Bisher keine gemeldete Attacke durch PHP-Lücke in Österreich

Von: importer

In Österreich sind bei den Behörden bisher keine Cyberattacken auf Webseiten aufgrund der neu entdeckten Sicherheitslücken in der Programmiersprache PHP bekannt geworden. “Konkrete Meldungen über erfolgreiche Angriffe aufgrund der Schwachstellen liegen derzeit noch nicht vor”, sagte Innenministeriumssprecher Patrick Maierhofer am späten Donnerstagvormittag auf APA-Anfrage. Es sei aber davon auszugehen, dass es noch Angriffsversuche geben wird.

Die Situation werde beobachtet und das Innenministerium sei mit den zuständigen Stellen im engen Austausch, hieß es. Die Betreiber von Internetseiten müssen jedoch auch selbst für Cybersicherheit sorgen. Dazu sind bestimmte Unternehmen mit dem in diesem Monat in Kraft getretenen Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) auch zusätzlich gesetzlich verpflichtet. Zahlreiche Seitenbetreiber in Österreich und im Rest der Welt nahmen ihre Internetpräsenzen vorübergehend offline, bis sie die am Mittwoch von PHP bereitgestellten Updates eingespielt hatten oder haben werden.

Neues Gesetz seit Oktober

Mit dem Inkrafttreten des NISG 2026 ging Anfang Oktober auch das neue Bundesamt für Cybersicherheit (BCS) an den Start. Es ist eine nachgeordnete Dienststelle des Innenministeriums und koordiniert unter anderem die österreichische Cybersicherheitsstrategie, leitet nationale Koordinierungsstrukturen und erstellt Lagebilder. Außerdem übt es Aufsichts- und Durchsetzungsmaßnahmen gegenüber wichtigen Einrichtungen aus.

Zusätzlich gibt es ebenfalls auf rechtlicher Grundlage des NISG 2026 sogenannte Computer-Notfallteams (Computer Security Incident Response Teams – CSIRTs) als operative Partner des BCS. Dazu gehören in Österreich das GovCERT für Einrichtungen der öffentlichen Verwaltung, das HealthCERT für den Gesundheitssektor sowie das schon länger bestehende nationale Computer Emergency Response Team CERT.at mit allgemeiner Zuständigkeit. Sie unterstützen bei der Prävention, Erkennung und Bewältigung von Cybersicherheitsvorfällen und sollen so mögliche Schäden möglichst gering halten.

Mailingliste von CERT.at

CERT.at bietet ein E-Mail-Abo für interessierte Internetnutzer, das auch für Unternehmen zu empfehlen ist, wo Registrierte zeitnah Warnungen erhalten – so auch im aktuellen Fall. “Das Bundesamt für Cybersicherheit hat die Entwicklung frühzeitig aufgegriffen und entsprechende Strukturen informiert”, betonte Maierhofer. “Im Rahmen des NISG arbeiten das Bundesamt und die zuständigen Computer-Notfallteams von CERT.at in dem Fall eng zusammen.” Für Einrichtungen der öffentlichen Verwaltung habe das beim BCS angesiedelte GovCERT die operative Funktion wahrgenommen. Wichtig sei aber: “Die Verantwortung für die Absicherung und Aktualisierung der jeweiligen Serversysteme liegt bei deren Betreibern”, betonte der Innenministeriumssprecher.

Erst wenn es einen konkreten Cyberangriff gibt, kommen die Polizei und das Cyber Crime Competence Center (C4) des Bundeskriminalamts (BK) ins Spiel. Diese sind bei strafrechtlichen Vergehen zuständig. Für das Bundesamt für Cybersicherheit ist es dagegen unter anderem relevant, wenn eine Sicherheitslücke auftaucht, Systeme gefährdet sind oder ein Unternehmen gegen NISG-Pflichten verstößt.

(S E R V I C E – Bundesamt für Cybersicherheit: www.bundesamt-cybersicherheit.gv.at/ – CERT.at: www.cert.at/de – Eintrag in Mailinglisten: www.cert.at/de/services/mailinglisten/ )