Die Internetseite der Landeshauptstadt Dresden ist seit Mittwoch, 21. Oktober, vorübergehend nicht erreichbar. Auch alle weiteren städtischen Internetauftritte, wie das Ratsinfo oder der Themenstadtplan wurden vorsorglich abgeschaltet. Grund ist eine Sicherheitslücke in der Programmiersprache PHP.
Wie die Stadtverwaltung mitteilt, hatte das Network Operations Center auf eine kürzlich bekannt gewordene Sicherheitslücke hingewiesen. Betroffen ist die Programmiersprache PHP, die auch auf den städtischen Internetseiten zum Einsatz kommt.
Die Schwachstelle könnte es Angreifern ermöglichen, Schadcode auf den Servern auszuführen. Um einen möglichen Angriff zu verhindern, entschied sich die Stadt für die vorsorgliche Abschaltung sämtlicher Internetauftritte.
Internetseiten sollen bald wieder erreichbar sein
Derzeit wird ein Sicherheitsupdate installiert. Sobald die Schwachstelle behoben ist, sollen die Internetseiten wieder freigeschaltet werden. Die Stadt rechnet damit, dass dies am Donnerstag, 22. Oktober, der Fall sein wird.
![Lesetheater im Alaunpark](https://dailyfallback.neustadt-ticker.de/wp-content/uploads/2026/10/2026-10-11-Anzeige-Lesetheater.jpg")
Die Arbeit der Stadtverwaltung läuft unterdessen weiter. Sämtliche Ämter und Einrichtungen sind telefonisch und per E-Mail erreichbar. Bereits vereinbarte Termine finden wie geplant statt.
Hinweise zu der Sicherheitslücke gibt es auf der Seite des Bundesamtes für Sicherheit in der Informationstechnik.
Hintergrund: PHP steht für „PHP: Hypertext Preprocessor“, ursprünglich „Personal Home Page Tools“. Die frei verfügbare Skriptsprache wird vor allem zur Erstellung dynamischer Webseiten und Webanwendungen verwendet. Ihre Syntax orientiert sich an den Programmiersprachen C und Perl. PHP unterstützt zahlreiche Datenbanken und Internetprotokolle und bietet eine große Auswahl an Funktionsbibliotheken. Weitere Informationen bei Wikipedia.
Nachtrag 22. Oktober, 7 Uhr
Aus Sicherheitsgründen war auch das Neustadt-Geflüster über Nacht abgeschaltet. Inzwischen hat der Webspace-Anbieter die PHP-Sicherheitslücke geschlossen und das Neustadt-Geflüster ist wieder online. Für tiefergehende Details empfiehlt sich der Artikel bei t3n.de. Die Website der Stadt Dresden ist aktuell immer noch abgeschaltet.
Nachtrag 22. Oktober 14 Uhr
Die Website dresden.de ist wieder online, das Ratsinformationssystem und der Themenstadtplan aber noch nicht. Wie die Stadtverwaltung am Nachmittag mitteilt, werden die weiteren Internetauftritte und Online-Dienste der Landeshauptstadt nach einer notwendigen individuellen fachlichen Prüfung schrittweise wieder freigeschaltet. Die Dauer der Wiederherstellung hänge dabei insbesondere von der technischen Komplexität der jeweiligen Dienste ab. Mit der Prüfung und Wiederherstellung sind die Spezialisten des Eigenbetriebes IT-Dienstleistungen befasst. Hinweise auf Angriffe auf die Systeme der Landeshauptstadt Dresden gibt es bislang nicht.
Ähnliche Beiträge vergangener Tage
Oha, wunderte mich gerade, schon wieder alles ausgeschaltet, aber hier im NG stehts ja bestätigend. Warum man die Sicherheitslücke (hier ohne vorliegenden Schadangriff vermeldet) nicht „im Betrieb“ schließen kann, ist seltsam. Oder man hat solch Angst, daß sowas binnen Sekunden durch die Schadware sofort erkannt wird, aber dann wäre ja längst auch ein Angriff hier vorliegend.
Auch an Wochenenden fällt gerne mal das eine oder andere der städtischen Webseiten aus – dann im Grunde aus „Wartungsarbeiten“, welche vorab jedoch nicht publik gemacht werden. Oft ist nach Minuten oder Stunden das Zeugs wieder funktionsfähig da, aber dem BürgerIn ist das natürlich zuzumuten, denn was BürgerIn will ist eh egal. Die Verwaltung arbeitet am Wochenende ja nicht, der „Rest“ ist wurscht. Wirklich vertrauenswürdig ist das alles nicht, aber auch das ist Wurst.
@Amtsmann Horst
Genau! Endlich sagt’s mal jemand. Schlümm! Forschtbor!!
Wo bleibt die Wut?
Ja alles so schrecklich hier. Schnell weg. Aber wohin? Da wo es noch Amtshauptmänner gibt?
@Amtsmann Horst
Mir ist es lieber es wird aus (in diesem Fall sehr berechtigter) Vorsicht etwas abgeschaltet wird als das sich da was einnistet und man dann in 6 Monaten erstaunt feststellt das sich ein ganzes Biotop von unerwünschten Untermietern der städtischen IT Ressourcen bedient.
einer der Bürger (Ich) haben das viel lieber als dann meine Daten von den städtischen Servern in irgendwelche schattigen Datensammlungen migrieren. Da ist mir „der Rest“ also ihre Meinung, so ziemlich egal.
das konnte man nicht im betrieb warten. da kann man die stadt nun wirklich nicht verantwortlich machen. 16 uhr gestern nachmittag wurde der PHP-patch, der die schwachstelle beseitigt, veröffentlicht und ab da musste man dann warten bis das update beim eigenen hoster ankommt. bis dahin konnte man nur abschalten um nicht attackiert zu werden. gezeichnet, jemand der seine website selbst abschalten musste
@palisadenhonko: Soweit richtig, aber im Falle der Stadt hätte ich schon erwartet, dass man für solche Fälle eine statische Version vorhält, zu der dann sehr rasch umgeschalten werden kann. Ist ja nun auch nicht der erste Ausfall der städtischen Website, da wäre es schon schön, wenn man für solche Fälle einen Plan B hat. Ja, da fehlen dann die aktuellen Meldungen, alle dynamischen Inhalte und Vieles mehr, aber ist auf jeden Fall besser als einfach den Server ausschalten. Zumal man ja davon ausgehen darf, dass der technische Dienstleister für die Stadt, der da reagieren muss, für solche Fälle 24/7 erreichbar ist. Auf deren Website steht immerhin 99,99% Verfügbarkeit, was weniger als eine Stunde Ausfall pro Jahre wäre ;-)