streichhölzer gefunden haben.“
Ich wette, du sagst mir gleich trotzdem, dass das eigentliche Problem nicht KI ist.
Halb. Die Probleme dahinter sind alt. Neu ist, wie schnell man sie jetzt ausnutzen kann. KI verschiebt gerade, wie Cybersicherheit funktioniert. Der Sicherheitsexperte Sebastian Schreiber, Geschäftsführer des IT-Sicherheitsunternehmens Syss GmbH, sagt: „Die alten Gesetze gelten nicht mehr.“
Wusste vorher denn niemand von diesem Fehler?
Doch. Die ersten Anzeichen der Fehler entdeckten Expert:innen 2024, in einer Untersuchung, die die vom Bund finanzierte Sovereign Tech Agency bezahlt hat. Die fördert weltweit frei verfügbare Software, von der kritische Dienste wie Krankenhäuser und Behörden abhängen.
Wie konnte so eine wichtige Software dann plötzlich bedroht sein, wenn Expert:innen schon seit 2024 von dem Fehler wussten?
Zu dem Zeitpunkt, als die Prüfer:innen die ersten Anzeichen des Fehlers entdeckten, wusste niemand so richtig, wie man ihn ausnutzen konnte. Expert:innen mit Jahrzehnten an Erfahrung konnten den Fehler gerade so verstehen.
Um daraus einen Exploit zu bauen – also einen Weg, eine Website anzugreifen – können Hacker:innen nicht einfach einen Schalter umlegen. Der Angriff erfordert eine komplexe Kette an ineinandergreifenden Befehlen, für die man sehr abstrakt denken und kleinteilig arbeiten können muss.
Üblicherweise löst die IT-Welt solche Probleme erst, wenn jemand kurz davorsteht, sie auszunutzen. Bisher klappte diese Taktik, weil es wenige fähige Hacker:innen gab, die sich Exploits bauen konnten. Außerdem lohnte sich der Aufwand kaum, solange das Internet voller leichterer Schwachstellen war. Für Verteidiger:innen gilt etwas Ähnliches: Auch sie hatten bisher immer etwas anderes zu tun, als obskure PHP-Fehler zu beheben.
Und dann kam KI.
Genau. Generative KI hat diese Balance über den Haufen geworfen, analysiert das US-Magazin The Atlantic. Auch PHP2Shell haben Sicherheitsforscher:innen mit KI-Tools entdeckt: die Cyberunternehmen Wiz und Calif im August 2026, dazu Forschende von OpenAI, die im September mehr Details darüber offenlegten, wie man den Fehler ausnutzen kann.
Und wieso war dann plötzlich die Hölle los?
Normalerweise entwickeln die Entdecker:innen einer solchen Lücke so schnell es geht eine Lösung und geben sie gestaffelt an die wichtigsten Administrator:innen weiter. Die aktualisieren ihre Systeme, bevor gewöhnliche Hacker:innen eine Ahnung haben.
Bei PHP2Shell haben die Forschenden es genauso gemacht. Sie gründeten eine internationale Allianz, um PHP2Shell zu fixen. Später kam die Spezialfirma Chainguard dazu, um die Lösung zu verteilen. Aber nachdem Chainguard verfrüht die reparierte Version geteilt hatte, konnten viele Administrator:innen nicht rechtzeitig nachrüsten, um ihre Websites online zu behalten. Sie mussten offline gehen, bis der Fehler überall raus war.
Gut. Also ist Chainguard an dem Schlamassel schuld. Klappe zu. Affe tot.
An dem Chaos hat Chainguard auf jeden Fall seinen Anteil. Aber die echten Probleme reichen viel tiefer.
In der Vergangenheit mussten Angreifer:innen erst mühsam eine Schwachstelle finden, nachdem ein Update ihnen verraten hatte, dass es überhaupt etwas zu holen gibt. Im Fachjargon: das Reverse Engineering. Sie schauen sich dabei die Lösung an und gehen den Weg zurück, um die ursprüngliche Schwachstelle zu finden. Haben sie diese gefunden, können sie weltweit Systeme angreifen, die die Lösung noch nicht installiert haben.
