Sie sind hier: Home > Digital > Internet & Sicherheit > Sicherheit >

BSI warnt vor Lücke in OpenSSL: "Heartbleed" ermöglicht Datenklau

...
t-online.de ist ein Angebot der Ströer Content Group

BSI warnt  

Kritische Sicherheitslücke in SSL-Verschlüsselung ermöglicht Datenklau

09.04.2014, 16:32 Uhr | dpa

BSI warnt vor Lücke in OpenSSL: "Heartbleed" ermöglicht Datenklau. Mann tippt auf einer Tastatur. (Quelle: imago/Jochen Tack)

Eine Lücke in der SSL-Verschlüsselung ermöglicht Datenklau. (Quelle: Jochen Tack/imago)

In der meistgenutzten Verschlüsselungs-Software OpenSSL steckt eine gravierende Sicherheitslücke, über die Angreifer Daten auslesen und abgreifen können. Vor allem die für SSL verwendeten Schlüssel der Nutzer sind betroffen und können gestohlen werden. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat die Schwachstelle als kritisch eingestuft. Ein Update für die Betreiber von Webservern steht bereits zur Verfügung. Endnutzer können die Sicherheit ihrer Online-Dienste mit einem Test überprüfen.

Die SSL-Verschlüsselung gilt als besonders sicher und soll Daten beim Transport über das Internet vor Ausspähung und Diebstahl schützen. Dazu werden die Daten vor dem Senden mit einem privaten Schlüssel des Absenders verschlüsselt und sind dann für einen Angreifer unlesbar. Nur der berechtigte Empfänger kann die Daten mit einem weiteren Schlüssel wieder lesbar machen. Die schwerwiegende Sicherheitslücke in OpenSSL erlaubt Angreifern, den privaten Schlüssel zu stehlen.

"Das sind die Kronjuwelen", warnten die Experten von Google und dem Sicherheitsanalyse-Unternehmen Codenomicon, die den Bug entdeckten. Der IT-Nachrichtendienst Heise sprach von einem "Gau für Verschlüsselung im Web". "Jemand, der diesen Schlüssel hat, kann die gesamte Kommunikation entschlüsseln, die zum Server übertragen wird", sagte Falk Garbsch vom Chaos Computer Club (CCC) der dpa. So könne ein Angreifer beispielsweise Passwörter stehlen.

Heartbleed blutet Informationen aus

Das Sicherheitsleck setzt direkt am Anfang einer Verbindung mit einem Webdienst an. Dort tauschen Server und Nutzer Informationen aus, die festlegen, wie die restliche Kommunikation verschlüsselt wird. Der Fehler wurde am späten Montagabend öffentlich gemacht und von seinen Entdeckern "Heartbleed" genannt, weil er Informationen "ausblutet". Die Schwachstelle "erlaubt es Angreifern, Kommunikation zu belauschen, Daten direkt von Diensten und Nutzern zu stehlen, und sich selbst als Dienste oder Nutzer auszugeben", schrieben die Entdecker.

Die SSL-Verschlüsselung kommt in den unterschiedlichsten Anwendungen zum Einsatz. Ob Webserver, E-Mail-Dienste, Chatprogramme oder VPN-Anbieter, alle nutzen SSL-Verschlüsselung zum Schutz der Daten. Eine per SSL geschützte Datenübertragung per Browser erkennt der Nutzer an dem "https" in der Adresszeile. OpenSSL sei einer der am meisten genutzten Bausteine oder "Bibliotheken", sagte Garbsch vom CCC. Somit ist davon auszugehen, dass eine Vielzahl an Webdiensten von der Lücke betroffen sind.

Update schließt Lücke ohne die Gefahr ganz zu bannen

OpenSSL stellte bereits in der Nacht zu Dienstag eine neue Version zur Verfügung, die die Schwachstelle schließen soll. "Wer einen Webserver oder einen E-Mail-Server betreibt, sollte zeitnah dieses Update durchführen", sagte Garbsch. Der normale Internetnutzer muss hier keine speziellen Maßnahmen ergreifen, denn SSL wird vor allem auf Servern von Internetdienstleistern betrieben.

Doch auch das Update schließt das Einfallstor für Angreifer nicht komplett. Denn sie könnten bereits erbeutete Schlüssel weiter zum Ausspähen von Daten einsetzen. Das BSI rät daher Betreibern von Webdiensten, die Schlüssel mitsamt der zugehörigen Zertifikate auszutauschen.

Online-Dienste auf SSL-Lücke überprüfen

Internetnutzer können selbst testen, ob von ihnen besuchte Webseiten und genutzte Online-Dienste von der aktuellen Sicherheitslücke in der Software OpenSSL betroffen sind. Zwei Tests stehen derzeit im Internet unter den Adressen http://filippo.io/Heartbleed/ und possible.lv/tools/hb zur Verfügung.

Auch NSA hat Verschlüsselungstechniken im Visier

Wie ein so schwerwiegender Fehler in eine weit verbreitete Software kommen konnte, ist unklar. "Ob das darauf zurückzuführen ist, dass jemand absichtlich manipuliert hat, ist schwer zu sagen", meinte Garbsch. "Auszuschließen ist das nicht." OpenSSL ist quelloffen, das heißt, der Programmcode ist öffentlich und kann von jedem eingesehen und weiterentwickelt werden.

Neben Hackern und Online-Kriminellen habe der US-Geheimdienste NSA laut Medienberichten Verschlüsselungstechniken im Visier. Dabei wurde auch SSL genannt. Bereits im Dezember meldete die Nachrichtenagentur Reuters, dass die NSA das Unternehmen RSA – Entwickler eines anderen Verschlüsselungsverfahrens –10 Millionen Dollar gezahlt haben soll, damit in die Schlüssel-Algorithmen ein Fehler eingebaut wird. Dieser Fehler diene der NSA als Hintertür, um die Verschlüsselung von Daten zu knacken.

Weitere spannende Digital-Themen finden Sie hier.

Liebe Leser, bitte melden Sie sich an, um diesen Artikel kommentieren zu können. Mehr Informationen.
Neue Kommentare laden
Leserbrief schreiben

Für Kritik oder Anregungen füllen Sie bitte die nachfolgenden Felder aus. Damit wir antworten können, geben Sie bitte Ihre Adresse an.

Name
E-Mail
Betreff
Nachricht
Artikel versenden

Empfänger

Absender

Name
Name
E-Mail
E-Mail
Video des Tages

Shopping
Klingelbonprix.detchibo.deCECILStreet OneLIDLBabistadouglas.deBAUR
Mehr zum Thema
Sie sind hier: Home > Digital > Internet & Sicherheit > Sicherheit

shopping-portal
Das Unternehmen
  • Ströer Digital Publishing GmbH
  • Unternehmen
  • Jobs & Karriere
  • Presse
Weiteres
Netzwerk & Partner
  • Stayfriends
  • Erotik
  • Routenplaner
  • Horoskope
  • billiger.de
  • t-online.de Browser
  • Das Örtliche
  • DasTelefonbuch
  • Erotic Lounge
Telekom Tarife
  • DSL
  • Telefonieren
  • Entertain
  • Mobilfunk-Tarife
  • Datentarife
  • Prepaid-Tarife
  • Prepaid-Aufladung
  • Magenta EINS
Telekom Produkte
  • Kundencenter
  • MagentaCLOUD
  • Homepages & Shops
  • De-Mail
  • Freemail
  • Mail & Cloud M
  • Sicherheitspaket
  • Hotspot
  • Telekom Fotoservice
  • Hilfe
© Ströer Digital Publishing GmbH 2017