„Frau Kastl, können Sie mir erklären, warum das Internet kaputt ist?“ An manchen Tagen bekomme ich ungewöhnliche Anfragen. Vorgestern, am Mittwoch, den 21. Oktober 2026, war definitiv ein solcher Tag.

Vorneweg: Ist „das Internet“ jetzt kaputt? Nein. Oder ja. Je nachdem, wie man das betrachtet. Grundsätzlich läuft „das Internet“ inzwischen hoffentlich an vielen Orten wieder stabil. Dennoch ist es kaputt, schlicht und ergreifend, weil es immer mehr kaputt gemacht wird und weil es nicht wieder wirklich repariert wird.

Das Internet stand am 21. Oktober still, weil ein blauer Gigant strauchelte: PHP. Eine freie und offene Programmiersprache, in deren Innenleben zwei Sicherheitslücken gefunden wurden. Bei geschickter Ausnutzung ermöglichen sie es mit etwas Aufwand, Server durch das Einschmuggeln von Code vollständig zu übernehmen. Pauschale Aussagen wie die von Digitalminister Karsten Wildberger, dass Webseiten des Bundes nicht betroffen sind, sind zu diesem Zeitpunkt verfrüht.

PHP ist mit einem Marktanteil von fast 70 Prozent unter den serverseitigen Technologien die am weitesten verbreitete Programmiersprache für Webseiten und Webanwendungen. Bekannte Content-Management-Systeme wie WordPress, auf dem auch netzpolitik.org läuft, oder TYPO3, das als Government Suite Builder die Grundlage für viele Webseiten deutscher Bundesbehörden ist, laufen auf PHP. Aber auch viele IoT-Geräte wie Netzwerkspeicher haben Web-Oberflächen, die auf PHP basieren, darunter Geräte von Synology.

Ist die Basis dieser Systeme von Angriffen bedroht, könnte also wirklich ein Großteil des Internets kaputt gehen. Viele Betreiber von Webseiten von Behörden und Medien – auch netzpolitik.org – haben bis zum Einspielen von Sicherheitsupdates am 21. Oktober ihre Webseiten vorsorglich offline genommen – was als verantwortungsbewusst zu werten ist.

Die in PHP gefundenen Sicherheitslücken betreffen ungepatchte Versionen der Programmiersprache, die bis zur Version 5.x zurückreichen. Damit reicht das potenzielle Problem mehr als ein Jahrzehnt in die Vergangenheit. PHP, so weit man schaut.

Der brüchige Fortschritt

Mit einer so hohen Verbreitung ist PHP eine Grundlage unserer digitalen Allmende. Bricht die den vielen Webseiten zugrunde liegende Technik zusammen, steht viel auf dem Spiel. Am 21. Oktober war die Wikipedia offline, weil deren Grundlage, wie etwa PHP, brüchig war. Das für uns in den vergangenen Jahren so scheinbar selbstverständliche Wissen, das frei und offen einfach über das Internet verfügbar ist, war nicht mehr da, zumindest kurzzeitig.

Angesichts der Relevanz solcher Technologien wie PHP gibt es jetzt mehrere Sichtweisen. Eine der möglichen, eher technologisch geprägten Sichtweisen ist – auf ihre Art bemüht –, die digitale Allmende durch Erneuerung zu bewahren. Wäre es nicht sinnvoll, die technische Basis von so wichtigen Webseiten wie Wikipedia oder CMS-Systemen auf sichere Füße zu stellen? Typsichere Programmiersprachen als Basis wichtiger Webseiten zu verwenden, fast alles umzuschreiben, vielleicht sogar mit sogenannter künstlicher Intelligenz, wie bei diversen Konversionen in der letzten Zeit. Eine Sichtweise, die zumindest eines versteht: Dass Software wichtig ist und sie immer wieder gepflegt werden muss.

Es gibt eine zweite Sichtweise, der ich auch emotional viel näher bin. Es ist eine zutiefst menschliche Sichtweise. Der große Wert in PHP liegt nicht zwangsläufig in informationstechnischer Perfektion, sondern darin, über viele Jahrzehnte Menschen Werkzeuge zum Erschaffen von Webinhalten aller Art zugänglich gemacht zu haben. Getreu dem ursprünglichen Akronym „Personal Home Page Tools“ hat PHP es vielen Menschen ermöglicht, einfacher im Web eine Sprache des Ausdrucks zu finden, sei es als Basis von Blogs und anderen Webseiten, aber auch für Online-Shops für viele Unternehmen.

