Der PHP2Shell-Vorfall und was er über digitale Souveränität verrät

Über den Vorfall und die Frage, was er über digitale Souveränität verrät, haben wir mit René Lührsen gesprochen. Er promoviert am Institut für Management und Organisation (IMO) der Leuphana bei Prof. Dr. Matthias Wenzel und ist Wissenschaftlicher Mitarbeiter bei Prof. Dr. Maximilian Heimstädt an der Helmut-Schmidt-Universität/Universität der Bundeswehr Hamburg. In seiner Dissertation untersucht er die Sovereign Tech Agency (STA), die seit 2022 im Auftrag des Bundes die Wartung und Sicherheit offener digitaler Infrastruktur fördert. Seine Forschung wurde durch ein Promotionsstipendium der Hans-Böckler-Stiftung gefördert. Gemeinsam mit Maximilian Heimstädt und Thomas Gegenhuber (Johannes Kepler Universität Linz) veröffentlichte er 2025 bei der Stiftung die Studie „Organizing Public Support for Open Digital Infrastructure“.

Lieber Herr Lührsen, PHP ist selbst Open-Source-Software. Welche Vorteile hat offene Software für die digitale Infrastruktur in Deutschland?

Open-Source-Software darf jeder nutzen, prüfen, verändern und weitergeben. Entwickler müssen deshalb nicht jedes Mal bei null anfangen, sondern bauen auf frei verfügbaren Bausteinen auf. PHP ist ein solcher Baustein. Auf PHP laufen Systeme wie WordPress oder TYPO3 und damit die Webauftritte vieler Kommunen, Kliniken und Hochschulen. Ein weiterer Vorteil betrifft die digitale Souveränität, also die Fähigkeit, selbstbestimmt über die Technologie zu entscheiden, die man nutzt. Weil der Quellcode offenliegt, lässt sich prüfen und verändern, was eine Software tatsächlich tut. Schwachstellen können unabhängig gefunden und behoben werden. Und niemand ist auf einen einzelnen Hersteller angewiesen, der Preise, Lizenzen oder Support einseitig ändern kann. Open-Source Software eröffnet also die Möglichkeit zur Selbstbestimmung. Ob diese Möglichkeit Wirklichkeit wird, hängt davon ab, ob jemand die Software dauerhaft pflegt.

Der Code von PHP ist für alle einsehbar. Warum bleiben solche Lücken trotzdem unentdeckt, und hätte man das Risiko mindern können? 

Dass Code einsehbar ist, heißt noch nicht, dass ihn jemand fortlaufend wartet und weiterentwickelt. Bei PHP steckten die jetzt erkannten Fehler viele Jahre im Code. Die Wartung und Weiterentwicklung von Open-Source Software Infrastruktur ruhen häufig nur auf einer sehr kleinen Gruppe von Entwicklern, die in der Regel nicht ausreichend finanziert sind. Das ist typisch für Wartungsarbeit in Open-Source Software, vieles passiert auf Basis von Freiwilligenarbeit. Die Offenheit macht es leicht, Software zu nutzen, aber schwer, die Arbeit daran zu finanzieren. Firmen bezahlen meist die Funktionen, die ihre eigenen Produkte brauchen. Liegen bleibt die Wartung, also Code überprüfen, Lücken schließen und veraltete Teile erneuern. Mindern lässt sich das Risiko durchaus, und gerade PHP zeigt das. 2024 hat die STA das erste externe Sicherheitsaudit des PHP-Kerns seit über zehn Jahren finanziert. Es ergab 17 sicherheitsrelevante Befunde, die zu späteren Arbeiten an der Ursache einer der beiden PHP2Shell-Lücken beitrugen. Die PHP Foundation hat diese Förderung ausdrücklich gewürdigt. Ein Audit ist allerdings eine Momentaufnahme. Lücken zu finden ist nur der erste Schritt. Sie zu beheben und künftig zu verhindern, erfordert Menschen, die den Code genau kennen, und Zeit, die jemand bezahlt.

Sie haben als Organisationsforscher die STA anderthalb Jahre lang begleitet. Was haben Sie darüber herausgefunden, wie staatliche Förderung und Open-Source-Communities zusammenarbeiten können?

Die STA funktioniert als Brücke zwischen Staat und Communities, also den weltweit verteilten Gruppen, die eine Software gemeinsam entwickeln, weil sie beide Seiten versteht. Hinter ihrer Gründung stehen Menschen aus den Open-Source-Communities und digitalpolitische Akteure, und das Team bringt technische Expertise mit. Es weiß also, was es fördert und wie die Communities arbeiten. Zugleich kennt die Agentur die Regeln, die an Steuergeld geknüpft sind, etwa Rechenschafts- und Berichtspflichten. Sie filtert diese so, dass die Projekte nur liefern müssen, was wirklich nötig ist, zum Beispiel mit schlanken Anträgen und Berichten in einem Format, das zur Arbeitsweise des Projekts passt. In die andere Richtung erklärt sie Politik und Öffentlichkeit, warum unscheinbare Software wie PHP so wichtig ist. Öffentliche Förderung braucht also mehr als Geld, nämlich eine Organisation dazwischen, die beide Welten verbindet.

An der Aufdeckung der PHP2Shell-Lücken war KI beteiligt. Was bedeutet das für die Zukunft offener digitaler Infrastruktur, und was müsste sich ändern?

KI beschleunigt das Finden von Schwachstellen, für Sicherheitsforscher ebenso wie für Angreifer. Beheben müssen die Lücken aber weiterhin Menschen, die den Code genau kennen, und davon gibt es zu wenige. Der Engpass verschiebt sich also vom Finden zum Beheben, und damit zur unterfinanzierten Wartungsarbeit. Ändern müsste sich deshalb vor allem die Finanzierung. Hier bewegt sich etwas, auch auf EU-Ebene: Unter dem Dach des Digital Commons EDIC, eines Zusammenschlusses mehrerer EU-Staaten, wird ein europäischer Sovereign Tech Fund nach deutschem Vorbild erprobt. Im Idealfall entstehen viele öffentliche und private Programme nebeneinander. Dann hängt die Pflege nicht an einem einzigen Geldgeber, und Wartung wird so selbstverständlich wie die Instandhaltung von Straßen und Brücken, statt nur eine Reaktion auf die nächste Krise zu sein.

Vielen Dank!

René Lührsen