Der Staat fährt schwarz. Oktober 2026 im E-Government-Rückblick.

Dieser Monatsrückblick hat diesmal einen Schwerpunkt. Normalerweise gehe ich hier mehrere Themen des Monats in ähnlicher Tiefe durch. Im Oktober hat ein Ereignis die Verwaltung so direkt getroffen, dass ich ihm den größten Teil des Textes gebe. Die übrigen Themen kommen am Ende kürzer.

Am 21. Oktober hat das PHP-Projekt Notfall-Updates für zwei Sicherheitslücken veröffentlicht, CVE-2026-109618 und CVE-2026-109619 . Beide haben einen CVSS-Wert von 9,2, beide erlauben es Angreifern, ohne Anmeldung eigenen Code auf dem Server auszuführen. Beim Bundesamt für Sicherheit in der Informationstechnik (BSI) hielt Vizepräsident Thomas Caspers am selben Tag eine “kurzfristige, großflächige Ausnutzung innerhalb weniger Stunden nach Erscheinen der Sicherheitsupdates” für wahrscheinlich: “Es besteht also unverzüglicher Handlungsbedarf!” Berichtet wurde von der Warnstufe 3, Orange .

Was folgte, war eine Abschaltwelle durch alle Ebenen. Das ITZ Bund nahm mehrere Websites vorsorglich vom Netz , zeitweise waren laut KOMMUNAL auch RKI, Bundespolizei, Zoll und Bundesinnenministerium betroffen. In Hessen gingen hessen.de und die Seiten der Ministerien offline, dazu Kassel, mehrere Landkreise und zwei Unikliniken. Das Thüringer Landesrechenzentrum schaltete unter anderem Finanz- und Justizministerium ab. In Berlin traf es berlin.de und die Internetwachen der Polizei , beim Abgeordnetenhaus waren Teile der Website eingeschränkt, in Brandenburg Cottbus und mehrere Landkreise. Mainz, München, Dachau, Unna und Datteln stehen ebenfalls auf der Liste .

Deutschland war damit nicht allein. In Frankreich ließ das Innenministerium nach einer Empfehlung der ANSSI die Seiten der Präfekturen abschalten , in den Niederlanden gingen overheid.nl, MijnOverheid und DigiD vom Netz, in Finnland die öffentlichen Webdienste der Regierung über den Dienstleister Valtori . In Großbritannien waren 32 Regierungsdienste nicht erreichbar, in Australien sogar die Seite der nationalen Cyberbehörde, cyber.gov.au .

Offline heißt nicht gehackt, darauf hat die Forrester-Analystin Madelein van der Hout zu Recht hingewiesen: Die Abschaltung war eine “proportionate risk decision” . Spätestens seit dem 26. Oktober ist aber klar, dass die Vorsicht berechtigt war. Die US-Cyberbehörde CISA hat beide Lücken in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen.

Abgeschaltet haben viele. Für die Pflege der Technologie dahinter bezahlt haben die wenigsten.

Vierzehn Jahre im Code, und einer hat für die Prüfung bezahlt

Der Fehler ist nicht neu. Betroffen sind alle Versionen zurück bis PHP 5.4 , und die ist im März 2012 erschienen. Gefunden haben ihn im August Sicherheitsforscher mithilfe von Sprachmodellen: zuerst die Sicherheitsfirma Calif mit OpenAI, acht Tage später unabhängig davon Wiz, ebenfalls mit KI-Unterstützung ( t3n ). OpenAI-Präsident Greg Brockman kündigt an, man erwarte “many more such issues” .

Thomas Jarzombek, Parlamentarischer Staatssekretär im Digitalministerium, hat das auf LinkedIn sehr klar eingeordnet: “Software ist etwas grundlegend anderes als ein Schrank oder ein Elektroherd” . Produkte würden nie fertig, es gelte, einen durchgehenden Update- und Weiterentwicklungsprozess zu organisieren. Und: Was man bei PHP sehe, sei “keine Ausnahme oder ein einmaliges Problem, sondern im KI-Zeitalter das neue Normal”.

Für einen externen Blick in den Code bezahlt hat vorher genau eine Stelle. Das erste externe Sicherheitsaudit des PHP-Kerns seit über zehn Jahren hat 2024 die Sovereign Tech Agency bezahlt, eine Agentur des Bundes. Es brachte 17 sicherheitsrelevante Befunde und lieferte laut Sovereign Tech Agency einen Beitrag zur späteren Arbeit an der Ursache einer der beiden Lücken. Erste Hinweise auf den Fehler gab es dabei schon, gefixt wurde er damals nicht, weil sich das Entwicklerteam uneinig war und kein Angriffsweg bekannt war ( t3n ). netzpolitik.org nennt als Grund schlicht fehlende Ressourcen .

