Wer am Mittwochabend eine Stadtverwaltung, ein Krankenhaus oder einen Stadtwerke-Auftritt aufrufen wollte, stand vielerorts vor verschlossenen Türen. Die Charité nahm ihre Webseite vom Netz, ebenso die Städte Mainz und Saarbrücken, in den Niederlanden fielen DigiD und MijnOverheid aus. Der Grund hat einen Namen, der nach Hacker-Film klingt, aber bitterer Ernst ist: PHP2Shell.

Was passiert ist

Am 21. Oktober 2026 veröffentlichte das PHP-Team Notfall-Updates für zwei kritische Schwachstellen im Kern der Sprache selbst: CVE-2026-109618 und CVE-2026-109619, beide mit 9,2 von 10 Punkten bewertet. Laut CERT-EU können beide Lücken eine Codeausführung aus der Ferne ohne jede Anmeldung ermöglichen. Betroffen ist jede PHP-Installation, die Webanfragen bearbeitet, darunter Apache mit mod_php, PHP-FPM, php-cgi, FrankenPHP und LiteSpeed. Am gefährlichsten ist mod_php: Dort reicht laut PHP-Sicherheitshinweis eine einzige unauthentifizierte Anfrage, noch bevor der Code der eigentlichen Webseite überhaupt läuft.

481,4 Millionen Euro. Diese Zahl sollte in jedem Digitalministerium, in jedem Haushaltsausschuss, in jedem IT-Referat der Bundesverwaltung als das gelesen werden, was sie ist: der Preis einer politischen Fehlentscheidung, die sich über Jahrzehnte aufgeschichtet hat. So viel hat die Bundesverwaltung im Jahr 2025 für Microsoft-Lizenzen ausgegeben – ein Anstieg von rund 38 Prozent gegenüber dem Vorjahr und fast 76 Prozent gegenüber 2023. Zwischen 2017 und 2025 summierten sich die Ausgaben, je nach Berechnungsmethode, auf mehr als 1,9 Milliarden Euro.

Es passiert gerade vor unseren Augen, und die meisten schauen weg. In Sachsen haben sich CDU, SPD und BSW auf eine Novelle des Polizeivollzugsdienstgesetzes (SächsPVDG) geeinigt, die das Freistaat zu einem der am weitesten ausgebauten Überwachungsstaaten Deutschlands machen würde. Gleichzeitig legt die SPD-Bundestagsfraktion ein „Impulspapier" vor, das weniger Datenschutz für mehr Wirtschaftswachstum fordert. Zwei Entwicklungen, eine Richtung: weg von der Freiheit, hin zur totalen Kontrolle.

Hacken, Scannen, Durchleuchten – das neue sächsische Polizeirecht

Was CDU-Innenminister Armin Schuster da in Dresden durchgedrückt hat, ist kein normales Polizeigesetz mehr. Es ist ein Werkzeugkasten für den Überwachungsstaat. Laut einem Bericht von netzpolitik.org beinhaltet der Einigungsentwurf von BSW, CDU und SPD unter anderem folgende Befugnisse:

Deutschland spricht seit Jahren von digitaler Souveränität. Behörden, Ministerien und Sicherheitsbehörden erklären regelmäßig, wie wichtig Unabhängigkeit von internationalen Technologiekonzernen geworden sei. Gleichzeitig erleben wir jedoch, dass dieselben Institutionen weiterhin auf Infrastrukturen und Dienste setzen, die tief in den Händen amerikanischer Hyperscaler wie Amazon, Google oder Microsoft liegen.

Die aktuelle Diskussion rund um die neuen C3A-Kriterien des Bundesamtes für Sicherheit in der Informationstechnik (BSI) zeigt exemplarisch, wie weit Anspruch und Realität inzwischen auseinanderliegen.

34.900 digitale Endgeräte für Lehrkräfte. Knapp 35.000 Notebooks und Tablets, angeschafft mit Steuergeldern, verteilt an Schulen in Schleswig-Holstein. Die Rechnung ist einfach: Jedes Gerät kostet im Schnitt zwischen 500 und 800 Euro. Das macht insgesamt mindestens 17,5 bis 28 Millionen Euro – eine Investition, die Lehrkräften die digitale Arbeit ermöglichen soll.

Doch die Realität, die eine kleine Anfrage der SPD-Fraktion offenlegte, ist ernüchternd: Von diesen knapp 35.000 Geräten wurden nur 31.120 jemals eingeschaltet. 3.780 Geräte warten noch immer auf ihren ersten Einsatz – doppelt so viele, wie als Reserve vorgesehen sind. Doch das ist noch nicht alles: Im gesamten Jahr 2025 wurden lediglich 24.021 Geräte überhaupt benutzt.

