piwik no script img

Sicherheitslücke im Netz„Heartbleed“ geht alle an

Eine Sicherheitslücke bei der Verschlüsselungstechnik OpenSSL trifft eine Vielzahl von Angeboten im Internet. Nutzern hilft nur ein Passwort-Wechsel.

Dieses Symbolfoto darf von Online-Gaunern gern entwendet werden. Da hängt kein Herzblut dran. Bild: reuters

BERLIN dpa | Nach der Entdeckung der Schwachstelle in einer wichtigen Software zum Schutz von Daten im Internet wird die gewaltige Dimension der Sicherheitslücke immer deutlicher. Die Lücke „Heartbleed“ klafft in der weit verbreiteten Verschlüsselungs-Software OpenSSL. Nach Einschätzung von IT-Sicherheitsexperten könnten Hunderttausende Websites betroffen sein. Große Internetdienste beeilten sich, die Schwachstelle in ihren Systemen zu stopfen.

Google gab bekannt, dass unter anderem die eigene Internet-Suche, der E-Mail-Dienst Gmail, Youtube und die Download-Plattform Play betroffen waren. Google habe die Sicherheitslücke inzwischen geschlossen, teilte das Unternehmen mit. Auch deutsche Banken und Sparkassen schließen Sicherheitslücken in ihren Systemen.

SSL wird von einer Vielzahl von Webseiten, E-Mail-Diensten und Chat-Programmen genutzt. OpenSSL ist einer der Baukästen des Sicherheitsprotokolls. Die Sicherheitslücke ermöglicht es Angreifern, wichtige Daten aus verschlüsselten Verbindungen zu stehlen – zum Beispiel Passwörter. Deshalb sollten Nutzer bei allen betroffenen und bereits abgesicherten Websites die Passwörter wechseln.

Betroffen von dem OpenSSL-Problem waren unter anderem Dienste des Internetkonzerns Yahoo. Andere große Anbieter wie Apple, Amazon oder Microsoft gaben dagegen Entwarnung. In Kanada wurde wegen der Sicherheitslücke die Möglichkeit gestoppt, Steuererklärungen online einzureichen.

„Auf einer Skala von 1 bis 10 ist es eine 11“

„Es könnte locker die schlimmste Schwachstelle seit der Massen-Verbreitung des Internets sein“, sagte der Chef der IT-Sicherheitsfirma CloudFlare, Matthew Prince, dem Wall Street Journal. Der bekannte Internet-Sicherheitsexperte //www.schneier.com/blog/archives/2014/04/heartbleed.html:Bruce Schneier schrieb: „Auf einer Skala von 1 bis 10 ist es eine 11.“ Ein Netzwerk-Experte sagte dem Technologieblog Ars Technica, er habe in alten Aufzeichnungen von Servern einen Versuch entdeckt, die Schwachstelle bereits im November 2013 auszunutzen.

Die Schwachstelle findet sich in einer Funktion, die eigentlich im Hintergrund laufen sollte. Sie schickt bei einer verschlüsselten Verbindung regelmäßig Daten hin und her, um sicherzugehen, dass beide Seiten noch online sind. Entsprechend heißt die Funktion „Heartbeat“, Herzschlag. Die Schwachstelle wurde deswegen „Heartbleed“ genannt.

Kriminelle können so nicht nur vermeintlich geschützte Informationen auslesen, sondern sich auch für eine andere Webseite ausgeben, etwa für die einer Bank. Die Betreiber der Webserver können den Fehler mit einem Update beheben. Das Bundesamt für Sicherheit in der Informationstechnik rät ihnen zudem, neue Schlüssel zu beantragen. Diese Schlüssel sind nötig, damit die Verschlüsselung der Daten funktioniert. Sie könnten durch den Fehler gestohlen worden sein.

Ohne großes Aufsehen dichtmachen

Die Deutsche Kreditwirtschaft (DK), die Dachorganisation der Bankenverbände, erklärte am Donnerstag, nach Bekanntwerden der Schwachstelle sei sofort überprüft worden, ob die Geldinstitute betroffen seien. „Wo dies der Fall ist, sind bereits alle notwendigen Schritte zur Behebung der Schwachstelle in OpenSSL eingeleitet beziehungsweise abgeschlossen worden.“

Der Plan sei eigentlich gewesen, die Schwachstelle ohne großes Aufsehen im Hintergrund dichtzumachen, schrieb das Wall Street Journal unter Berufung auf informierte Personen. Angesichts der Sorge, dass Hacker davon bereits Wind bekommen hatten, sei die Lücke jedoch rasch öffentlich gemacht worden.

taz lesen kann jede:r

Als Genossenschaft gehören wir unseren Leser:innen. Und unser Journalismus ist nicht nur 100 % konzernfrei, sondern auch kostenfrei zugänglich. Texte, die es nicht allen recht machen und Stimmen, die man woanders nicht hört – immer aus Überzeugung und hier auf taz.de ohne Paywall. Unsere Leser:innen müssen nichts bezahlen, wissen aber, dass guter, kritischer Journalismus nicht aus dem Nichts entsteht. Dafür sind wir sehr dankbar. Damit wir auch morgen noch unseren Journalismus machen können, brauchen wir mehr Unterstützung. Unser nächstes Ziel: 40.000 – und mit Ihrer Beteiligung können wir es schaffen. Setzen Sie ein Zeichen für die taz und für die Zukunft unseres Journalismus. Mit nur 5,- Euro sind Sie dabei! Jetzt unterstützen

Mehr zum Thema

2 Kommentare

 / 
  • Es geht nicht nur um Passwörter - ssl und insbesondere https sind aktuell nicht sicher.

    Heartbleed hat den privaten Schlüssel der Zertifikate offenbart. Damit sind potentiell alle Zertifikate unsicher - d.h. selbst wenn jemand einen Patch eingespielt hat, das Zertifikat aber älter als eine Woche ist, ist https nicht sicher! Sein Passwort aktuell zu ändern, ist sicher keine schlechte Idee - Sicherheit hat man dadurch jedoch nicht.

    Daneben ist https durch die Verwendung von falschen Zertifikaten durch Diebe und Geheimdienste nicht mehr sicher. Sicher ist das Abhören von https aufwendiger - eine sichere Kommunikation wäre es jedoch auch ohne Heartbleed nicht mehr.

    Also: Bitte Passwort ändern - Sicher ist die Kommunikation im Internet deswegen jedoch noch nicht. Das Risiko ist mindestens so gross wie dir Gefahr von Skimming an Geldautomaten.