Future Proof Tech Briefing · Oktober 2026
RAMmageddon, Teil 12: Zwei Geschwindigkeiten
482 Megawatt nebenan und eine Homepage, die nicht wiederkommt.
Heute wollte ich auf der Homepage eines großen Verbands hier in Rheinland-Pfalz etwas nachschlagen. Nichts Besonderes, eine Information, die man sonst in zwei Klicks findet.
Die Seite ist offline. Keine Wartungsseite, kein Hinweis, nur ein nackter Serverfehler. Seit wann, weiß ich nicht. Im Webarchiv ist sie zuletzt am 9. Oktober noch ganz normal zu sehen, gebaut auf WordPress, also auf PHP.
Meine Vermutung, und ich sage ausdrücklich, dass es eine Vermutung ist: Die Seite ist seit dem 21. Oktober dunkel und hängt an genau dem Problem, um das es in diesem Teil geht. Beweisen kann ich das nicht. Aber das Muster passt zu dem, was in dieser Woche in ganz Deutschland zu beobachten war.
Und knapp zwanzig Kilometer weiter, im Nachbarlandkreis, wird gerade eines der größten Rechenzentren Europas geplant.
Das ist Deutschland im Herbst 2026. Zwei Geschwindigkeiten, eine Region.
Was am 21. Oktober passiert ist
Zwei kritische Lücken im Kern von PHP, der Sprache, auf der ein Großteil aller Websites läuft. CVE-2026-109618 und CVE-2026-109619, beide mit 9,2 von 10 bewertet. Wer sie ausnutzt, kann ohne Anmeldung eigenen Code auf dem Webserver ausführen. Die Fachpresse nennt das Ganze in Anlehnung an Log4Shell inzwischen PHP2Shell.
Das BSI hat die zweithöchste Warnstufe ausgerufen und Betreibern geraten, betroffene Server im Zweifel ganz vom Netz zu nehmen. Genau das ist passiert. Die Charité ging komplett offline, Teile von berlin.de, die Internetwache der Berliner Polizei, Kommunen in ganz Deutschland. Auch die Stadt Mainz hat mainz.de abgeschaltet. Mein Lieblingssatz der Woche stammt von der Berliner Polizei: Im Notfall bitte die 110 wählen.
Zwei Details machen diese Geschichte größer als eine weitere Sicherheitslücke.
Erstens: Gefunden hat die Lücke eine KI. Das Sicherheitsunternehmen Calif ist am 1. August mit einem OpenAI-Modell auf den ersten Fehler gestoßen. Zwei Monate lang wurde der Patch im Verborgenen vorbereitet, dann sickerten die Details zwei Tage vor dem Termin durch.
Zweitens: Die Angreifer waren schneller als der Patch. Amazon hat einen ersten Angriffsversuch bereits am 17. Oktober beobachtet, vier Tage vor der Veröffentlichung.
Der Patch war fertig. Das System nicht.
Und jetzt der Teil, über den kaum jemand spricht.
Der Patch kam pünktlich. PHP 8.5, 8.4, 8.3 und 8.2 hatten am Abend des 21. Oktober ihre Updates. Wer eine gepflegte Plattform betreibt, war innerhalb von Stunden wieder online. Viele Hoster haben die Updates zentral eingespielt, die meisten Kunden haben davon nicht einmal etwas gemerkt.
Aber eben nur die mit einer unterstützten Version.
Ein Hoster hat die gepatchten Versionen am selben Abend wieder freigeschaltet. Alles darunter blieb auf der Wartungsseite. Ein anderer konnte manche Kunden gar nicht aktualisieren, weil deren alte Anwendungen das neue PHP nicht vertragen, und musste die Systeme auf andere Server umziehen. In Nordrhein-Westfalen waren drei Tage später noch der Kreis Paderborn und die Feuerwehr Bielefeld dunkel.
Für PHP 7 oder gar PHP 5 gibt es keinen Patch. Es gibt nur die Migration. Und die schiebt man seit Jahren vor sich her, weil die Seite ja läuft.
Genau das meine ich mit DigitalWasteland. Nicht die Lücke ist das Problem. Lücken gibt es immer. Das Problem ist der Legacy-Wildwuchs darunter: das Content-Management-System von 2014, das Plugin, das keiner mehr pflegt, die Agentur, die es nicht mehr gibt, und niemand, der weiß, was auf dem Server eigentlich läuft. Wer nichts unternimmt, landet zwangsläufig dort. PHP2Shell hat nur sichtbar gemacht, wer schon da ist.
Und der nächste Termin steht schon fest: Für PHP 8.2 endet der Security-Support am 31. Dezember 2026. Wer heute auf 8.2 gepatcht hat, hat sich zwei Monate gekauft.