Doch eben darin sind KI-Tools überragend. Sobald sie gesagt bekommen, wonach sie suchen, schreiben sie Programme, um selbst komplizierte Lücken wie PHP2Shell auszunutzen. Damit verkürzen sie den Vorsprung, den Administrator:innen eigentlich haben, um ihre Systeme abzusichern.
So hat sich die Anzahl veröffentlichter Softwarefehler, die pro Monat entdeckt werden, innerhalb der letzten acht Monate verdoppelt, während die Zeit, die Angreifer:innen brauchen, um diese Fehler auszunutzen, von Wochen auf womöglich Stunden gesunken ist, schreibt The Atlantic.
Und das alles, weil KI gut Cyberangriffe planen kann?
Nicht nur. Generative KI-Tools werden auch dazu verwendet, mögliche Fehler zu finden, berichtet das Wirtschaftsmagazin Forbes. Dabei ist es sogar egal, wenn die meisten Fehler, die die KI findet, nicht existieren oder in Wahrheit keine sind. Denn KI kann so lange mögliche Schwachstellen ausprobieren, bis es irgendwann klappt. So führen selbst Menschen ohne Fachwissen immer öfter erfolgreiche Cyberangriffe aus.
Einzelpersonen und kriminelle Banden, die nicht programmieren können, nutzen laut einer Analyse von Sicherheitsforscher:innen KI-Tools, um jede bekannte Schwachstelle auszuprobieren. Sie klopfen an jede Website und schauen, ob eine Tür offensteht. Wie das aussieht, zeigt ein Bericht der Nachrichtenagentur Reuters über jemanden, der mit KI-Agenten und ein paar tausend Dollar in Dutzende Websites eingebrochen ist.
Manche dieser Türen, wie PHP2Shell, hat in der Vergangenheit niemand abgeschlossen. Es war entweder zu umständlich oder es hat ohnehin niemand versucht, über diesen Weg einzubrechen.
Seit Monaten entwickeln sich KI-Tools und die Angriffe, die sie ermöglichen, so schnell, dass selbst erfahrene Beobachter:innen den Überblick verlieren, schreibt 404 Media. Manche warnen davor, dass das Internet, wie wir es kennen, kurz vor dem Tod steht. Obwohl sie sonst nicht zu Übertreibungen neigen.
Andererseits gab es früher schon katastrophalere Sachen, sagt Matthias Wählisch, Inhaber des Lehrstuhls Distributed and Networked Systems an der TU Dresden. Ihn habe der Black October nicht erschüttert, sagt er. Denn „jeder, der sich damit beschäftigt, weiß, dass Systeme angreifbar sind“.
Aber Wählisch sagt auch: „Oft ist man sich nicht im Klaren darüber, an wie vielen Stellen.“ Und die Welt sei nun mal völlig vom Internet abhängig.
Hat das alles auch etwas mit China zu tun oder mit diesen chinesischen KI-Modellen, von denen ich manchmal lese? Die sind doch sicher besonders gefährlich.
Prinzipiell kann ich mit jeder Art von KI-Modell einen Cyberangriff starten. Entweder ich nehme ein Open-Weight-Modell, zum Beispiel aus China oder vom Facebook-Mutterkonzern Meta. Open-Weight bedeutet, ich kann das ganze Modell ohne Einschränkung herunterladen.
Oder ich verwende die amerikanischen Frontier-Modelle, also die besten der öffentlich verfügbaren. Da muss ich erst mit einem Jailbreak ihre Sicherheitsmechanismen aushebeln, aber auch das passiert in Wirklichkeit ständig.
Jailbreak bedeutet wortwörtlich, aus dem Gefängnis befreien. Alter Hackersprech dafür, die Restriktionen auf Produkten wie dem iPhone zu umgehen. Ich könnte sogar erst mit einem Open-Weight-Modell das Frontier-Modell jailbreaken. Und dann munter Jagd auf Schwachstellen im Internet machen.
Und was für Schäden hat Black October jetzt verursacht?
