Diese Woche war für IT-Administratoren ein Albtraum: ein Dutzend schwerer Sicherheitslücken, vom Mainboard bis VMware, und eine davon auf meinem eigenen kleinen Server. Ein Dutzend schwerer und schwerster Sicherheitslücken auf allen Ebenen von IT-Systemen. Und ich frage mich: Kann eine Kommune ihre IT noch alleine sicher betreiben?

Was ist passiert?

In rascher Folge wurden schwerste Sicherheitslücken und Angriffsvektoren über alle IT-Systeme bekannt: Vom Mainboard über Linux, von Cisco bis hin zu VMware. Mit der faszinierenden Ausnahme des Windows-Kerns wurden in allen Produkten massive Sicherheitslücken offengelegt. Und ich selbst bin betroffen, obwohl ich nur einen kleinen Linux-Server betreibe. Vor dem Hintergrund frage ich mich: Ist IT-Betrieb noch sicher?

Wir sind in einer Exponentialkurve des Schreckens

Die Fortschritte, die KI auf Basis von LLMs gemacht hat, sind atemberaubend. Wurde noch zu Jahresbeginn in der deutschen Öffentlichkeit die KI als eine Art Autocomplete dargestellt, so wurde die Warnung der Techriesen vor Missbrauchsmöglichkeiten der KI als Marketing abgetan, um die eigene desolate wirtschaftliche Situation zu retten.

Die Wahrheit ist eine andere. Wir befinden uns beim Thema KI nicht unter einer Glasdecke oder in einem KI-Winter, sondern wir befinden uns in einer Exponentialkurve. Solange man „unten" ist, scheint der Fortschritt nur langsam zu sein, aber irgendwann kommt der Knick und dann geht es so schnell, dass wir überfordert sind.

Woran liegt diese exponentielle Beschleunigung? Wer ist dafür verantwortlich? Die Antwort ist einfach: die KI selbst. Durch eine sogenannte rekursive Selbstverbesserung wird die KI durch die KI verbessert. Es klingt gruselig, es klingt nach dem Actionfilm Terminator:

„Skynet begann, in geometrischer Progression zu lernen. Um 2:14 Uhr erlangte es Bewusstsein. Die IT-Experten versuchten, den Stecker zu ziehen. Es war zu spät.“

Ganz schnell geht es jetzt bei den gravierenden Sicherheitslücken.

Ein Auszug, den ich dem lesenswerten Blog von Günter Born zu verdanken habe.

• Cisco SD-WAN (CVE-2026-20127, CVSS 10): wird aktiv angegriffen, die Malware KeyDrift zielt auf die Schlüssel und öffnet eine Hintertür.
• Linux-Kernel (CVE-2026-98432, CVSS 9.8): Codeausführung über das Netz. Debian hat Patches, Ubuntu und Red Hat hatten am 30.10. noch keine.
• Microsoft Edge: Kette aus fünf Lücken, Codeausführung ohne einen Klick, vorgeführt von Orange Tsai.
• Supermicro BMC (CVE-2026-18450, CVSS 9.8): Befehle ohne Anmeldung, 392 Mainboard-Modelle betroffen, ein Update ist da.
• VMware ESX: Die US-Behörde CISA warnt vor Angriffen.

Auswirkungen für die öffentliche Verwaltung

Allein die Linux-Lücke (Nr. 2 auf der Liste) ist hochdramatisch. Linux ist überall. 90 % des Internets und viele Webseiten der öffentlichen Verwaltung basieren auf Linux. Linux ist in der Kernverwaltung angekommen. Viele Fachverfahrenshersteller nutzen gerne das Tool Docker. Damit können IT-Produkte in einer Art Computer-Sandkasten betrieben werden, ohne Einfluss auf die Außenwelt. Am Besten funktioniert Docker unter Linux. Die Lücke CVE-2026-98432 betrifft alle Linux-Versionen der letzten 10 Jahre und ermöglicht vollständigen Zugriff auf den Server, bevor eine Anmeldung zum Tragen kam.

Was bedeutet das für den Betrieb?

Aus meiner Sicht ist die Situation klar: Kommunen, die derzeit noch einen Eigenbetrieb haben und versuchen, ihr System selbst stabil zu halten, stehen vor einer Herausforderung. Wenn jetzt im Wochentag gravierende Sicherheitslücken zu bewältigen sind, dann kann eine Kommune mit ihren ein bis zwei Administratoren das nicht mehr bewältigen.

Es gibt nur noch eine Lösung aus meiner Sicht, und das ist der Zusammenschluss zu größeren Verbünden, Datenzentralen, Zweckgemeinschaften und der strategische Fokus auf IT-Sicherheit.

Natürlich sind die kommunalen IT-Dienstleister gegen derartige Sicherheitslücken nicht immun, aber sie haben mehr Kompetenz und Power als kleine IT-Einzelkämpfer in den Verwaltungen. Der Eigenbetrieb, die Kosten, der Nutzen. Im KI-Zeitalter ist jeder Server, jedes einzelne System, jede Komponente, jeder Schaltkreis leider eine potenzielle Sicherheitslücke.

Betroffen waren schon in der Woche zuvor, durch die PHP-Lücke PHP2Shell, unter anderem:

• OWL-IT: Der IT-Dienstleister arbeitete nach eigenen Worten „mit Hochdruck“ daran, seine Webservices wieder bereitzustellen. Auch Webseiten im Kreis Höxter waren betroffen.
• Bielefeld: Die Stadt hat ihr Serviceportal abgeschaltet. Die Stadtsprecherin sagte dazu: „Onlinedienste sind nicht verfügbar.“ Auch die Stadtwerke Bielefeld waren offline, mit Stadtwerke Club, Energieportal und mobiel.de.
• Gütersloh, Hochschulen: Darunter die Webseiten der Stadt Gütersloh, der Hochschule Bielefeld und der Hochschule für Musik in Detmold.
• Kreis Herford: Auch die Seite des Kreises Herford ging vorübergehend vom Netz. Dazu kamen die Kreiskliniken Herford-Bünde.

Ich könnte die Liste endlos weiter führen.

Der Spaß ist vorbei. Wer patcht in Ihrer Verwaltung am Montagmorgen die Server, und wie viele Menschen sind das?