Währenddessen in Rheinhessen
Szenenwechsel, knapp zwanzig Kilometer von mir entfernt. Auf dem Gelände der ehemaligen Anderson Barracks bei Nierstein und Dexheim plant NTT Data einen Rechenzentrumscampus mit 482 Megawatt IT-Leistung. Neun Module, ein eigenes Umspannwerk, rund 400 Arbeitsplätze. Nach heise das drittgrößte geplante Rechenzentrum Europas. Der Bebauungsplan ist seit Januar in Kraft. Den Bauantrag wollte NTT im Frühjahr 2026 einreichen; ob das passiert ist, konnte ich in öffentlichen Quellen nicht bestätigen. Geplant sind Baubeginn 2027, erster Betrieb 2029 und ein Ausbau über rund zehn Jahre.
Die 482 Megawatt sind wohlgemerkt nur die IT. Kühlung und Infrastruktur kommen obendrauf.
Entsprechend laut ist die Debatte vor Ort. Woher soll der Strom kommen? Was ist mit der Kühlung, dem Wasser, der Abwärme? Die Antworten von NTT: Netzanschluss über Westnetz und das Umspannwerk Dexheim, Kühlung im geschlossenen Kreislauf mit geringem Wasserverbrauch, Strom bilanziell aus erneuerbaren Quellen, dazu Photovoltaik und Windpark auf dem Gelände. Bei der Abwärme bleibt es vorerst dabei, dass man Gemeinde und Verbandsgemeinde bei Konzepten unterstützt.
Spannend finde ich, wie sich die Zahlen in der Diskussion verselbständigen. Ein Lokalportal schreibt vom Stromverbrauch einer Millionenstadt. NTT selbst rechnet mit rund 500.000 Haushalten. Wer 482 Megawatt einmal ein Jahr lang unter Volllast durchrechnet, landet bei gut vier Terawattstunden. Je nachdem, welche Auslastung und welchen Haushaltsverbrauch man annimmt, stimmt beides ein bisschen und keines ganz.
Und genau da sind wir wieder im DigitalWasteland, nur auf einer anderen Ebene. Es gibt gerade sehr viele Experten für Megawatt. Ich habe in der ganzen Debatte noch niemanden gehört, der fragt, was in dieser Halle eigentlich laufen soll. Und ob die eigene Software in der Lage wäre, davon zu profitieren.
Was das mit RAMmageddon zu tun hat
Eine ganze Menge.
Die Rechenzentren, die gerade überall entstehen, sind die Abnehmer, für die die Speicherhersteller ihre Kapazitäten reservieren. Für das vierte Quartal erwartet TrendForce bei DRAM noch einmal 10 bis 15 Prozent höhere Vertragspreise, bei NAND 15 bis 20 Prozent. Die großen Cloud-Anbieter haben sich mit mehrjährigen Verträgen abgesichert. Die Erhöhungen tragen die, die ohne solche Verträge einkaufen, also der Mittelstand, die Verbände, die Kommunen. Und auch ein bestätigter Auftrag ist kein fester Preis mehr: HPE hat seine Bedingungen 2026 so geändert, dass sich Preise bis zum Versand noch anpassen lassen.
Das heißt: Die Großen bauen 482-Megawatt-Campusse. Der Rest bekommt die Hardware teurer und kämpft gleichzeitig mit Systemen, die sich nicht einmal mehr patchen lassen.
Ich bleibe bei meiner These aus Teil 11. Im eigenen Rechenzentrum lohnt es sich meist nicht, Hardware panisch vorzuziehen. Viele Systeme tragen noch zwei Jahre. Aber genau diese zwei Jahre sind das Zeitfenster für Modernisierung. Anwendungen auf unterstützte Plattformen bringen, standardisieren, automatisieren, Cloud Native dort, wo es passt. Nicht für die Folie, sondern damit der nächste Patch-Tag Stunden dauert und nicht Wochen.
Die Asymmetrie
PHP2Shell hat eine KI gefunden. Das wird nicht die letzte sein. Die Werkzeuge, die Lücken finden, werden schneller, billiger und für jeden verfügbar, auf beiden Seiten.
Die Systeme, die gepatcht werden müssen, werden nicht schneller. Sie werden älter.
Diese Schere wird das neue Normal. Die Frage ist nicht, ob die nächste Lücke kommt, sondern ob man dann zu denen gehört, die abends wieder online sind, oder zu denen, deren Seite eine Woche später immer noch eine Wartungsseite zeigt.
Wie war es bei euch am 21. Oktober? Stunden oder Tage?
Transparenz: Das Titelbild ist mit Gemini erstellt. Recherche und Faktencheck habe ich mit KI-Unterstützung gemacht, Thesen und Einordnung stammen von mir. Ich bin seit 16.09.2026 Cloud Native Architect bei Everpure (früher Pure Storage), Team Portworx. Die Meinungen sind meine eigenen.
Jens Klasen schreibt im Future Proof Tech Briefing über den Umbruch in der Enterprise-IT. Alle bisherigen Teile findet ihr in meinem Newsletter und auf klasen.ai.