205.000 Euro hat die Sovereign Tech Agency 2023 und 2024 in die PHP Foundation gesteckt. Damit ist die Sovereign Tech Agency laut netzpolitik.org drittgrößte Geldgeberin der PHP Foundation, Jarzombek nennt den Bund ebenso den drittgrößten Unterstützer von PHP. Über alle Projekte hinweg hat die Sovereign Tech Agency in fünf Jahren über 60 Millionen Euro in mehr als 110 Vorhaben investiert. Die Sovereign Tech Agency handelt seit Jahren danach, dass Open Source Infrastruktur ist und Infrastruktur Wartung braucht. 💡

Der Rest des Staates fährt mit. Die PHP Foundation hat nach Auskunft ihrer Direktorin genau eine Vollzeitkraft, sie selbst, und 14 überwiegend in Teilzeit tätige Auftragnehmer . Auf der anderen Seite: Der Government Site Builder des Bundes, mit dem über 80 Bundesbehörden und -einrichtungen mehr als 250 Websites betreiben, zieht mit Version 11 auf TYPO3 und damit auf PHP um. Budget: 108 Millionen Euro über vier Jahre . Insgesamt hat der Bund von 2020 bis 2025 rund 3,1 Milliarden Euro für Software ausgegeben.

Ökonomen nennen das Trittbrettfahren. Alle nutzen das Gemeingut, kaum jemand zahlt für seinen Erhalt. Erik Möller von der Sovereign Tech Agency formuliert es so: Diese Lücke, “nicht irgendein einzelner Fehler, ist die eigentliche Schwachstelle” .

In der Verwaltung ist das Problem erkannt, Jarzombeks Beitrag zeigt das. Bei den Behörden, die PHP-Anwendungen betreiben, kommt diese Erkenntnis nach meinem Eindruck bisher kaum an. Und der Haushaltstitel, aus dem unter anderem die Sovereign Tech Agency finanziert wird, soll laut Regierungsentwurf 2027 leicht sinken, von 28,65 auf rund 28,3 Millionen Euro . Wer ein erfolgreiches Modell skalieren will, fängt so nicht an.

Wartung lässt sich kaufen

Es gibt mehrere Wege, das aktuelle Problem künftig zu vermeiden, keiner davon braucht ein neues Fachgesetz.

Der wirksamste liegt in der Vergabe. Sebastian Bergmann hat im September im Blog der PHP Foundation zwei Vorschläge von Tiffany Farriss (Drupal Association) aufgegriffen: 2 bis 5 Prozent des Auftragswerts für die Upstream-Wartung der genutzten Open-Source-Komponenten, und 20 Prozent der Wertungspunkte für nachweisbare Beiträge zu diesen Projekten. Auf das Budget des Government Site Builder umgelegt wären das zwischen 2,2 und 5,4 Millionen Euro über vier Jahre. Zum Vergleich: Die PHP Foundation hat 2025 insgesamt rund 730.000 Dollar eingenommen.

Der Vorschlag passt genauso auf Drupal, Nextcloud und viele andere populäre Open-Source-Lösungen, also auf alles, worauf die Verwaltung im großen Stil baut. Die EU-Kommission betreibt rund 770 Drupal-Seiten, die Nextcloud-basierte SIB-Box der Bundescloud hat etwa 300.000 Nutzende ( PHP Foundation ).

Der zweite Einstieg sind die Verträge. Die neuen EVB-IT machen Open Source seit März zum Standard in den Vertragsmustern für neue Entwicklungsprojekte . Das ist ein großer Schritt. Ein fester Wartungsanteil für die Upstream-Projekte gehört als nächstes hinein. Die Open Source Business Alliance hat dafür schon 2025 Auswahlkriterien vorgelegt: Nähe des Dienstleisters zur Community, Veröffentlichung von Änderungen upstream, Level-3-Support, Unterstützung der Lieferkette. Ihr Kernsatz: Das billigste Angebot ist meist nicht das wirtschaftlichste.

