Sicherheit, die im Code beginnt.

Microsegmentation teilt das Netz in Segmente. Picosegmentation teilt den Programmcode in Schichten und Zonen. Die Schichten sind Eingabe, Verarbeitung und Ausgabe. Die Verarbeitung ist zusätzlich in Zonen geteilt: Ein Passwort wird in einer anderen Zone verarbeitet als ein einfacher HTTP-Aufruf.

Zwischen zwei Zonen gibt es genau einen Übergang, das Gate. Dort fällt die Entscheidung, ob ein Vorgang stattfinden darf. Einen zweiten Weg gibt es nicht. Eine Wirkung entsteht nur an einem Gate im Code.

Daraus folgt der wichtigste Satz dieser Seite: Ein Fehler darf in seiner Zone liegen. Für die Wirkung einer anderen Zone lässt er sich nicht benutzen, weil der Weg dorthin fehlt.

Eine Grenze, an der die Prüfung aufhört, ist eine Lücke. Microsegmentation schließt diese Lücke im Netz. Picosegmentation schließt sie im Code, also dort, wo Fehler tatsächlich entstehen.

Die einzelnen Bausteine kennt die Informatik seit Jahrzehnten, etwa Berechtigungen am Objekt, Typprüfung und getrennte Rechte. Der Schutz entsteht erst aus der geschlossenen Architektur, die sie im Code zu einem Ganzen verbindet. Diese Architektur hat Aviontex entwickelt.

Im Oktober 2026 mussten weltweit PHP-Server dringend aktualisiert werden. Zwei Lücken im Kern von PHP erlaubten es, ohne Anmeldung fremden Code auszuführen (CVE-2026-109618 und CVE-2026-109619, behoben in PHP 8.5.12). Bei der ersten bringt ein Upload den Speicher an sein Ende und beim Aufräumen gilt eine halb fertige Anfrage als gültig. Bei der zweiten rutscht Zustand aus einer Anfrage in die nächste.

Beide folgen demselben Muster wie viele Lücken davor: Etwas, das nur Daten sein sollte, erreicht eine Wirkung, für die es nie gedacht war. Genau diesen Weg gibt es mit Picosegmentation nicht. PHP eignet sich deshalb gut für ein Gedankenexperiment. Es geht dabei nicht um Kritik an PHP. Viele der Probleme hat PHP über die Jahre selbst behoben.

Das Grundproblem: Im klassischen PHP gab es für fast alles nur einen Typ, den Text. Dazu kamen vier Eigenschaften:

• Eingaben überall. $_GET, $_POST und $_COOKIE waren in jeder Zeile lesbar, ungeprüft.
• Volle Wirkung für jeden. Wer die Datenbankverbindung erreichte, durfte alles damit tun.
• Ein flacher Raum. Jede Funktion konnte jede andere aufrufen.
• Weiche Grenzen. eval, include und unserialize hebelten jede Ordnung aus.

So konnte jeder Wert aus einer Anfrage an jeder Stelle für jede Wirkung benutzt werden: als Datenbankabfrage, als HTML, als Dateiname, als Befehl für die Shell oder als Code. Gelesen heißt nicht vertrauenswürdig. Gespeichert heißt nicht freigegeben.

Der Beweis dauert Sekunden. Nimm eine bekannte Fehlerklasse, bei der Text aus dem Netz eine Wirkung erreicht. Frag dann, über welchen Übergang er dorthin gekommen ist. Mit Picosegmentation gibt es diesen Übergang nicht. Das gilt nicht für einzelne Lücken, sondern für ganze Klassen.

heap->overflow = 0;
zend_bailout();

while ((line = get_line(self)) && line[0] != '\0') {
    ...
    zend_llist_add_element(header, &entry);
}

if (Z_ISUNDEF(PG(http_globals)[where])) {
    return 0;
}
potential_session_id = zend_hash_find(
    Z_ARRVAL(PG(http_globals)[where]), PS(session_name));

Niemand muss dafür Millionen Zeilen Code auf einmal ändern. So wie Microsegmentation Segment für Segment im laufenden Netz entsteht, wächst Picosegmentation Zone für Zone im Code. Man beginnt an der kritischen Stelle, dort, wo aus Daten eine Wirkung wird: wo Daten aus dem Netz hereinkommen, wo gespeichert wird und wo etwas ausgeführt wird.

Schon dieses eine Gate nimmt einem Angriff einen Weg. Jedes weitere Update bringt die nächste Zone, während die Software im Einsatz bleibt. Nach außen ändert sich dabei nichts: Schnittstellen und Verhalten bleiben gleich. Das sind Tage und Wochen, nicht Jahre.