Im Zeitalter von sogenannter künstlicher Intelligenz scheinen wir allzu ungeduldig geworden zu sein.

Im Zeitalter von sogenannter künstlicher Intelligenz scheinen wir allzu ungeduldig geworden zu sein, weil wir nur auf ein schnelles und im Rahmen der Möglichkeiten ausreichendes Ergebnis schauen. Wesentlich in der Genese des Webs an und für sich sind aber primär die Menschen. Menschen, die durch den freien Austausch von Ideen, Wissen und Softwarebausteinen, vielen anderen Menschen erst ermöglicht haben, sich einfacher und selbstbestimmter im Internet ganz persönlich auszudrücken. Menschen, die anderen Menschen dabei geholfen haben, Webseiten zu programmieren, auch mir.

Der Vertrag, der nie einer war

Die Menschen, die mit PHP so vielen anderen Menschen geholfen haben, hatten am 21. Oktober und Tage zuvor Verantwortung für Sicherheitslücken in einer immens weit verbreiteten Programmiersprache übernommen. Sie haben nach bestem Wissen und Gewissen so schnell und verantwortungsbewusst wie möglich, Patches für PHP selbst bereitgestellt, die bei ihrer Ankündigung fast das ganze Internet betroffen haben. Nicht alles an der Veröffentlichung dieser Patches lief vollständig glatt, wie eine Timeline der Sicherheitslücken zeigt. Aber im Rahmen der Auswirkungen des Problems muss der Ablauf als überaus professionell bezeichnet werden.

Es gibt also Geld im Ökosystem für die Pflege freier und offener Software, es ist aber äußerst ungleich verteilt.

PHP wird von einer kleinen Stiftung betreut, der PHP Foundation, wie die Frankfurter Allgemeine Zeitung erklärt. Die PHP Foundation gibt es seit 2021 und die Mittel, die ihr zur Verfügung stehen, sind in Anbetracht der astronomischen IT-Budgets von KI-Unternehmen geradezu lachhaft. Die deutsche Sovereign Tech Agency, die mit öffentlichen Mitteln offene digitale Basistechnologien unterstützt, ist mit einer Finanzierung von etwa 200.000 Euro in den Jahren 2023 und 2024 die drittgrößte Geldgeberin. 2025 kam die Foundation auf Spenden von etwa 700.000 Euro pro Jahr. Aus Mangel an Ressourcen konnte das PHP‑Team schon vor zwei Jahren die Ursachen einer der Sicherheitslücken von 2026 nicht final beheben.

Zum Vergleich: Die Omarchy Foundation, deren Gründer offen rechtsextrem ist, hat allein im Jahr 2026 bislang mehr als 18 Millionen US-Dollar eingetrieben.

Es gibt also Geld im Ökosystem für die Pflege freier und offener Software, es ist aber äußerst ungleich verteilt. Die weit verbreitete Bibliothek XZ Utils bekam als Quasi-Ein-Personen-Projekt keine Unterstützung – und wurde deshalb von Sockenpuppen-Accounts unterwandert, die sie 2024 beinahe vollständig übernommen hätten und eine weitere Beinahe-Totalkatastrophe ausgelöst hätten. Die himmelschreiende Ungleichheit im Software-Ökosystem war schon damals nicht mehr auszuhalten.

Schon wieder Murmeltiertag?

Der als PHP2Shell titulierte Exploit der Sicherheitslücken in PHP erinnert in seiner Dramatik auch frappierend an Log4Shell. Ein kleines Team, das eine vermeintlich einfache Programmbibliothek für Logging bereitgestellt hat, hat „das Internet kaputt gemacht“.

Natürlich hat es das nicht. Ein kleines Team hinter einer Java-Bibliothek hat der Welt nach bestem Wissen und Gewissen kostenfrei, meist in seiner Freizeit, kontinuierlich Software geliefert, die zum Teil unser aller digitale Infrastruktur wurde. Ich hatte die Ehre, die persönliche Schilderung von Christian Grobmeier aus dem Log4J-Team 2023 anzuhören, wie es sich anfühlt, wenn ein Moment wie der 21. Oktober passiert.

