Behörden, Spitäler, KMU: Sicherheitslücke legt Schweizer Websites lahm
Kantone, Spitäler, KMU: In der Schweiz waren Tausende Websites von der gefährlichen Sicherheitslücke betroffen
Um einen Hackerangriff zu verhindern, haben Behörden, Universitäten und Firmen ihre Websites vorübergehend vom Netz genommen. Die Schadensbilanz ist noch unklar.
Valentina Rötheli22.10.2026, 19.48 Uhr
3 Leseminuten
Illustration Simon Tanner / NZZ
Die Website des Universitätsspitals Zürich (USZ) war plötzlich offline. Bürger im Kanton Neuenburg konnten die Website ihrer Gemeinde nicht mehr abrufen. Ein KMU konnte nicht mehr auf das System für die Lohnabrechnung zugreifen.
Optimieren Sie Ihre Browsereinstellungen
NZZ.ch benötigt JavaScript für wichtige Funktionen. Ihr Browser oder Adblocker verhindert dies momentan.
Bitte passen Sie die Einstellungen an.
Eine Sicherheitslücke in der weitverbreiteten Programmiersprache PHP hat auch die Schweiz stark getroffen. Tausende Websites und Softwarelösungen für Unternehmen waren vorübergehend nicht verfügbar. Websites sollten damit vor Hackerangriffen geschützt werden, bis die Sicherheitslücke durch Updates geschlossen wurde.
Besonders betroffen waren KMU. Viele von ihnen kaufen Softwarelösungen für Buchhaltung, Spesenmanagement oder Zeiterfassung von externen Dienstleistern ein. Einer dieser externen Dienstleister ist Bexio, der seit 2018 zum Versicherungsunternehmen Mobiliar gehört. Die Software des Unternehmens fiel am Mittwoch für Stunden aus.
Aktiv informiert hat das Unternehmen die Kunden offenbar nicht. Das bestätigt ein Schweizer KMU, welches mehrere Softwarelösungen von Bexio nutzt. Bexio habe nur auf der eigenen Website auf die Sicherheitslücke hingewiesen, sagt der Geschäftsleiter der betroffenen Firma. Auf Anfrage der NZZ hat Bexio zunächst nicht reagiert.
Für Schweizer KMU sind solche extern eingekauften Softwaredienstleistungen zentral. Sie haben oft nicht die Ressourcen, um für Lohnzahlungen oder Rechnungsstellung eigene Systeme zu betreiben. Die Vorteile von solchen extern eingekauften Dienstleistungen überwögen, sagt der KMU-Geschäftsleiter.
Trotzdem macht ihm diese Abhängigkeit Sorgen. Wenn man für ein paar Stunden keine Rechnungen versenden könne, sei das nicht so schlimm. Aber wenn beispielsweise Lohnzahlung oder Arbeitszeitabrechnung nicht mehr funktionierten, dann sei das problematischer.
Auch Kantone und Spitäler betroffen
Nicht nur KMU, auch zahlreiche Websites und Systeme von kantonalen Verwaltungen und Spitälern mussten wegen der Sicherheitslücke abgeschaltet werden. Der Kanton Basel-Stadt hat am Mittwochmorgen dazu einen Krisenstab einberufen und die entsprechenden Websites per sofort vom Netz genommen.
Der Kanton Freiburg musste über 30 Mitarbeiter aus dem Amt für Informatik mobilisieren, um die durch die Sicherheitslücke gefährdeten Systeme zu identifizieren und die notwendigen Sicherheitsupdates einzuleiten. Die Situation sei jetzt unter Kontrolle, schreibt der Kanton.
Neben der Website des Universitätsspitals Zürich war auch diejenige der Insel-Gruppe betroffen. Es war vorübergehend nicht möglich, auf diese zuzugreifen. Die beiden Spitäler betonen, dass der Spitalbetrieb dadurch nicht beeinträchtigt gewesen sei.
Weltweit trifft es Hunderttausende Websites
Am Mittwoch und Donnerstag sind wegen der Sicherheitslücke in der Programmiersprache PHP weltweit Hunderttausende Websites vorsorglich abgeschaltet worden. KI-Systeme hatten die Schwachstellen aufgespürt. Mit PHP können Websites erstellt werden – vom einfachen Blog bis zu komplexen Systemen wie Wordpress, die zur Verwaltung von Website-Inhalten dienen. Rund 70 Prozent der Websites weltweit basieren auf PHP.
Das Bundesamt für Cybersicherheit (Bacs) hatte bereits am Mittwoch vor zwei kritischen Schwachstellen gewarnt. Wie viele Websites von Schweizer Behörden und Unternehmen betroffen waren, konnte das Bacs auf Anfrage nicht genau sagen. Wie SRF schreibt, hat allein die Basler Firma Cyon, ein Host von Websites von Vereinen, KMU oder Konzernen, über 100 000 Websites vorübergehend vom Netz genommen.
Bundesamt gibt noch keine Entwarnung
Die Sicherheitslücke ist kritisch, weil sie ein Einfallstor für Hacker ist. Diese können ohne Anmeldung auf den Code einer Website zugreifen und sie übernehmen. Nicht nur Websites, auch unternehmensinterne Tools, beispielsweise für die Buchhaltung, basieren auf PHP. Ein Angriff von Hackern birgt die Gefahr, dass diese Zugriff auf heikle Daten erlangen. Der Internetkonzern Cloudflare habe Millionen von Angriffsversuchen registriert, schreibt dessen CEO auf X.
Die Schwachstellen können mit Sicherheitsupdates von PHP behoben werden. Betroffene Systeme sollten so schnell wie möglich aktualisiert werden, schrieb das Bacs. Wenn ein sofortiges Update nicht möglich sei, solle eine vorübergehende Ausserbetriebnahme geprüft werden. Das Update war jedoch erst ab Mittwochnachmittag verfügbar. Bis dann blieben die Sicherheitslücken bestehen.
Inzwischen konnten die meisten Websites und Systeme der Kantone und Spitäler aktualisiert und wieder in Betrieb genommen werden. Angefragte Kantone und Spitäler schreiben, dass Spezialisten die IT-Infrastruktur nach wie vor eng überwachten. Einige wenige Websites und intern genutzte Software von Behörden bleiben aber weiterhin offline.
Dem Bundesamt für Cybersicherheit waren bis zum frühen Donnerstagabend keine Angriffe bekannt, die auf die PHP-Sicherheitslücke zurückzuführen sind. Es sei aber möglich, dass Vorfälle noch nicht erkannt oder gemeldet worden seien.
Passend zum Artikel