Das ist der skurrile Teil: Bislang sind nur vereinzelte erfolgreiche Angriffe bekannt, keine großflächigen Schäden. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) vermerkte laut Zeit Online in einem Bericht vom 22. Oktober keine bestätigten Schäden. Doch eine Woche nach der Veröffentlichung sind immer noch unzählige Websites angreifbar.
„Wir sind an der Cyberapokalypse vorbeigeschrammt“, sagte mir Schreiber.
Dann war PHP2Shell ja doch gar nicht so schlimm.
Dieses Mal nicht. Aber der Zwischenfall wird nachwirken. Viele Expert:innen haben ihr Vertrauen in die Art verloren, wie das Internet bisher funktioniert hat.
Jetzt frage ich doch noch mal vorsichtshalber: KI hat immer noch kein Bewusstsein entwickelt oder sich verselbständigt, richtig?
Absolut. Das stimmt. KI-gestützte Programmierwerkzeuge führen uns bloß vor Augen, was Cyberexpert:innen schon immer gewusst haben: Sehr viel der Software, auf die unser Leben aufbaut, lässt sich unglaublich leicht angreifen, sobald jemand es unbedingt möchte. Gegen Menschen hat das gereicht. Aber KI muss nicht schlafen und ihr kann nicht langweilig werden. Außerdem ist sie viel billiger als eine fähige Hackerin.
Aber warum sind so viele Websites überhaupt so leicht anzugreifen? Warum ändert das niemand, wenn alle es wissen?
Grundsätzlich sind das dieselben Gründe wie immer. Sichere IT-Systeme sind umständlicher, brauchen länger in der Entwicklung. Sie sind in jeder Hinsicht teurer, als schnell etwas mit PHP zu bauen.
Zudem bauen Unternehmen heute immer schneller immer mehr große Softwareprodukte, die dadurch immer leichter angreifbar werden. Am Ende haben die so viele potenzielle Schwachstellen, wie es Zeilen Code gibt. Die Anzahl möglicher Fehler ist also endlich, aber praktisch kaum zu bewältigen.
Überhaupt behandeln viele Organisationen Cybersicherheit eher stiefmütterlich (nichts gegen Stiefmütter. Meine und ich verstehen uns super!). Oft liegen ihre Updates Tage, Wochen oder Monate im Internet herum, bis jemand endlich alle Geräte aktualisiert. Manchmal liegt es daran, dass Anita, die früher die Updates gemacht hat, seit vier Jahren in einer anderen Abteilung arbeitet und sich, seit sie weg ist, niemand mehr darum kümmert.
Also stehen überall im Internet die Tore offen und Hacker:innen können beliebig bei Behörden oder Banken einbrechen?
Gewissermaßen, ja. Software ist immer angreifbar und wegen KI-Tools sind Angreifer:innen einfach zu schnell und zu viele geworden. Die Defensive kann natürlich auch KI verwenden, aber sie spielt nach ganz anderen Regeln. Sie muss methodisch vorgehen und kann nicht riskieren, dass die Gefrierschränke in hunderten Supermärkten auftauen (wie kürzlich nach einem Hackerangriff in Frankreich), Kontodaten gelöscht werden oder das Stromnetz aus Versehen ausfällt, weil eins ihrer KI-Tools Unsinn macht.
Unprofessionellen Hacker:innen kann so etwas egal sein. Sie verwenden KI-Tools ungeachtet der Konsequenzen. Zudem muss die Defensive sämtliche Lücken stopfen, während Angreifende nur eine einzige offene Tür finden müssen.
Dann müssen doch genug Leute daran interessiert sein, PHP endlich sicher zu machen.
Das Problem: PHP ist Open Source. Das bedeutet, dass jemand fertige Software ins Netz stellt und sagt: „Hier, das kannst du verwenden. Wäre schön, wenn du mir dafür etwas spendest. Aber prinzipiell kannst du es einfach haben.“
Die meisten Open-Source-Projekte werden deswegen von Freiwilligen unterstützt. Die helfen zum Beispiel dabei, Sicherheitslücken zu finden und rechtzeitig zu beheben.
