Online-Sicherheitslücke

"Heartbleed" schlimmer als erwartet - Banken reagieren

Berlin - Die Sicherheitslücke bei der Verschlüsselungstechnik OpenSSL trifft eine Vielzahl von Diensten im Internet -auch Google. Nutzern hilft nur ein Passwort-Wechsel auf breiter Front.

Nach der Entdeckung der Schwachstelle in einer wichtigen Software zum Schutz von Daten im Internet wird die gewaltige Dimension der Sicherheitslücke immer deutlicher. Die Lücke „Heartbleed“ (Blutendes Herz) klafft in der weit verbreiteten Verschlüsselungs-Software OpenSSL. Nach Einschätzung von IT-Sicherheitsexperten könnten Hunderttausende Websites betroffen sein. Große Internetdienste beeilten sich, die Schwachstelle in ihren Systemen zu stopfen.

Google gab bekannt, dass unter anderem die eigene Internet-Suche, der E-Mail-Dienst GMail, YouTube und die Download-Plattform Play betroffen waren. Google habe die Sicherheitslücke inzwischen geschlossen, teilte das Unternehmen mit. Auch deutsche Banken und Sparkassen schließen Sicherheitslücken in ihren Systemen.

SSL wird von einer Vielzahl von Webseiten, E-Mail-Diensten und Chat-Programmen genutzt. OpenSSL ist einer der Baukästen des Sicherheitsprotokolls. Die Sicherheitslücke ermöglicht es Angreifern, wichtige Daten aus verschlüsselten Verbindungen zu stehlen - zum Beispiel Passwörter. Deshalb sollten Nutzer bei allen betroffenen und bereits abgesicherten Websites die Passwörter wechseln.

Betroffen von dem OpenSSL-Problem waren unter anderem Dienste des Internetriesen Yahoo. Andere große Anbieter wie Apple, Amazon oder Microsoft gaben dagegen Entwarnung. In Kanada wurde wegen der Sicherheitslücke die Möglichkeit gestoppt, Steuererklärungen online einzureichen.

Krimenelle können sich für eine andere Website ausgeben

„Es könnte locker die schlimmste Schwachstelle seit der Massen-Verbreitung des Internets sein“, sagte der Chef der IT-Sicherheitsfirma CloudFlare, Matthew Prince, dem „Wall Street Journal“. Der bekannte Internet-Sicherheitsexperte Bruce Schneier schrieb: „Auf einer Skala von 1 bis 10 ist es eine 11.“ Ein Netzwerk-Experte sagte dem Technologieblog „Ars Technica“, er habe in alten Aufzeichnungen von Servern einen Versuch entdeckt, die Schwachstelle bereits im November 2013 auszunutzen.

Die Schwachstelle findet sich in einer Funktion, die eigentlich im Hintergrund laufen sollte. Sie schickt bei einer verschlüsselten Verbindung regelmäßig Daten hin und her, um sicherzugehen, dass beide Seiten noch online sind. Entsprechend heißt die Funktion „Heartbeat“, Herzschlag. Die Schwachstelle wurde deswegen „Heartbleed“ genannt.

Kriminelle können so nicht nur vermeintlich geschützte Informationen auslesen, sondern sich auch für eine andere Webseite ausgeben, etwa für die einer Bank. Die Betreiber der Webserver können den Fehler mit einem Update beheben. Das Bundesamt für Sicherheit in der Informationstechnik rät ihnen zudem, neue Schlüssel zu beantragen. Diese Schlüssel sind nötig, damit die Verschlüsselung der Daten funktioniert. Sie könnten durch den Fehler gestohlen worden sein.

Die Deutsche Kreditwirtschaft (DK), die Dachorganisation der Bankenverbände, erklärte am Donnerstag, nach Bekanntwerden der Schwachstelle sei sofort überprüft worden, ob die Geldinstitute betroffen seien. „Wo dies der Fall ist, sind bereits alle notwendigen Schritte zur Behebung der Schwachstelle in OpenSSL eingeleitet beziehungsweise abgeschlossen worden.“

Der Plan sei eigentlich gewesen, die Schwachstelle ohne großes Aufsehen im Hintergrund dichtzumachen, schrieb das „Wall Street Journal“ unter Berufung auf informierte Personen. Angesichts der Sorge, dass Hacker davon bereits Wind bekommen hatten, sei die Lücke jedoch rasch öffentlich gemacht worden.

dpa

Rubriklistenbild: © picture-alliance/ dpa

Liebe Leserinnen und Leser,

wir bitten um Verständnis, dass es im Unterschied zu vielen anderen Artikeln auf unserem Portal unter diesem Artikel keine Kommentarfunktion gibt. Bei einzelnen Themen behält sich die Redaktion vor, die Kommentarmöglichkeiten einzuschränken, um Missbrauch zu vermeiden.

Die Redaktion

Kommentare

Unsere Kommentarfunktion wird über den Anbieter DISQUS gesteuert. Nutzer, die diesen Dienst nicht verwenden, können sich hier über das alte HNA-Login anmelden.

Hinweise zum Kommentieren:
In der Zeit zwischen 17 und 9 Uhr werden keine neuen Beiträge freigeschaltet.

Auf HNA.de können Sie Ihre Meinung zu einem Artikel äußern. Im Interesse aller Nutzer behält sich die Redaktion vor, Beiträge zu prüfen und gegebenenfalls abzulehnen. Halten Sie sich beim Kommentieren bitte an unsere Richtlinien: Bleiben Sie fair und sachlich - keine Beleidigungen, keine rassistischen, rufschädigenden und gegen die guten Sitten verstoßenden Beiträge. Kommentare, die gegen diese Regeln verstoßen, werden von der Redaktion kommentarlos gelöscht. Bitte halten Sie sich bei Ihren Beiträgen an das Thema des Artikels. Lesen Sie hier unsere kompletten Nutzungsbedingungen.

Die Kommentarfunktion unter einem Artikel wird automatisch nach drei Tagen geschlossen.