Diese Woche haben wir erlebt, was passiert, wenn ein einziger Baustein des Internets wackelt: Durch die PHP-Lücke PHP2Shell nahmen Behörden, Kliniken und Stadtwerke ihre Webseiten vorsorglich vom Netz. Lästig, aber am Ende nur Webseiten. Was wäre, wenn so ein Fehler nicht eine Anmeldeseite trifft, sondern ein Fahrzeug mit 1,8 Tonnen Masse bei 130 km/h? Wer sich diese Frage stellt, landet schnell bei einer Branche, die ihre Produkte seit Jahren zu Rechnern mit Rädern umbaut.

Wer am Mittwochabend eine Stadtverwaltung, ein Krankenhaus oder einen Stadtwerke-Auftritt aufrufen wollte, stand vielerorts vor verschlossenen Türen. Die Charité nahm ihre Webseite vom Netz, ebenso die Städte Mainz und Saarbrücken, in den Niederlanden fielen DigiD und MijnOverheid aus. Der Grund hat einen Namen, der nach Hacker-Film klingt, aber bitterer Ernst ist: PHP2Shell.

Was passiert ist

Am 21. Oktober 2026 veröffentlichte das PHP-Team Notfall-Updates für zwei kritische Schwachstellen im Kern der Sprache selbst: CVE-2026-109618 und CVE-2026-109619, beide mit 9,2 von 10 Punkten bewertet. Laut CERT-EU können beide Lücken eine Codeausführung aus der Ferne ohne jede Anmeldung ermöglichen. Betroffen ist jede PHP-Installation, die Webanfragen bearbeitet, darunter Apache mit mod_php, PHP-FPM, php-cgi, FrankenPHP und LiteSpeed. Am gefährlichsten ist mod_php: Dort reicht laut PHP-Sicherheitshinweis eine einzige unauthentifizierte Anfrage, noch bevor der Code der eigentlichen Webseite überhaupt läuft.

Es gibt Momente, in denen eine Regierung ihre Maske fallen lässt. Der 2. Juli 2026 war so ein Moment. An diesem Tag beschloss der Koalitionsausschuss von CDU, CSU und SPD, das Informationsfreiheitsgesetz faktisch abzuschaffen. Nicht formal. Nicht mit großer Ankündigung. Sondern durch die Hintertür, verpackt als „Bürokratierückbau" und „staatliche Resilienz".

Der Verein FragDenStaat bezeichnet es als das, was es ist: den schwersten Angriff auf staatliche Transparenz in der Geschichte der Bundesrepublik. Und das ist keine Übertreibung. Es ist eine nüchterne Bestandsaufnahme dessen, was hier gerade passiert.

Ein 19 Jahre alter Hacker fliegt drei Länder als VPN-Kaskade auf, wechselt Aliase, löscht Spuren, tarnt sich hinter Proxy-Adressen – und wird am Ende trotzdem geschnappt. Nicht wegen eines Programmierfehlers. Nicht wegen einer undichten Chatgruppe. Sondern wegen einer einzigen Zeichenkette, die sein Betriebssystem klaglos an einen Konzern in Redmond funkte, während er glaubte, unsichtbar zu sein. Wer wissen will, was technisch mit einem gewöhnlichen Windows-Rechner alles möglich ist, sollte sich diesen Fall genau ansehen. Denn was hier einen mutmaßlichen Cyberkriminellen überführt hat, funktioniert bei jedem anderen Windows-Nutzer genauso zuverlässig – auch bei Menschen, die nichts Unrechtes tun.

481,4 Millionen Euro. Diese Zahl sollte in jedem Digitalministerium, in jedem Haushaltsausschuss, in jedem IT-Referat der Bundesverwaltung als das gelesen werden, was sie ist: der Preis einer politischen Fehlentscheidung, die sich über Jahrzehnte aufgeschichtet hat. So viel hat die Bundesverwaltung im Jahr 2025 für Microsoft-Lizenzen ausgegeben – ein Anstieg von rund 38 Prozent gegenüber dem Vorjahr und fast 76 Prozent gegenüber 2023. Zwischen 2017 und 2025 summierten sich die Ausgaben, je nach Berechnungsmethode, auf mehr als 1,9 Milliarden Euro.