Der dritte Einstieg ist Enterprise Open Source, also Software mit Herstellersupport, bei dem die Wartung eingepreist ist. Was das wert ist, hat PHP2Shell gezeigt. Das PHP-Projekt hat reguläre Updates nur für die Versionen ab 8.2 veröffentlicht. Für 7.4 bis 8.1 gab es lediglich minimale Quellcode-Patches zum Selbstbauen, ansonsten hieß es “contact your vendor … or upgrade” . Wer einen Supportvertrag hatte, etwa über Ubuntu Pro, Red Hat oder Freexian ELTS für Debian, bekam auch für PHP 7.4 ein fertiges, getestetes Paket . Lückenlos war das nicht, auch dort war nicht jede Version abgedeckt. Der Unterschied ist die Zuständigkeit: Es gibt jemanden, der liefern muss.

Der vierte ist die Sovereign Tech Agency selbst. Jarzombek will ihr Modell skalieren und europaweit ausrollen, mit Mitteln der EU und des Digital Commons EDIC. Ein Pilot für einen europäischen Sovereign Tech Fund ist seit dem Frühjahr als eines der ersten Vorhaben des Digital Commons EDIC angekündigt, gemeinsam mit der Sovereign Tech Agency. Damit das nicht beim Pilot bleibt, braucht er einen Haushaltsansatz, der wächst.

Und wem die Kosten für solche Wartung zu hoch sind, dem sei als Beispiel das Projekt Civitas Connect ans Herz gelegt. Der Verein, in dem sich Kommunen und kommunale Unternehmen zusammengeschlossen haben, hatte für den 12. Oktober Dienstleister und Betreiber seiner Open-Source-Datenplattform eingeladen, mit einer einfachen Frage: “Wie wird aus einem erfolgreichen Open-Source-Projekt dauerhaft verlässliche digitale Infrastruktur?” Die Produkthoheit bleibt bei den öffentlichen Mitgliedern, die Unternehmen sollen sich an Pflege, Tests, Fehlerbehebung und Sicherheit beteiligen. 15 der 24 teilnehmenden Unternehmen haben eine Absichtserklärung unterschrieben, Grundsatz “Upstream first”.

Verbindliche Zusagen stehen da noch nicht drin. Ob aus der Absichtserklärung Geld und Personal werden, entscheidet sich beim nächsten Treffen am 9. November.

Wer nicht weiß, was läuft, kann nur den Stecker ziehen

PHP2Shell hat noch ein zweites Problem sichtbar gemacht. Mein Eindruck aus den Tagen danach: Viele Stellen haben vorsorglich abgeschaltet, ohne genau zu wissen, ob und wo sie betroffen sind. Der Bitkom hat am 21. Oktober geraten: “Wer Online-Anwendungen betreibt, sollte daher unbedingt prüfen, ob diese PHP verwenden …” Bei Log4Shell im Dezember 2021 klang der Rat ganz ähnlich : herausfinden, wo die Bibliothek überall steckt. Fast fünf Jahre, dieselbe Empfehlung.

Dass es anders geht, zeigen die Niederlande. Während overheid.nl, MijnOverheid und DigiD vorsorglich offline gingen, konnte die Regierung noch am selben Tag sagen, dass ein großer Teil ihrer Websites, darunter rijksoverheid.nl, kein PHP nutzt . Dafür muss man wissen, was man betreibt.

Thüringen zeigt die zweite Schwachstelle. Dort hieß es aus dem Digitalministerium: “Der Hersteller des Betriebssystems hat noch nicht für alle PHP-Versionen das entsprechende Update bereitgestellt.” Wer beim Patchen allein am Update-Kanal des Betriebssystem-Herstellers hängt, kann nur warten.

Das ist kein Einzelfall. Die ATHENE-Studie zur IT der Bundesministerien fand in mehreren Ministerien einen Apache-Webserver in einer Version, die über zwölf Jahre alt ist. Fast die Hälfte der über 2.182 aktiven kritischen Lücken stammte aus den Jahren 2015 bis 2017 (Datenstand Ende 2025). Bei PHP sieht es im Netz insgesamt nicht besser aus: Von den erreichbaren Servern mit sichtbarer Versionsangabe liefen am Tag vor den Patches 59 Prozent auf Versionen ohne Sicherheitsupdates . Und am 31. Dezember endet auch der Support für PHP 8.2 .

Die Antwort darauf hat einen Namen: Software Bill of Materials, kurz SBOM, eine maschinenlesbare Stückliste aller Komponenten und Versionen. Der Cyber Resilience Act verpflichtet die Hersteller ab Dezember 2027 dazu, mindestens für die direkten Abhängigkeiten. Eine Pflicht, sie an öffentliche Auftraggeber herauszugeben, sieht er aber nicht vor . In den neuen EVB-IT ist die Übergabe einer SBOM eine Option , keine Pflicht.

