Die Sicherheitswarnung des Bundesamts für Sicherheit in der Informationstechnik (BSI) vom 21. Oktober 2026 zu kritischen Schwachstellen in PHP mit Warnstufe orange betrifft eine Technologie, die in vielen Webanwendungen steckt, aber unsichtbar und selten im Fokus steht. Der Vorfall zeigt, wie schnell sich eine einzelne Lücke zu einem Problem für ganze Organisationen entwickeln kann: Die Charité in Berlin sowie die Universitätskliniken Köln, Düsseldorf, Freiburg, Heidelberg und Mannheim hatten ihre Webseiten vorsorglich vom Netz genommen. Das ist nachvollziehbar, zeigt aber auch, wie wenig Spielraum vielen Einrichtungen bleibt, wenn eine Warnung kurzfristig eintrifft.
Für Kliniken und Einrichtungen im Gesundheitswesen ist Cybersicherheit damit endgültig ein Top-Thema. Sie stehen in einer besonderen Lage: stark vernetzte Medizintechnik, Verwaltung und Patientenaktensysteme, häufig historisch gewachsene IT-Landschaften ohne durchgängige Segmentierung und ein Betrieb, der sich nicht einfach für ein paar Tage herunterfahren lässt, ohne die Patientenversorgung zu gefährden.
Altes Muster trifft auf neue Dynamik
Beim aktuellen PHP-Sicherheitsvorfall meldeten Hoster Angriffe schon vor dem BSI-Patch, und das BSI sprach von unbestätigten Berichten über bestehende Exploits. Dies macht eines sehr deutlich: Neue Lücke werden heute bereits innerhalb von Stunden ausgenutzt, wenn die Basics fehlen. Und nach wie vor ist fehlendes Patch-Management oder fehlende Netzwerksegmentierung ein altbekanntes Muster im IT-Betrieb. Es kann zu Schwachstellen führen, die Organisationen in kurzer Zeit handlungsunfähig machen oder offline setzen. Das liegt weniger an der Raffinesse eines Cyberangriffs als an der Zeit, die zwischen Bekanntwerden und Schließen der Lücke verstreicht. Genau deshalb braucht es in Kliniken keine zusätzlichen Tools, sondern eine gezielte Aufwertung dessen, was ohnehin in der Information Security Planung stehen sollte.
Sechs Bausteine für ein zusammenhängendes Upgrade
Um sich vor IT-Sicherheitspannen und Cyberangriffen zu schützen, sind sechs Bausteine in der Information Security von Organisationen empfehlenswert, die nicht als Einzelmaßnahmen, sondern als zusammenhängendes Upgrade betrachtet werden sollen:
● Strategisches Patch- und Änderungsmanagement: Ein Rückstand wird zum leichten Ziel, wenn Change- und Patch-Prozesse Kür statt Pflicht sind. Sicherheitsupdates brauchen feste Fristen, die dokumentiert und überprüft werden.
● Security Hardening der Infrastruktur: Jede geschlossene Konfigurationslücke ist ein Angriffspfad weniger, den ein Angreifer nicht mehr verketten kann.
● Kontinuierliche Penetrationstests: Angreifer suchen laufend. Einmalige Prüfungen reichen deshalb nicht mehr aus, regelmäßige Tests sind der Maßstab.
● Netzwerksegmentierung: Sie entscheidet darüber, ob ein betroffenes System ein isoliertes Problem bleibt oder die gesamte Einrichtung lahmlegt.
● Security Operations Center (SOC) / Security Information and Event Management (SIEM) mit KI-gestütztem Monitoring: Erkennung muss so schnell werden wie der Angriff selbst. Dazu gehört auch die Sichtbarkeit auf ungewöhnliche Zugriffsmuster.
● Business Continuity Management: Auch eine grundsätzlich funktionierende Organisation wird ohne Notfallprozesse im Ernstfall tagelang handlungsunfähig. Notfallpläne müssen existieren und geübt werden, nicht nur auf Papier.
Vier Fragen, die IT- und Klinikleitungen beantworten können sollten
Die Leitfragen orientieren sich an der Logik aus Prävention, Validierung, Erkennung, und Wiederherstellung. Wenn die folgenden Fragen nicht innerhalb weniger Minuten beantworten werden können, wird klar, wo die nächste interne Prüfung ansetzen sollte:
● Prävention: Wie schnell werden kritische Schwachstellen in medizinnahen und patientendatenrelevanten Systemen geschlossen, und ist diese Frist irgendwo dokumentiert?
● Validierung: Wann wurde die externe und interne Angriffsfläche zuletzt unabhängig getestet, nicht nur durch interne Selbstauskunft?
● Erkennung: Wie schnell würde ein ungewöhnlicher Zugriff auf Patientendaten oder Medizintechnik auffallen: in Minuten, in Stunden oder erst, wenn der Schaden sichtbar wird?
● Wiederherstellung: Wie lange kann die Patientenversorgung ohne zentrale IT weiterlaufen, und ist dieses Szenario jemals real geübt worden?
Fazit
Die PHP-Warnung des BSI ist ein konkreter Anlass, aber nicht das eigentliche Problem. Das Problem sind Lücken in Prozessen, Segmentierung und Notfallplanung, die bekannt sind und oft nur deshalb bestehen bleiben, weil sie im Alltag keine Priorität haben. Wer die Basics konsequent verbessert, ist auf die nächste Warnung deutlich besser vorbereitet, egal ob sie eine Skriptsprache, ein Medizingerät oder einen Cloud-Dienst betrifft. Das Ziel ist nicht das perfekte Sicherheitskonzept. Es ist die ehrliche Antwort auf vier einfache Fragen.
Über den Autor
Marek Worreschk verantwortet als Head of Core Information & Cybersecurity bei dem Digitalisierungsdienstleister ]init[ AG den Bereich Information Security und erstellt Sicherheitskonzepte für öffentliche Auftraggeber und Einrichtungen im Gesundheitswesen. ]init[ begleitet Organisationen in stark regulierten und sicherheitskritischen Branchen, darunter Gesundheitswesen und öffentlicher Sektor, von der Strategie bis zum sicheren Betrieb.
Kontakt zum Autor: marek.worreschk(at)init.de