Kort gezegd: Een beveiligingslek op de website van een gemeente is een incident met publiek. Stel vast wie de server beheert, laat PHP-patch en herstart bevestigen en houd een noodpagina klaar voor het geval de site tijdelijk van het netwerk moet. De communicatie naar burgers en pers moet zijn afgestemd voordat de vragen komen.
Welke PHP-systemen gemeenten doorgaans beheren
Veel gemeentelijke websites draaien op TYPO3, daarnaast op andere PHP-systemen. Rond de hoofdsite ontstaan andere toepassingen: online formulieren voor aanvragen en aanmeldingen, meldingen openbare ruimte, evenementenkalenders, burgerparticipatie, vacatureportalen, kinderopvangaanmelding, toerismesites, bibliotheekcatalogi en websites van afzonderlijke instellingen zoals de muziekschool of het gemeentelijk bedrijf.
Een deel van deze toepassingen beheert de gemeente zelf, andere een gemeentelijk rekencentrum, een gemeenschappelijke regeling of een fabrikant van vakapplicaties. Wie een lek in PHP wil dichten, moet eerst weten op wiens servers welke toepassing draait.
Kleinere gemeenten hebben vaak geen eigen IT-afdeling. Daar onderhoudt een medewerker van de hoofdafdeling de site er een beetje bij, ligt de techniek bij een bureau en stammen de contracten uit een tijd waarin niemand dacht aan kritieke lekken in de programmeertaal. Grotere steden hebben het omgekeerde probleem: zoveel sites van afdelingen, projecten en instellingen dat nauwelijks iemand de volledige lijst kent.
Wat er op gemeentelijke websites op het spel staat
In formulieren en portalen staan gegevens van burgers: adressen, geboortedata, gegevens over kinderen bij aanmeldingen voor kinderopvang en school, foto's en locaties bij meldingen, sollicitaties. Voor openbare instanties gelden de AVG en de privacywet van de deelstaat; bevoegd is in de regel de toezichthouder voor gegevensbescherming van de deelstaat.
Minstens zo zwaar weegt de integriteit: de site van een gemeente is een officiële bron. Gemanipuleerde inhoud, valse bekendmakingen of doorverwijzingen naar oplichtingssites onder de naam van de gemeente beschadigen het vertrouwen ver buiten de technische schade.
Gemeentelijke domeinen genieten vertrouwen bij burgers en zoekmachines. Precies dat maakt ze aantrekkelijk voor aanvallers: als afzender voor spam, als opslag voor oplichtingspagina's of als platform voor valse berichten, bijvoorbeeld over verkiezingen, noodweer of tarieven.
Gemeente en beveiligingslek op de website: wie beslist wat?
| Rol | Typische taak bij een incident |
|---|---|
| Gemeentelijk rekencentrum of IT-dienstverlener | Server, PHP-pakketten, herstart, netwerkscheiding |
| Hoofdafdeling of IT-coördinatie | Algehele aansturing, opdrachtverlening, noodplan |
| Persvoorlichting | Informatie aan burgers en media |
| Functionaris voor gegevensbescherming | Beoordeling van de meldplicht |
| Webbureau | CMS, extensies, inhoud |
Het lek ontstaat vaak tussen rekencentrum en bureau: het rekencentrum beheert de server, het bureau onderhoudt TYPO3 en elke partij neemt aan dat de ander zich om PHP bekommert. Een update van TYPO3 sluit PHP2Shell niet.
Het BSI heeft de situatie beoordeeld met waarschuwingsniveau 3 / oranje en adviseert directe update. Kan een gemeentelijke webserver niet direct worden gepatcht, haal hem dan tijdelijk van het netwerk en zet een statische noodpagina neer.
De eerste uren op het gemeentehuis
- Zet alle sites en vakapplicaties met webtoegang op een rij, inclusief instellingen en toerisme.
- Laat bij de betreffende beheerder schriftelijk bevestigen: PHP op 8.5.12, 8.4.27, 8.3.36 of 8.2.35 of backport doorgevoerd, alle processen herstart.
- Haal niet-bevestigde systemen van het netwerk of beveilig ze tot de patch met virtueel patchen. Cloudflare wijst erop dat regels op basis van alleen de verzoekgegevens niet volstaan; dit is een overbrugging, geen vervanging.
- Zet logs vanaf 20 oktober 2026 veilig.
- Informeer persvoorlichting en functionaris voor gegevensbescherming en stem een zakelijke taalregeling af. Hulp daarbij biedt de pagina over crisiscommunicatie.
Wat het BSI in detail adviseert, vat de pagina BSI-aanbevelingen bij PHP2Shell samen. Vragen over aanbesteding en spoedopdrachten regelt u volgens uw interne regels.
Voorzorg: noodpagina, inventaris en vervanging
Het volgende kritieke lek komt zeker. Drie voorbereidingen besparen dan uren: een kant-en-klare statische noodpagina met telefoonnummers, openingstijden en aanwijzingen voor dringende zaken, die zonder PHP kan worden geleverd. Een bijgehouden inventaris van alle webtoepassingen met beheerder, aanspreekpunt en contractuele basis. En een vervangingsregeling, zodat beslissingen zoals het uitschakelen van de site ook 's avonds en in het weekend kunnen worden genomen.
Deze punten horen in het IT-noodplan van de gemeente. Eigen bedrijven, gemeentelijke bedrijven en instellingen met eigen websites moeten daarin uitdrukkelijk voorkomen, omdat ze anders bij de inventarisatie ontbreken.
Hoe helpt PHP SOS concreet?
- Wij ondersteunen uw IT-coördinatie bij de inventaris en stellen met rekencentrum, fabrikanten en bureau vast wie welk systeem patcht.
- Waar u zelf beheert, nemen wij via de PHP-patchservice update, herstart en schriftelijk bewijs over.
- Bij verdenking van compromittering zetten wij sporen veilig en controleren wij inhoud op manipulatie voordat de site weer online gaat.
- Wij documenteren het verloop zo dat functionaris voor gegevensbescherming, bestuurlijke leiding en rekenkamer het kunnen navolgen.
Veelgestelde vragen
Mogen wij de website van de gemeente gewoon uitschakelen?
Het BSI (de Duitse federale dienst voor informatiebeveiliging) adviseert webservers tijdelijk van het netwerk te halen als de update niet direct mogelijk is. Voor gemeenten is een statische noodpagina met de belangrijkste contactwegen een goede optie. Wie dat intern mag beslissen, hoort in het noodplan te staan.
Is het raadsinformatiesysteem getroffen?
Dat hangt af van techniek en beheer. Raadsinformatiesystemen en online diensten worden vaak beheerd door fabrikanten van vakapplicaties of gemeentelijke rekencentra. Vraag daar concreet naar PHP-gebruik, patchstatus en herstart.
Welke toezichthouder voor gegevensbescherming is voor gemeenten bevoegd?
Voor openbare instanties van de Duitse deelstaten en gemeenten is in de regel de toezichthouder voor gegevensbescherming van de betreffende deelstaat bevoegd. Daarnaast gelden de privacywetten van de deelstaten. Uw functionaris voor gegevensbescherming kent de meldroutes.