Es ist einer dieser Momente, in denen man als Datenschutzaktivist nicht weiß, ob man lachen oder weinen soll. Die Stadt Hannover hat 60.000 bis 75.000 Microsoft-365-Lizenzen im Wert von 324.000 bis 342.000 Euro für Schulen gekauft – und kann sie nicht nutzen. Warum? Weil die Datenschutzvereinbarung nicht den städtischen Vorgaben entspricht. Die Lizenzen sind unbrauchbar. Das Geld ist – möglicherweise – verloren. Die Schüler stehen ohne funktionierende Lösung da.

Heise online berichtet, dass der Fehler kurz vor Ostern bekannt wurde. Die Stadt musste die Nutzung von Word, PowerPoint und Co. an Schulen sofort stoppen. Wie es zu diesem „Vertragsfehler" kommen konnte, wird derzeit geprüft. Ob das investierte Geld verloren ist, ist noch unklar.

Die Europäische Kommission führt derzeit eine Evaluation der Hinweisgeberschutz-Richtlinie durch. Bis zum 17. Dezember 2025 muss die Kommission dem Parlament und dem Rat einen Bericht vorlegen, der die Auswirkungen der von den Mitgliedstaaten zur Umsetzung ergriffenen Maßnahmen bewertet. Diese Evaluation ist kein bürokratischer Formalismus. Sie ist eine historische Chance – und gleichzeitig ein dringend notwendiger Realitätscheck.

Denn während auf dem Papier ein europäischer Schutzrahmen für Whistleblower existiert, sieht die Realität in den Mitgliedstaaten oft ganz anders aus. Repressalien, Karrierevernichtung, soziale Isolation – wer in Europa Missstände meldet, riskiert nach wie vor alles. Die Frage ist: Will die EU das wirklich wissen? Oder soll die Evaluation zur Schönfärbungs-Veranstaltung verkommen?

“Most of us would have blamed the network, rebooted something, and moved on with our day. He didn’t.”

Am 29. März 2024 veröffentlichte Andres Freund, ein Microsoft-Entwickler und PostgreSQL-Contributor, eine E-Mail auf der Openwall-Mailingliste, die die Open-Source-Community in Aufruhr versetzte. Der Betreff: “backdoor in upstream xz/liblzma leading to ssh server compromise”. Was als routinemäßige Performancemessung begann, endete mit der Entdeckung einer der raffiniertesten Backdoors, die jemals in Open-Source-Software eingeschleust wurden.

Die Schwachstelle CVE-2024-3094 erhielt den maximalen CVSS-Score von 10.0 – kritisch im wahrsten Sinne des Wortes. Denn wäre sie nicht entdeckt worden, hätte ein unbekannter Angreifer potenziell Zugriff auf Millionen von Servern weltweit gehabt. Ein Video auf YouTube erklärt die technischen Details anschaulich – doch die eigentliche Geschichte ist weitaus erschreckender.

“Wir kannten Teheran, als wäre es Jerusalem.” Mit diesen Worten beschrieb ein israelischer Geheimdienstoffizier gegenüber der Financial Times, wie Israel jahrelang das Leben in der iranischen Hauptstadt überwachte. Nicht durch Agenten auf der Straße. Nicht durch menschliche Quellen. Sondern durch Verkehrskameras.

Am 28. Februar 2026 wurde der iranische Oberste Führer Ali Khamenei bei einem gezielten Luftangriff getötet. Dieser Schlag war das Ergebnis einer jahrelangen digitalen Infiltration – einer Infiltration, die zeigt, wie verwundbar moderne Staaten geworden sind. Und die Europa eine dringliche Frage stellen sollte: Sind wir die Nächsten?

Es ist ausdrücklich zu begrüßen, dass große europäische Leitmedien sich der Thematik rund um Microsoft 365, Cloud-Infrastrukturen und digitale Souveränität widmen. Eine faktenbasierte Auseinandersetzung ist überfällig. Allerdings greift es zu kurz, aktuelle Risiken primär oder gar ausschließlich mit einem neu gewählten US-Präsidenten zu verknüpfen. Die strukturellen Probleme bestehen seit Jahrzehnten – unabhängig von parteipolitischen Konstellationen.

Eine nüchterne chronologische Betrachtung zeigt dies deutlich. Das kürzlich auf YouTube veröffentlichte Video zu Microsoft 365 und digitaler Souveränität verdeutlicht diese Zusammenhänge anschaulich. Doch um die Tragweite zu verstehen, müssen wir vier Jahrzehnte zurückblicken.