Es passiert gerade vor unseren Augen, und die meisten schauen weg. In Sachsen haben sich CDU, SPD und BSW auf eine Novelle des Polizeivollzugsdienstgesetzes (SächsPVDG) geeinigt, die das Freistaat zu einem der am weitesten ausgebauten Überwachungsstaaten Deutschlands machen würde. Gleichzeitig legt die SPD-Bundestagsfraktion ein „Impulspapier" vor, das weniger Datenschutz für mehr Wirtschaftswachstum fordert. Zwei Entwicklungen, eine Richtung: weg von der Freiheit, hin zur totalen Kontrolle.

Hacken, Scannen, Durchleuchten – das neue sächsische Polizeirecht

Was CDU-Innenminister Armin Schuster da in Dresden durchgedrückt hat, ist kein normales Polizeigesetz mehr. Es ist ein Werkzeugkasten für den Überwachungsstaat. Laut einem Bericht von netzpolitik.org beinhaltet der Einigungsentwurf von BSW, CDU und SPD unter anderem folgende Befugnisse:

Deutschland spricht seit Jahren von digitaler Souveränität. Behörden, Ministerien und Sicherheitsbehörden erklären regelmäßig, wie wichtig Unabhängigkeit von internationalen Technologiekonzernen geworden sei. Gleichzeitig erleben wir jedoch, dass dieselben Institutionen weiterhin auf Infrastrukturen und Dienste setzen, die tief in den Händen amerikanischer Hyperscaler wie Amazon, Google oder Microsoft liegen.

Die aktuelle Diskussion rund um die neuen C3A-Kriterien des Bundesamtes für Sicherheit in der Informationstechnik (BSI) zeigt exemplarisch, wie weit Anspruch und Realität inzwischen auseinanderliegen.

34.900 digitale Endgeräte für Lehrkräfte. Knapp 35.000 Notebooks und Tablets, angeschafft mit Steuergeldern, verteilt an Schulen in Schleswig-Holstein. Die Rechnung ist einfach: Jedes Gerät kostet im Schnitt zwischen 500 und 800 Euro. Das macht insgesamt mindestens 17,5 bis 28 Millionen Euro – eine Investition, die Lehrkräften die digitale Arbeit ermöglichen soll.

Doch die Realität, die eine kleine Anfrage der SPD-Fraktion offenlegte, ist ernüchternd: Von diesen knapp 35.000 Geräten wurden nur 31.120 jemals eingeschaltet. 3.780 Geräte warten noch immer auf ihren ersten Einsatz – doppelt so viele, wie als Reserve vorgesehen sind. Doch das ist noch nicht alles: Im gesamten Jahr 2025 wurden lediglich 24.021 Geräte überhaupt benutzt.

Es ist einer dieser Momente, in denen man als Datenschutzaktivist nicht weiß, ob man lachen oder weinen soll. Die Stadt Hannover hat 60.000 bis 75.000 Microsoft-365-Lizenzen im Wert von 324.000 bis 342.000 Euro für Schulen gekauft – und kann sie nicht nutzen. Warum? Weil die Datenschutzvereinbarung nicht den städtischen Vorgaben entspricht. Die Lizenzen sind unbrauchbar. Das Geld ist – möglicherweise – verloren. Die Schüler stehen ohne funktionierende Lösung da.

Heise online berichtet, dass der Fehler kurz vor Ostern bekannt wurde. Die Stadt musste die Nutzung von Word, PowerPoint und Co. an Schulen sofort stoppen. Wie es zu diesem „Vertragsfehler" kommen konnte, wird derzeit geprüft. Ob das investierte Geld verloren ist, ist noch unklar.

Die Europäische Kommission führt derzeit eine Evaluation der Hinweisgeberschutz-Richtlinie durch. Bis zum 17. Dezember 2025 muss die Kommission dem Parlament und dem Rat einen Bericht vorlegen, der die Auswirkungen der von den Mitgliedstaaten zur Umsetzung ergriffenen Maßnahmen bewertet. Diese Evaluation ist kein bürokratischer Formalismus. Sie ist eine historische Chance – und gleichzeitig ein dringend notwendiger Realitätscheck.

Denn während auf dem Papier ein europäischer Schutzrahmen für Whistleblower existiert, sieht die Realität in den Mitgliedstaaten oft ganz anders aus. Repressalien, Karrierevernichtung, soziale Isolation – wer in Europa Missstände meldet, riskiert nach wie vor alles. Die Frage ist: Will die EU das wirklich wissen? Oder soll die Evaluation zur Schönfärbungs-Veranstaltung verkommen?