Nach Auftauchen der riesigen Sicherheitslücke im Internet wurde spekuliert, die NSA könnte dahinterstecken. Doch das entpuppte sich jetzt als Chimäre. Denn ein deutscher Programmierer war es, dem der Fehler unterlaufen ist, so «Spiegel Online».
Es sei ein unbeabsichtigter Fehler beim Verbessern der Verschlüsselungssoftware OpenSSL gewesen, beteuerte der Mann gegenüber dem Magazin. «Ich habe an OpenSSL mitgearbeitet und eine Reihe von Bugfixes und neuer Features eingereicht. In einem Patch für ein neues Feature habe ich offenbar eine Längenprüfung übersehen», erklärte er in einer E-Mail an «Spiegel Online». Der Fehler an sich sei «ziemlich trivial».
Die Schwachstelle findet sich in einer Funktion, die eigentlich im Hintergrund laufen sollte. Sie schickt bei einer verschlüsselten Verbindung regelmässig Daten hin und her, um sicherzugehen, dass beide Seiten noch online sind. Entsprechend heisst die Funktion «Heartbeat» (Herzschlag). Die Schwachstelle wurde deswegen «Heartbleed» genannt.
Sollte der Fehler verheimlicht werden?
Die SSL-Verschlüsselung wird von einer Vielzahl von Webseiten, E-Mail-Diensten und Chat-Programmen genutzt. OpenSSL ist einer der Baukästen des Sicherheitsprotokolls. Die Sicherheitslücke ermöglicht es Angreifern, wichtige Daten aus verschlüsselten Verbindungen zu stehlen – zum Beispiel Passwörter.
Kriminelle können aber nicht nur vermeintlich geschützte Informationen auslesen, sie können sich auch für eine andere Webseite ausgeben, etwa für die einer Bank. Die Betreiber der Webserver können den Fehler mit einem Update beheben.
Der Plan sei eigentlich gewesen, die Schwachstelle ohne grosses Aufsehen im Hintergrund dichtzumachen, schrieb das «Wall Street Journal» unter Berufung auf informierte Personen. Angesichts der
Sorge, dass Hacker davon bereits Wind bekommen hatten, sei die
Lücke jedoch rasch öffentlich gemacht worden.
Hunderttausende Webseiten betroffen
Der fehlerhafte Code in OpenSSL bestand seit rund zwei Jahren. Durch die Lücke mit der Bezeichnung «Heartbleed» (Herzbluten) können Angreifer die Verschlüsselung aushebeln und an die vermeintlich gesicherten Daten herankommen. Hunderttausende Websites waren betroffen.
Grosse Internetdienste beeilten sich, die Schwachstelle in ihren Systemen zu stopfen. Google gab zum Beispiel bekannt, dass unter anderem die eigene Internet-Suche, der E-Mail-Dienst GMail, YouTube und die Download-Plattform Play mit Updates sicher gemacht worden seien.
Bisher keine Missbräuche bekannt
Die Melde- und Analysestelle Informationssicherung (Melani) des Bundes in Bern steht in Kontakt mit Telekommunikationsfirmen, Finanzinstituten und weiteren Unternehmen, die kritische Infrastrukturen betreiben. Viele Firmen hätten ihre Systeme bereits mit den verfügbaren Sicherheitsfixes versehen oder seien dabei, dies zu tun, erklärte die Behörde.
Eine Übersicht müssen sich die Nutzer selbst verschaffen. Diverse Testseiten für die Prüfung fraglicher Internetadressen wurden aufgeschaltet. Viele Firmen informieren nur zurückhaltend über das Problem. Missbräuche wurden bislang nicht bekannt.
