Großes Schadenspotenzial durch „Heartbleed“

Sicherheitsexperten warnen vor einem fatalen Fehler in der weit verbreiteten Verschlüsselungssoftware OpenSSL. „Heartbleed“ ermöglicht es, auf den Hauptspeicher des jeweiligen Systems zuzugreifen und heikle Userdaten wie etwa Passwörter auszuspähen. Auch Österreich ist von der Lücke massiv betroffen.

Sicherheitslücke

In Österreich seien „mindestens 30.000 Server betroffen sowie fünf bis 15 Prozent aller ‚.at‘-Domains“, so Aaron Kaplan vom heimischen Computer Emergency Response Team (CERT). Laut Kaplan wird die Schwachstelle bereits in hohem Ausmaß ausgenutzt, nachdem die entsprechenden „Proof of Concept“-Codes auch von Laien problemlos eingesetzt werden können.

Durch die nun bekanntgewordene Lücke können bei Angriffen auf den Server zwar nur kleine Datenmengen aus dem Arbeitsspeicher ausgelesen werden, allerdings können diese Angriffe beliebig oft wiederholt werden. Zudem können alle Daten, die ein Server verarbeitet, ausgelesen werden – egal ob Kreditkartennummern, Passwörter oder Log-ins. Auch private Schlüssel, die zur Herstellung einer sicheren Verbindung notwendig sind, können so entwendet werden.

Ausmaß derzeit nicht abschätzbar

Derzeit ist nicht klar, wie viele Server und Services weltweit tatsächlich betroffen sind und wie viele Betreiber bereits reagiert und die entsprechenden Updates eingespielt haben. OpenSSL wird dazu benutzt, sensible Daten wie zum Beispiel Passwörter und Kreditkarteninformationen zu verschlüsseln, während sie durchs Internet gesendet werden. Laut ersten Analysen nutzen eine halbe Million Websites das kostenlose OpenSSL. Sicherheitsexperte Bruce Schneier spricht von einem „katastrophalen Fehler“.

Servertest auf „Heartbleed“
Auf diesen Websites können die Server auf die „Heartbleed“-Lücke getestet werden.

Ob die eigenen Daten betroffen sind, kann ein Nutzer nicht feststellen. Weil die Angriffe unauffällig sind, können auch die Betreiber selbst diese laut Experten kaum nachvollziehen. Nutzer können aber über Websites überprüfen, ob ein Service durch „Heartbleed“ angreifbar ist. In dem Fall sollte die betroffene Website auf keinen Fall angesurft werden. Grundsätzlich raten Experten, Passwörter zu ändern und wenn möglich ein zweistufiges Authentifizierungsverfahren zu aktivieren. Auch Zertifikate sollten neu angefordert und lokal erneuert werden.

Yahoo, Wikipedia und Wiener Börse betroffen

Nachdem laut CERT die erste fehlerhafte OpenSSL-Version bereits am 14. März 2012 veröffentlicht wurde, und nicht bekannt ist, ob die Schwachstelle nicht schon länger bekannt ist und ausgenutzt wird, lässt sich das Ausmaß von „Heartbleed“-generierten Schäden derzeit nicht abschätzen. So könnten Angreifer bereits seit Jahren die Lücke ausgenutzt haben. Der „Heartbleed“-Bug hat es etwa bereits ermöglich, Userdaten von Yahoo-Nutzern abzufragen. Auch der Betreiber von Wikipedia hat seine Software upgedatet und empfiehlt seinen Usern den Wechsel des Passworts.

In Österreich gab es ebenfalls einige prominente Opfer. So wurde etwa die Website der Wiener Börse angegriffen, wie diese selbst mitteilte. Der Anbieter habe bereits seine Systeme aktualisiert, zudem sei das SSL-Zertifikat ausgewechselt worden, teilte die Börse in einem Schreiben an ihre Nutzer mit. Darin wurden die Nutzer auch aufgefordert, ihr Passwort zu ändern und es regelmäßig zu aktualisieren. Laut den Internetaktivisten von AnonAustria waren auch die Wiener Linien, die Erste Bank und Oeticket.com von einem Hack betroffen. Auch sie sollen ihre Systeme mittlerweile aktualisiert haben.

Links:

CERT-Informationen zu „Heartbleed“
Bruce Schneier über „Heartbleed“

Hinterlasse einen Kommentar

Es werden nur Kommentare freigeschaltet, die sich auf diesen/obigen Artikel beziehen, klare Aussagekraft haben, bzw. sinnvoll oder hilfreich für ALLE sind!

Trage deine Daten unten ein oder klicke ein Icon um dich einzuloggen:

WordPress.com-Logo

Du kommentierst mit Deinem WordPress.com-Konto. Abmelden /  Ändern )

Google Foto

Du kommentierst mit Deinem Google-Konto. Abmelden /  Ändern )

Twitter-Bild

Du kommentierst mit Deinem Twitter-Konto. Abmelden /  Ändern )

Facebook-Foto

Du kommentierst mit Deinem Facebook-Konto. Abmelden /  Ändern )

Verbinde mit %s

This site uses Akismet to reduce spam. Learn how your comment data is processed.

%d Bloggern gefällt das: