Kurz gesagt: Eine Sicherheitslücke auf der Website einer Kommune ist ein Vorfall mit Öffentlichkeit. Klären Sie, wer den Server betreibt, lassen Sie PHP-Patch und Neustart bestätigen und halten Sie eine Notseite bereit, falls der Auftritt vorübergehend vom Netz muss. Die Kommunikation an Bürger und Presse sollte abgestimmt sein, bevor Fragen kommen.
Welche PHP-Systeme Kommunen typischerweise betreiben
Viele kommunale Internetauftritte laufen auf TYPO3, daneben auf anderen PHP-Systemen. Rund um den Hauptauftritt entstehen weitere Anwendungen: Online-Formulare für Anträge und Anmeldungen, Mängelmelder, Veranstaltungskalender, Bürgerbeteiligung, Stellenportale, Kita-Vormerkung, Tourismusseiten, Bibliothekskataloge und Websites einzelner Einrichtungen wie Musikschule oder Stadtwerke.
Manche dieser Anwendungen betreibt die Kommune selbst, andere ein kommunales Rechenzentrum, ein Zweckverband oder ein Fachverfahrenshersteller. Wer eine Lücke in PHP schließen will, muss zuerst wissen, auf wessen Servern welche Anwendung läuft.
Kleinere Gemeinden haben oft keine eigene IT-Abteilung. Dort betreut ein Mitarbeiter des Hauptamts den Auftritt nebenbei, die Technik liegt bei einer Agentur, und die Verträge stammen aus einer Zeit, in der niemand an kritische Lücken in der Programmiersprache dachte. Größere Städte haben das umgekehrte Problem: so viele Auftritte von Ämtern, Projekten und Einrichtungen, dass kaum jemand die vollständige Liste kennt.
Was auf kommunalen Websites auf dem Spiel steht
In Formularen und Portalen liegen Daten von Bürgerinnen und Bürgern: Anschriften, Geburtsdaten, Angaben zu Kindern bei Kita- und Schulanmeldungen, Fotos und Standorte bei Mängelmeldungen, Bewerbungen. Für öffentliche Stellen gelten DSGVO und Landesdatenschutzgesetz, zuständig ist in der Regel die Datenschutzaufsicht des Landes.
Mindestens so schwer wiegt die Integrität: Der Auftritt einer Kommune ist eine amtliche Quelle. Manipulierte Inhalte, gefälschte Bekanntmachungen oder Weiterleitungen auf Betrugsseiten unter dem Namen der Stadt beschädigen Vertrauen weit über den technischen Schaden hinaus.
Kommunale Domains genießen Vertrauen bei Bürgern und Suchmaschinen. Genau das macht sie für Angreifer attraktiv: als Absender für Spam, als Ablage für Betrugsseiten oder als Plattform für Falschmeldungen, etwa zu Wahlen, Unwettern oder Gebühren.
Kommune und Website-Sicherheitslücke: wer entscheidet was?
| Rolle | Typische Aufgabe im Vorfall |
|---|---|
| Kommunales Rechenzentrum oder IT-Dienstleister | Server, PHP-Pakete, Neustart, Netztrennung |
| Hauptamt oder IT-Koordination | Gesamtsteuerung, Beauftragung, Notfallplan |
| Pressestelle | Information von Bürgern und Medien |
| Behördlicher Datenschutzbeauftragter | Bewertung der Meldepflicht |
| Webagentur | CMS, Erweiterungen, Inhalte |
Die Lücke entsteht häufig zwischen Rechenzentrum und Agentur: Das Rechenzentrum betreibt den Server, die Agentur pflegt TYPO3, und jede Seite nimmt an, die andere kümmere sich um PHP. Ein Update von TYPO3 schließt PHP2Shell nicht.
Das BSI hat die Lage mit Warnstufe 3 / Orange bewertet und empfiehlt sofortiges Update. Kann ein kommunaler Webserver nicht sofort gepatcht werden, nehmen Sie ihn vorübergehend vom Netz und schalten Sie eine statische Notseite.
Die ersten Stunden in der Verwaltung
- Alle Auftritte und Fachanwendungen mit Webzugang auflisten, einschließlich Einrichtungen und Tourismus.
- Beim jeweiligen Betreiber schriftlich bestätigen lassen: PHP auf 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 oder Backport eingespielt, alle Prozesse neu gestartet.
- Nicht bestätigte Systeme vom Netz nehmen oder bis zum Patch mit virtuellem Patching absichern. Cloudflare weist darauf hin, dass Regeln anhand der Anfragedaten allein nicht genügen; das ist eine Brücke, kein Ersatz.
- Logs ab dem 20.10.2026 sichern.
- Pressestelle und Datenschutzbeauftragten informieren und eine sachliche Sprachregelung abstimmen. Hilfe dazu bietet die Seite zur Krisenkommunikation.
Was das BSI im Einzelnen empfiehlt, fasst die Seite BSI-Empfehlungen zu PHP2Shell zusammen. Fragen zu Vergabe und Notbeauftragung klären Sie nach Ihren internen Regeln.
Vorsorge: Notseite, Inventar und Vertretung
Die nächste kritische Lücke kommt bestimmt. Drei Vorbereitungen sparen dann Stunden: eine fertige statische Notseite mit Telefonnummern, Öffnungszeiten und Hinweisen zu dringenden Anliegen, die sich ohne PHP ausliefern lässt. Ein gepflegtes Inventar aller Webanwendungen mit Betreiber, Ansprechpartner und Vertragsgrundlage. Und eine Vertretungsregelung, damit Entscheidungen wie das Abschalten des Auftritts auch abends und am Wochenende getroffen werden können.
Diese Punkte gehören in den IT-Notfallplan der Verwaltung. Eigenbetriebe, Stadtwerke und Einrichtungen mit eigenen Websites sollten darin ausdrücklich vorkommen, weil sie sonst bei der Bestandsaufnahme fehlen.
Wie hilft PHP SOS konkret?
- Wir unterstützen Ihre IT-Koordination beim Inventar und klären mit Rechenzentrum, Herstellern und Agentur, wer welches System patcht.
- Wo Sie selbst betreiben, übernehmen wir über den PHP-Patch-Service Update, Neustart und schriftlichen Nachweis.
- Bei Verdacht auf Kompromittierung sichern wir Spuren und prüfen Inhalte auf Manipulation, bevor der Auftritt wieder online geht.
- Wir dokumentieren den Ablauf so, dass Datenschutzbeauftragter, Verwaltungsleitung und Rechnungsprüfung ihn nachvollziehen können.
Häufige Fragen
Dürfen wir die Website der Gemeinde einfach abschalten?
Das BSI empfiehlt, Webserver vorübergehend vom Netz zu nehmen, wenn das Update nicht sofort möglich ist. Für Kommunen bietet sich eine statische Notseite mit den wichtigsten Kontaktwegen an. Wer das intern entscheiden darf, sollte im Notfallplan stehen.
Ist das Ratsinformationssystem betroffen?
Das hängt von Technik und Betrieb ab. Ratsinformationssysteme und Online-Dienste werden häufig von Fachverfahrensherstellern oder kommunalen Rechenzentren betrieben. Fragen Sie dort konkret nach PHP-Einsatz, Patchstand und Neustart.
Welche Datenschutzbehörde ist für Kommunen zuständig?
Für öffentliche Stellen der Länder und Kommunen ist in der Regel die Datenschutzaufsicht des jeweiligen Bundeslandes zuständig. Daneben gelten die Landesdatenschutzgesetze. Ihr behördlicher Datenschutzbeauftragter kennt die Meldewege.