← Alle Insights ←

Open Source in unserer Unternehmung: Wie stark sind unsere Systeme exponiert?

Von · Veröffentlicht: 24.10.2026

RisikomanagementCybersicherheitVerwaltungsratAuslagerung
Open Source im Verwaltungsrat: Welche Komponenten tragen unser Geschäft?

Über die jüngste PHP-Lücke wird viel geschrieben, über das eigentliche Problem jedoch kaum: Rund 70 Prozent der Websites laufen auf PHP. Gewartet wird die Sprache von einer Stiftung mit einer einzigen Vollzeitstelle und 14 meist teilzeitlichen Auftragnehmern. Ihre Direktorin Elizabeth Barron sagt es selbst: «PHP is incredibly under-funded.»

Was das bedeutet, zeigte sich am 21. Oktober. Behörden, Spitäler und Firmen in mehreren Ländern nahmen ihre Websites vorsorglich vom Netz; je nach Schätzungen über 20 Mio potenziell verwundbare Server. Die Ursache steckte seit über zehn Jahren im Code.

Aus einem Werkzeug wurde Infrastruktur

Entstanden ist PHP 1994 als kleines Werkzeug für Rasmus Lerdorfs eigene Homepage. «I had no intention of writing a language», sagte er später. Sicherheit war damals kein Designziel; Cross-Site-Scripting gab es 1995 laut Lerdorf noch gar nicht. 32 Jahre später laufen Behördenportale und Onlineshops weltweit darauf.

Bekannt, dokumentiert, liegen gelassen

Der Interpreter ist in C geschrieben, einer Sprache, die Speicherfehler nicht abfängt. Die jetzt ausgenutzte Speicherschwäche war seit 2020 bekannt. 2024 tauchte sie in einem Audit erneut auf, das die deutsche Sovereign Tech Agency finanziert hatte. Weil kein Angriffsweg bekannt war, blieb die Behebung liegen. Die Stiftung nennt das selbst ein strukturelles Versagen, verursacht durch ihren Entscheidungsprozess und fehlende Mittel.

Nachrüsten unter Druck

Zur Priorität wurde der Fehler erst, als ihn im August mehrere Sicherheitsfirmen unabhängig voneinander meldeten. Seit dem 1. Juli hat die Stiftung 15 Schwachstellen veröffentlicht und über 100 weitere Meldungen erhalten, die ungültig oder doppelt waren. Über den Sommer stellte sie zwei zusätzliche Ingenieure ein. Nun bittet sie Unternehmen und Behörden, die auf PHP setzen, ihre Sicherheitsarbeit mitzufinanzieren.

Eine Frage der Abhängigkeit

Für Unternehmungen sowie den Verwaltungsrat ist das eine Frage der Abhängigkeit. Open Source kostet keine Lizenzgebühr, die Lizenz schliesst aber Gewährleistung und Haftung aus. Einen Vertrag mit zugesicherter Reaktionszeit gibt es nicht. Wer seine Plattform darauf baut, trägt dieses Risiko selbst. Sind sich die Geschäftsleitungen und Verwaltungsräte dieser Risiken wirklich bewusst?

Zwei Fragen für die Riskmap

Auf die Riskmap gehören deshalb zwei Fragen: Welche Komponenten tragen unser Geschäft? Und wer bezahlt ihre Pflege, wenn ein Fix zwei Jahre liegen bleibt?

Aufgaben lassen sich delegieren, Technologie auslagern. Verantwortung nicht.

Transparenzhinweis

Generative KI wurde bei der Erstellung dieses Artikels unterstützend für Recherche und redaktionelle Vorarbeiten eingesetzt. Die konzeptionelle Anlage, die Auswahl und Gewichtung der Inhalte, die fachliche Einordnung, die Endfassung des Textes sowie die Verantwortung für alle Aussagen und Schlussfolgerungen liegen bei mir.

Quellen