Das reicht nicht. Die SBOM gehört verpflichtend in jeden Vertrag, nach dem Zuschlag, für die Lieferung und für jedes Update, und zwar vollständig. Ohne dieses Inventar lässt sich Patch-Management kaum automatisieren. Die neuen SBOM-Mindestanforderungen , die die CISA Ende Juli mit 17 Partnerbehörden veröffentlicht hat, darunter NSA, FBI und das BSI, sagen es deutlich: Für manuelle Prozesse ist das Volumen zu groß.

Open Source professionell zu betreiben heißt also: Inventar, Versionsstand, Update-Kanal, eine verantwortliche Stelle. Das haben in der öffentlichen Hand nur wenige auf dem Schirm. Ohne diese vier Dinge bleibt im Ernstfall genau eine Maßnahme, die immer funktioniert, und das ist der Stecker.

Ein Manifest für den eigenen Platz am Tisch

Themenwechsel. In diesem Monat ist ein Papier bekannt geworden, das genau diese Fragen hätte beantworten können. Govdigital, die Genossenschaft der öffentlichen IT-Dienstleister, hat ihr “Zielbild IT-Dienstleister und Govdigital 2030” schon am 24. Juni beschlossen. Präsentiert hat sie es den Mitgliedern Anfang Oktober, bei der Vorstellung des neuen “Haus der öffentlichen IT” in Berlin ( Tagesspiegel Background, Paywall ; ebenso ). Acht Schwerpunkte stehen darin, darunter ein gemeinsames Leistungsversprechen, gebündelte Beschaffung souveräner Lösungen, die Konsolidierung und Professionalisierung des IT-Betriebs und eine neue Rollenverteilung: Flächenversorger für die kleinen Kommunen in der Region, Spezialversorger über Ländergrenzen hinweg, und für besonders kritische Leistungen mindestens zwei Anbieter, damit Ausfallsicherheit und Wettbewerb möglich bleiben. Open Source könne bei der gemeinsamen Beschaffung eine Rolle spielen, sei aber keine Voraussetzung, sagte Vorstandschef Martin Schallbruch ( Tagesspiegel Background, Paywall ). Öffentlich habe ich das Papier selbst nicht gefunden.

Der Druck, unter dem das Papier entstanden ist, lässt sich gut ablesen. Das ITZ Bund soll laut Referentenentwurf ab 2028 als Anstalt mit Zustimmung des BMDS auch Aufgaben für Länder und Kommunen übernehmen dürfen. Die KI-Cloud des Bundes über 250 Millionen Euro ging an zwei Konsortien , um T-Systems und SAP sowie um SVA, Schwarz Digits (STACKIT) und Codesphere. Die Betriebsplattformen der Deutschen Verwaltungscloud laufen auf IONOS und STACKIT , Dataport und IT.NRW managen sie. Und openDesk als Dienst über Govdigital betreibt zunächst exklusiv STACKIT . Das Haus der öffentlichen IT selbst versteht sich ausdrücklich als Ort “für eine stärkere Präsenz öffentlicher IT im politischen Berlin” .

Die Beteiligten sagen es selbst: Es seien “Fragen nach der Zukunft der Govdigital” aufgekommen, das Zielbild ist das Ergebnis des Strategieprozesses dazu ( Tagesspiegel Background, Paywall ). Ich lese das Manifest deshalb vor allem als Versuch, sich einen modernen Anstrich zu geben und im Spiel zu bleiben. Ganz ohne Substanz ist das nicht: Die Deutsche Verwaltungscloud ist seit April 2025 im Produktivbetrieb , die gemeinsame GenAI-Plattform läuft seit dem 13. Oktober. Und das Rollenmodell mit zwei Anbietern je kritischer Leistung ist richtig, weil es Wechselfähigkeit schafft.

Was fehlt, ist das Leistungsversprechen, das nur ein öffentlicher Dienstleister glaubwürdig abgeben kann. Tagesspiegel Background hält fest: “Wer künftig welche Leistungen verantwortet, bleibt bislang jedoch offen.” Die Professionalisierung des Betriebs steht als Schwerpunkt im Papier. Wie sie konkret aussehen könnte, hat PHP2Shell frei Haus geliefert: ein vollständiges Inventar für jede Kommune, automatisiertes Patch-Management und ein fester Wartungsbeitrag an die Projekte, auf denen der Verbund läuft. Ein transparentes Gesamtportfolio, das zeigt, welche Lösungen es schon gibt, ist ohnehin geplant. Das Inventar der Komponenten darunter wäre der nächste Schritt. Das wäre ein Grund, beim öffentlichen Dienstleister zu bleiben, statt direkt beim Cloud-Anbieter zu buchen. Ein guter erster Schritt wäre, das Zielbild zu veröffentlichen. Dann schaue ich es mir auch gern an und schreibe mehr dazu.

