Wenn ein Web-Fehler Erdbebenwarnungen verstummen lässt: Japans Lehre aus der PHP-Krise

Kaum jemand denkt über die Programmiersprache hinter den Websites nach, die er täglich nutzt. Diese Woche hatten Millionen Menschen in Japan einen Grund dazu. Zwei kritische Lücken in PHP, der jahrzehntealten Serversprache, die noch immer einen großen Teil des Internets antreibt, lösten weltweit hektisches Patchen aus – und eine Nebenwirkung traf einen unerwarteten Ort: die Erdbebenwarnungen auf den Handys.

Ein Warnsystem in der Pause

SoftBank, Japans drittgrößter Mobilfunkanbieter, setzte am frühen Freitagmorgen seine Notfallwarnungen aus, während Techniker die betroffenen Systeme absicherten. Kunden von SoftBank und den Billigmarken Y!mobile und LINEMO wurde mitgeteilt, dass ihre Telefone bis zum Ende der Wartung am Montag weder bei Erdbebenfrühwarnungen noch bei Tsunami- oder Evakuierungsmeldungen Alarm schlagen. Das Unternehmen verwies so lange auf eine separate Katastrophenwarn-App.

In einem Land, in dem ein schrillendes Handy Sekunden vor einem Beben zum Alltag gehört, ist das eine bemerkenswerte Abwägung. Sie zeigt, wie tief gewöhnliche Webtechnik in Infrastruktur steckt, die viele für eigens gebaut und abgeschottet halten. Und sie zeigt, dass Betreiber einen ungepatchten Server inzwischen für gefährlicher halten als einige Tage ohne einen wichtigen Sicherheitskanal.

Warum dieser Fehler anders ist

Sicherheitsforscher verorten die beiden Lücken in der Sprache selbst statt in einem einzelnen Produkt; betroffen sind Versionen aus rund einem Jahrzehnt. Angreifer könnten ohne Anmeldung Code auf einem Server ausführen. Die Patches kamen zur Wochenmitte, doch da zählte man die Angriffsversuche bereits in Millionen. Banken, Bahnunternehmen, Fluglinien und Behörden in Japan und Europa nahmen vorsorglich Dienste vom Netz. Ein bestätigter Einbruch wurde bislang nicht gemeldet.

Eine Ironie wird die Debatte noch lange prägen: Die Lücken blieben jahrelang unentdeckt und wurden mithilfe von KI-Werkzeugen aufgespürt. Dieselbe Technik, die das Finden von Schwachstellen verbilligt, macht es auch für Kriminelle billiger, massenhaft danach zu suchen.

Tokios Antwort: sich selbst zuerst angreifen

Japans Reaktion ist aufschlussreich. Die Regierung will ein Team aufbauen, das mit KI simulierte Cyberangriffe auf die eigenen Systeme durchführt, um Schwachstellen zu finden, bevor es andere tun. Das ist ein Wechsel vom Reagieren hin zum ständigen Selbsttest – bei großen Tech-Firmen längst üblich, in der Verwaltung aber seltener.

Für den Rest Asiens wirft die Episode praktische Fragen auf:

• Welche kritischen Dienste hängen an allgemeiner Websoftware, die niemand inventarisiert hat?
• Haben Notfallkanäle eine Rückfallebene, die nicht dieselbe Schwachstelle teilt?
• Können kleine Kommunen und Krankenhäuser so schnell patchen wie große Netzbetreiber?

Die Antworten werden von Seoul bis Jakarta unterschiedlich ausfallen, die Lehre aber ist dieselbe: Widerstandsfähigkeit heißt nicht nur starke Mauern, sondern zu wissen, was dahinter steht. Japans Anbieter werden ihre Warnungen wohl binnen Tagen wiederherstellen. Schwieriger ist es, dafür zu sorgen, dass der nächste unsichtbare Fehler sie gar nicht erst abschalten kann.