15 Behördenseiten in Sachsen-Anhalt nutzen ein CMS aus Merseburg

Als Merseburg am Mittwochnachmittag, dem 21. Oktober, seine Website vom Netz nahm, geschah das „auf Empfehlung ihres IT-Dienstleisters“, so die Stadt laut dpa; Oberbürgermeister Sebastian Müller-Bahr (CDU) sagte es der Mitteldeutschen Zeitung ebenso. Der Dienstleister sitzt in Merseburg, heißt brain-SCC GmbH und baut nach eigenen Angaben seit über 26 Jahren Software für Kommunen. Sein Redaktionssystem GeoCMS, mit dem Verwaltungen ihre Internetseiten pflegen, steckt laut Quelltext der Seiten in mindestens 15 Kommunal- und Kreisportalen Sachsen-Anhalts, halberstadt.de eingeschlossen. Die dpa-Zeile „Internetangebot teils noch eingeschränkt“, die acht Häuser fast wortgleich bringen, hängt an drei Stellen: Den Patch schreibt das PHP-Projekt, das die Programmiersprache hinter vielen Websites pflegt. Für ältere Versionen baut ihn der Hersteller des Linux-Systems nach, und erst wenn der Dienstleister ihn eingespielt hat, geht das Rathaus wieder online.

Die Hinweisseite auf halberstadt.de stammt von der Firma#

Wer am Donnerstagnachmittag halberstadt.de aufrief, bekam eine Seite der brain-SCC GmbH¹: „Sie haben eine Website oder Anwendung aufgerufen, für die die brain-SCC GmbH als technischer Dienstleister tätig ist. Aufgrund kurzfristig erforderlicher Wartungsarbeiten sind alle Websites und Anwendungen in unserer technischen Betreuung derzeit nicht erreichbar.“ Die Stadt selbst hatte laut dpa die Internetseite, das Ratsinformationssystem und das Stellenportal vorsorglich wegen der BSI-Warnung abschalten lassen; ein Cyberangriff sei damit nicht verbunden. Gut 20 Minuten später war die eigene Startseite zurück, im Quelltext der Vermerk „GeoCMS Version:5.52.00 brain-SCC GmbH (c) 2026“.

Dieselbe Kennung steht in 15 Behördenseiten des Landes#

Denselben Vermerk trug am Donnerstag der Quelltext von merseburg.de, außerdem der von sechs der elf Landkreise, dem Saalekreis, dem Burgenlandkreis, Harz (kreis-hz.de), Stendal, Anhalt-Bitterfeld und dem Jerichower Land (lkjl.de), sowie der Städte Leuna, Braunsbedra, Naumburg und Bernburg. Teuchern, die Stadt Landsberg und die Hansestadt Stendal nutzen neuere GeoCMS-Versionen. Mit Halberstadt sind das 15 von 31 geprüften Behördenseiten in Sachsen-Anhalt: alle elf Landkreise, Magdeburg und Halle sowie 18 weitere Städte. Kleinere Gemeinden sind nicht erfasst, die 15 sind also eine Untergrenze. Nicht jede Abschaltung geht auf GeoCMS zurück: Halle nutzt TYPO3, und Rostock und Augsburg, die ihre Seiten ebenfalls vom Netz nahmen, arbeiten mit Contao und TYPO3.

Zwölf der 15 Portale liegen beim Hosting-Anbieter Hetzner in Falkenstein im Vogtland, sieben davon auf nur zwei Adressen; Braunsbedra und das Jerichower Land teilen sich eine Adresse bei IONOS, der Saalekreis betreibt sein Portal in einem eigenen Netz. Nach eigener Angabe auf ihrer Startseite² betreut die Firma 359 Portale in 14 Bundesländern.

Den Patch für ältere PHP-Zweige baut der Linux-Hersteller, teils gegen Abo#

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) stuft die Lücke in seiner Warnung vom 21. Oktober auf Stufe 3 von 4 ein, Orange. Darin steht auch die Empfehlung, auf die sich alle Abschaltungen berufen: „Sollten Patches nicht umgehend installiert werden können, empfiehlt das BSI eine vorübergehende Trennung vom Internet zu erwägen“ bsi.bund.de ↗. Davor steht, wer die Patches liefert: das PHP-Projekt für die aktuellen Zweige 8.2 bis 8.5, das PHP Security Team als nachgereichten Patch (Backport) für die ausgelaufenen Zweige 7.4, 8.0 und 8.1, und „Linux Distributionen und LTS-Anbieter bringen ggf. zudem Patches für ältere EoL PHP-Versionen raus.“ Aktualisiert wird PHP laut BSI „üblicherweise über die Paketverwaltung“, also über die Updates des Linux-Systems.

Wer eine ältere PHP-Version betreibt, für die das Projekt keine Updates mehr baut³, wartet deshalb auf den Linux-Hersteller. Red Hat⁴ veröffentlichte am 21.10. Fixes für RHEL 8 (PHP 7.4 und 8.2), RHEL 9 (8.0, 8.2, 8.3) und RHEL 10; PHP 8.4 auf RHEL 9 stand am Donnerstag auf „Affected“, RHEL 6 und 7 auf „Under investigation“. Ubuntu⁵ stuft die Lücke als „Critical“ ein und hat 22.04, 24.04 und 26.04 ohne Abo versorgt; für PHP 7.4 auf Ubuntu 20.04 heißt es „Fix available with Ubuntu Pro“, also nur im kostenpflichtigen Abo, für PHP 5 auf 14.04 „via Legacy Support add-on“. Debian hat bookworm und trixie „fixed“, SUSE⁶ führt den Gesamtstand als „Pending“.

Red Hat begründet sein „Important“ damit, dass Standardinstallationen PHP als eigenen Dienst (PHP-FPM) betreiben statt direkt im Webserver (mod_php) und „remote code execution is difficult in practice“ sei. Wie die GeoCMS-Server PHP einbinden, lässt sich von außen nicht erkennen; sie geben nur ihren Webserver an, Apache oder openresty.

Die Thüringer Staatskanzlei nahm ihre Seiten am Mittwoch vom Netz, spielte das Update ein und meldete laut dpa: „Seit dem 22. Oktober gegen 1 Uhr sind alle Seiten wieder erreichbar.“ Die Seiten des Finanzministeriums, des Justizministeriums und des Landesrechenzentrums waren am Donnerstag noch offline. Was das Rechenzentrum hostet, laufe „über ein anderes Betriebssystem“, teilte das Digitalministerium der dpa mit: „Der Hersteller des Betriebssystems hat noch nicht für alle PHP-Versionen das entsprechende Update bereitgestellt, dies erfolgt sukzessive.“ Auch am Freitag werde das Rechenzentrum noch mit dem Update beschäftigt sein; die Verzögerung liege nicht an ihm. Welches Betriebssystem, sagt das Ministerium nicht.

Am Donnerstagnachmittag lieferten 14 der 15 GeoCMS-Portale wieder ihre eigene Startseite, saalekreis.de antwortete auch zehn Minuten später noch nicht. Auf brain-scc.de stand unter „Aktuelles“ zuoberst der Rückblick auf die Smart Country Convention vom 13. bis 15. Oktober, nichts zur Abschaltung.