Menschen, die aus einer Mischung aus Hate- und Lovestorm in diesem Moment der Nabel der digitalen Welt sind. Hat diese Programmbibliothek auch damals gerade das Internet kaputt gemacht? Ja. „Wir haben es kaputt gemacht. Aber wir reparieren es gerade.“ Das sind die Menschen, die unsere digitale Infrastruktur am Laufen halten, auch heute noch. Menschen, die alle Reaktionen – von wüsten Beschimpfungen zur Überhäufung mit Lob – aushalten müssen, weil sie tun, was sie tun: der digitalen Welt ihre Arbeit bereitwillig bereitstellen.

Aber: Die Reaktionen, die auf die aktuelle PHP-Lücke aus politischen Kreisen kommen, sind sehr weit von den Menschen hinter den Projekten, den Maintainern, entfernt. Der Vorsitzende des Parlamentarischen Kontrollgremiums für die Geheimdienste, Marc Henrichmann, bezeichnet PHP2Shell als „Wendepunkt“. Der Wendepunkt war nicht am 21. Oktober. Er war schon weit früher. Log4Shell machte 2021 klar, wie verwundbar wir sind, aber passiert ist wenig. Multi-Milliarden-Investitionen in Form eines Deutschlandfonds für KI sind problemlos möglich. Investitionen in digitale Basisinfrastruktur nicht.

Ignoranz wäre fatal – in jeder Hinsicht

Irgendwo in der aktuellen Diskussion kommt immer das Wort „KI“ vor. KI sei schneller darin, Sicherheitslücken zu finden und auszunutzen. Das kann gleichzeitig wahr sein, ohne tiefgreifenden Probleme betrachten zu müssen, die schon vorher existierten. Ignoranz der Situation wäre töricht, wieder sei hier auf Christian Grobmeier verwiesen. Heutige KI-Systeme werden zunehmend als Waffe verwendet. Als Waffe, um im virtuellen Raum anzugreifen. Aber auch als Waffe, um Maintainer mit einer Schwemme vermeintlich gut gemeinter Sicherheitshinweise konstant zu überfordern.

Die Präsidentin des Bundesamts für Sicherheit in der Informationstechnik, Claudia Plattner, wird jüngst im Spiegel (€) mit der Feststellung zitiert, dass Angreifer aktuell leider einen Geschwindigkeitsvorteil haben. Dieser Geschwindigkeitsvorteil kommt auch durch Automatisierung von Angriffen, teils mittels KI, ja. Es sollte daher kritisch hinterfragt werden, ob wir diesen Kannibalismus von Ressourcen und der wohlwollenden Unterstützung von Maintainern in dieser Form noch weiter aktiv fortführen wollen.

Bisher wird das Finden von Sicherheitslücken, etwa von OpenAI und Anthropic, hochgejazzt. Die eigentlich harte Arbeit, das Bewerten und Beheben von Sicherheitslücken, obliegt den Maintainern im Stillen. Das Beheben von Sicherheitsproblemen braucht vor allem erst einmal eines: menschliche Zeit, um das Problem zu verstehen, es besonnen zu bewerten und vor allem zu verantworten. Ein erratisches KI-System verantwortet genau nichts. Es bleibt also viel menschliche Arbeit, die etwa beim curl-Projekt inzwischen dazu geführt hat, dass zum Selbstschutz alle Meldungen zu unkritischen Sicherheitslücken sofort veröffentlicht werden, um überhaupt noch überleben zu können.

Es kann keine sichere digitale Welt geben, die auf einem schiefen sozialen Gefüge aufbaut.

Wesentlich in der Bewertung der Situation ist am Ende auch, dass diese schnelleren und skalierbaren Angriffe deshalb besonders fruchtbar werden, weil das soziale Gefüge darunter bereits lange extrem verschoben war. Es kann keine sichere digitale Welt geben, die auf einem schiefen sozialen Gefüge aufbaut.

Wir stehen alle auf den Schultern vieler kleiner Giganten, deren Relevanz wir immer dann zu erkennen scheinen, wenn etwas gehörig schiefgeht.

Was uns zum Ende zu einem kleinen Elefanten bringt: Das Maskottchen von PHP ist ein kleiner blauer Elefant. Letztlich hat uns der 21. Oktober gezeigt, dass wir alle auf den Schultern dieses kleinen Giganten, eines kleinen blauen Elefanten, stehen. Wir sollten unsere vielen kleinen digitalen Giganten, wie PHP, nicht fallen lassen, weil wir alle im Digitalen sonst selbst fallen werden.