Kurz notiert

Zur Smart Country Convention vom 13. bis 15. Oktober habe ich einen eigenen Nachklapp geschrieben: Souverän ist, wer es draufdruckt . Dort geht es um das Wort, das auf fast jeder Messewand stand, und warum es ein Siegel braucht.

Der neue Digital Dependence Index der Universität Bonn und des Vodafone Instituts sieht Deutschland mit 0,73 (Datenstand 2023) auf einer Skala von 0 (unabhängig) bis 1 (vollständig abhängig) auf Rang 25 von 51 Ländern . Verschlechtert hat sich Deutschland seit 2010 vor allem bei Software und IT-Dienstleistungen , bei Plattformen liegt Europa insgesamt bei 0,98. Software und IT-Dienstleistungen sind allerdings der Teil, auf den die öffentliche Hand über ihre eigene Beschaffung am meisten Einfluss hat.

Beim Bürokratieabbau rechnen Regierung und Normenkontrollrat mit verschiedenen Zahlen. Die Bundesregierung meldet einen um mehr als zehn Milliarden Euro gesenkten Erfüllungsaufwand, im selben Bericht stehen bei den Bürokratiekosten “lediglich” rund 232 Millionen Euro Einsparung. Der Normenkontrollrat kommt auf einen Rückgang des Erfüllungsaufwands um rund 6,8 Milliarden Euro , überwiegend durch das Gebäudemodernisierungsgesetz, und auf jährliche Bürokratiekosten, die um rund 1,3 Milliarden Euro gestiegen sind. NKR-Chef Lutz Goebel weist darauf hin, dass ein Großteil der Entlastung Aufwand betrifft, “der in der Praxis noch gar nicht entstanden war” . Dazu kommen unterschiedliche Berichtszeiträume. Solange beide Seiten anders zählen, lässt sich keine Bilanz ziehen. Eine gemeinsam festgelegte Zählweise wäre der billigste Bürokratieabbau des Jahres.

Fazit und Ausblick

Am 2. und 3. November lädt die Bundesregierung zum Digital-Gipfel nach Berlin, Motto “Shaping AI: safe, sovereign, competitive”. Ein Jahr nach dem deutsch-französischen Gipfel zur digitalen Souveränität lohnt der Blick zurück. Im November 2025 gab es Investitionszusagen von über zwölf Milliarden Euro , eine deutsch-französische Taskforce und eine KI für die Verwaltung mit Mistral und SAP, deren Rahmenvertrag bis Mitte 2026 stehen sollte. Laut Digitalministerium ist er vorerst vom Tisch . Sichtbar geblieben ist vor allem das Digital Commons EDIC, und mit ihm der Pilot für einen europäischen Sovereign Tech Fund.

Ich war damals dabei und habe beim Begleitforum zur öffentlichen Beschaffung einen Workshop für das Digitalministerium gehalten. Bei der Grundfrage, was Souveränität in der Beschaffung heißt, sehe ich seitdem keinen Schritt Bewegung. Macron wollte eine klare europäische Präferenz, Merz hielt sie wohl nur in den Verwaltungen für durchsetzbar und setzte auf Sicherheitsvorgaben. Frankreich will die europäische Präferenz für Staat und Wirtschaft, Deutschland nur für die Verwaltung und über Sicherheitsvorgaben.

Am ersten Gipfeltag sitzen Jarzombek und Erik Möller von der Sovereign Tech Agency gemeinsam auf dem Panel “AI, Open Source and Digital Sovereignty” . Da wird sich zeigen, ob der Gipfel wieder schöne Fotos und Reden liefert oder eine Zahl: einen Haushaltsansatz für den europäischen Sovereign Tech Fund, oder einen festen Wartungsanteil in der Bundesbeschaffung. Abschalten kann jeder. Wartung muss man bezahlen.

Hat Sie das Thema interessiert?

Wenn bei Ihnen gerade ein Fachverfahrensvertrag verlängert wird und die Schnittstelle wieder nur als Wunsch im Lastenheft steht: Sprechen wir darüber, bevor die Verlängerung läuft. Ich denke mit, ohne mitzuverkaufen.