Keine Stundenpläne, Webseiten offline: So trafen PHP-Lücken Fulda

24.10.26 - Die Hochschule Fulda musste zentrale digitale Dienste abschalten, das Klinikum Fulda nahm seine Internetauftritte vorübergehend vom Netz. Die PHP-Sicherheitslücken haben beide Einrichtungen getroffen, allerdings mit unterschiedlichen Folgen, wie sie auf Nachfrage von O|N mitteilen. Auch andere Einrichtungen waren betroffen.

An der Hochschule Fulda konnten Studierende ihre Stunden- und Raumpläne nicht mehr einsehen und nicht auf Lehrmaterialien zugreifen. Beim Klinikum Fulda waren die Internetseiten vorübergehend offline. Die aktuellen PHP-Sicherheitslücken haben beide Einrichtungen zu vorsorglichen Abschaltungen veranlasst. Während an der Hochschule mehrere zentrale Dienste betroffen waren, blieb die medizinische Versorgung im Klinikum nach dessen Angaben uneingeschränkt gewährleistet.

Das Klinikum Fulda

Zu den betroffenen Systemen der Hochschule gehörten neben der zentralen Webseite auch das E-Learning-System, das Campus-Management-System und die Telefonanlage, teilt Prof. Dr. Jörg Kreiker, Vizepräsident für Lehre, Studium und Digitalisierung und zukünftiger Präsident der Hochschule Fulda, mit. Auf der Internetseite sei ab mittags am Mittwoch, 21. Oktober, nur noch ein Hinweis auf die aktuelle Situation verfügbar gewesen. "Die Auswirkungen waren also nicht unerheblich."

Der noch Vizepräsident der Hochschule Fulda, Prof. Dr. Jörg Kreiker

Die IT-Sicherheitsfachleute der Hochschule hätten am Mittwochmorgen von den Schwachstellen gewusst. Anschließend habe das Security Management die Situation beraten. Diesem gehören unter anderem der Vizepräsident für Digitalisierung, die Leitung des Rechenzentrums und der Informationssicherheitsbeauftragte an. Am späten Vormittag habe die Hochschule alle potenziell verwundbaren Systeme abgeschaltet.

Noch am Mittwoch hätten die Beschäftigten auf vielen Systemen Sicherheitsupdates installieren und Dienste wieder bereitstellen können, darunter die zentrale Webseite. Am Folgetag seien nur noch einzelne Dienste betroffen gewesen, für die Updates der Hersteller noch ausgestanden hätten.

Hochschule Fulda

Hinweise auf einen erfolgreichen Hacker-Angriff gibt es nach Angaben der Hochschule bislang nicht. "Nach jetzigem Stand wurde keine Lücke bei uns ausgenutzt, und es sind keine Daten abgeflossen", erklärt Kreiker. Die Hochschule analysiere allerdings intensiv die Protokolldaten auf Anzeichen von Angriffen. Für Datenschutzvorfälle gebe es festgelegte Meldeketten, die unter anderem den Hessischen Beauftragten für Datenschutz einbezögen.

Auch das Klinikum Fulda nahm Webseiten vorsorglich vom Netz. Betroffen waren die Internetauftritte des Klinikums sowie seiner Tochterunternehmen MVZ Osthessen und Klinikum Gersfeld, wie Peter Jacob von der Stabsstelle Marketing und Unternehmenskommunikation mitteilt. Während der kurzen Abschaltung seien die Inhalte vorübergehend nicht verfügbar gewesen. "Die medizinische Versorgung sowie die telefonische und persönliche Erreichbarkeit des Klinikums waren zu keinem Zeitpunkt beeinträchtigt."

Viele Seiten waren betroffen. Archivfoto: O|N

Inzwischen seien sämtliche Sicherheitsupdates installiert und geprüft. Alle Internetseiten stehen wieder uneingeschränkt zur Verfügung. Nach Angaben des Klinikums sind keine Daten abgeflossen.

Für den Umgang mit Sicherheitswarnungen haben beide Einrichtungen feste Abläufe. An der Hochschule achten Fachleute auf Hinweise in Foren und beim Bundesamt für Sicherheit in der Informationstechnik. Hinzu kämen automatisierte Netzwerkscans und eine Überwachung von Endgeräten, die bei bekannter Schadsoftware Alarm schlage. Die Meldungen liefen beim Security Management Team zusammen, das die Reaktion je nach Schwere der Sicherheitslücke koordiniere. Im aktuellen Fall habe die Hochschule eine Frist von 24 Stunden für das Einspielen von Updates gesetzt, sei in der Regel aber erheblich schneller gewesen.

Das Klinikum reagiere in Zusammenarbeit zwischen Fachabteilungen und spezialisierten externen Dienstleistern. Der aktuelle Fall habe gezeigt, dass die Notfallpläne und Sicherheitsprozesse reibungslos griffen, so Jacob. Gleichwohl nutze das Klinikum jeden Vorfall, um seine Abläufe zu analysieren und weiter zu verbessern.

Der Hauptsitz der Sparkasse Fulda am Buttermarkt

Die Sparkasse Fulda

"Nach derzeitiger Kenntnis waren kritische oder wichtige Funktionen der Sparkassen-Finanzgruppe nicht betroffen. Auch Kundenanwendungen oder Kundendaten waren nicht beeinträchtigt", teilt Richard Hartwig aus dem Vorstandsstab der Spakasse Fulda mit.

Die Sparkassen-Finanzgruppe habe nach Bekanntwerden der Sicherheitslücken eine Prüfung der relevanten Systeme veranlasst und betroffene Systeme identifiziert. Die vom PHP-Projekt bereitgestellten Sicherheitsupdates wurden zeitnah eingespielt. "Es war nicht erforderlich, Kundenanwendungen vorsorglich abzuschalten." Es gebe keine Hinweise auf einen Datenabfluss vor.

Abschließend resümiert Hartwig: "Die vorgesehenen Konzepte und Prozesse haben sich im vorliegenden Fall bewährt."

Das Landratsamt in Fulda

Der Landkreis Fulda

Die Internetseite des Kreises war am Mittwoch für "wenige Stunden offline", teilt eine Sprecherin mit. Das Kursangebot der Landkreis-VHS war als einer der letzten Dienste erst gegen Donnerstagmittag wieder erreichbar. Zudem konnten die Schulen des Landkreises einige Tools nicht nutzen. Weiter teilt die Behörde mit: "Da die wesentlichen Online-Angebote wie Webseiten und Online-Antragsstrecken nicht aus dem eigenen Rechenzentrum der Verwaltung betrieben werden, waren die Auswirkungen sehr begrenzt. Alle durch den Landkreis betriebenen Systeme wurden aktualisiert." Nach Einschätzung der Verantwortlichen wurden keine Sicherheitslücken ausgenutzt.

Über Sicherheitslücken informieren das Hessen CyberCompetenceCenter (Hessen3C) und das BSI die Behörde. "Welche Abläufe innerhalb der Kreisverwaltung in solchen Fällen erfolgen, hat der Landkreis in Notfallplänen geregelt."

Beim Ausfall von Online-Diensten bleibe die Kreisverwaltung arbeitsfähig und könne ihre Dienstleistungen weiter erbringen.

Die VR Regional Bank in Fulda Foto: VR Bank

VR Regional Bank

Bei der kürzlich aus VR Bank Main Kinzig Büdingen und der VR Bank Fulda entstandenen VR Regional Bank waren weder Online-Banking noch Webseite betroffen. Grund: Sie basieren, anders als 70 bis 80 Prozent aller Webseiten, nicht auf der Skriptsprache PHP. (Karl Kovacs)+++