Und nicht nur PHP: Viele andere Webdienste verwenden Open-Source-Software. So viele, dass es ohne Open Source kein Internet gäbe, sagte mir Jens Ohlig, zweiter stellvertretender Vorsitzender des Wikimedia Deutschland e. V.
Tatsächlich zahlen nur wenige Unternehmen relevante Anteile ihrer Gewinne an Open-Source-Teams. Also an die Leute, die diese Software sicher machen. Viele Menschen, die diese Projekte unterstützen, machen das sogar ehrenamtlich.
Da ackern also jeden Tag Freiwillige dafür, dass das Internet nicht zugrunde geht? Was für ein Druck.
Kommt wohl aufs Naturell an. The Atlantic berichtet von Ondřej Surý, der als Freiwilliger das PHP-Projekt bei Sicherheitsaufgaben unterstützt. Er sagt: „Von da, wo ich stehe, war [der PHP-Zwischenfall] nicht stressig. Ich mache das als Freiwilliger und wenn ich vom Bus getroffen werde, dann ist das das Problem von jemand anderem.“
Auch Bild und Focus Online identifizieren jemanden, der vermeintlich Millionen Rechner vor Angriffen bewahrte. Und über Remi Collet von der Softwarefirma Red Hat, der die reparierten PHP-Pakete für Linux-Server verteilte, könnte ich dasselbe sagen.
Trotzdem stimmt durchaus, dass Freiwillige dazu beitragen, das Internet am Laufen zu halten. Sie organisieren sich oft sogar besser und erreichen mehr als die Teams hinter Closed-Source-Projekten.
Wird das Internet jetzt für immer anders sein?
Vielleicht. Wahrscheinlich. Ich kann es dir noch nicht sagen. Auch weil bislang niemand genau weiß, wer wann und wie von PHP2Shell erfahren hat.
Aus deiner Sicht wird sich das Internet vorerst mehr oder weniger anfühlen wie immer. Bloß ältere Websites werden vielleicht nicht wieder online kommen, nachdem sie vorsichtshalber vom Netz genommen wurden. Falls sie offline bleiben, würden etliche Verlinkungen ins Nichts führen und ein beachtlicher Teil der kollektiven Onlinegeschichte würde aufhören, öffentlich zugänglich zu sein. Davor warnt The Atlantic.
Das klingt schon eher nach dem Tod des Webs.
Eine Fraktion von Cybersicherheitsleuten hat sich vom bisherigen Internet verabschiedet, etwa auf X: „Schön war’s und danke für die Katzenvideos!“
Oh, Mann. Kann ich dann überhaupt etwas tun?
Ehrlich gesagt: Gegen Lücken auf fremden Servern kannst du kaum etwas tun. Aber du kannst den Schaden begrenzen, falls dort deine Daten abgegriffen werden. Dafür gilt dasselbe wie immer. KI hat zwar die Balance verschoben, aber an guter Cybersicherheit hat sie wenig verändert.
Meine Empfehlungen: Setze sichere Passwörter (und immer unterschiedliche, die nicht der Geburtstag deines Hundes sind und die du nicht auf ein Post-it schreibst und an deinen Rechner klebst!). Verwende Zwei-Faktor-Authentifizierung, also einen zusätzlichen Code etwa per App, auch wenn sie nervt. Installiere Updates auf deinen Geräten, sobald sie erscheinen. Aktualisiere regelmäßig alle Websites, für die du verantwortlich bist. Und klicke nicht auf seltsame E-Mails.
Ja, ja. Und wie geht das alles aus?
Wir werden erst noch herausfinden, wie angreifbar das Internet wirklich ist. Die PHP-Schwachstelle könnte so gesehen genau zur richtigen Zeit gekommen sein. Weil nun wirklich alle Fachleute verstanden haben, dass wir in einer neuen Internetwelt leben. Und darauf werden sie reagieren.
Redaktion: Rico Grimm, Schlussredaktion: Theresa Bäuerlein, Bildredaktion: Sören Frey, Audioversion: Iris Hochberger und Christian Melchert