Für Web-Spionage

NSA soll “Heartbleed” schon seit Jahren nutzen

(Bild: AP)

Spioniert die NSA dank der Internet-Sicherheitslücke "Heartbleed" noch effizienter? Der US-Geheimdienst soll einem Medienbericht zufolge die jüngst bekannt gewordene, schwere Sicherheitslücke seit langem systematisch ausgenutzt haben. Diese Schwachstelle in der Verschlüsselungssoftware OpenSSL sei der NSA seit "mindestens zwei Jahren" bekannt gewesen, schrieb die Finanznachrichtenagentur Bloomberg am Freitagabend unter Berufung auf zwei informierte Personen.

Die NSA soll "Heartbleed" schon von Anfang an rege genutzt haben, berichtet Bloomberg. Die erst diese Woche öffentlich gewordene Schwachstelle sorgt dafür, dass Angreifer die Verschlüsselung aushebeln und die Schlüssel sowie die vermeintlich geschützten Daten abgreifen können. Da OpenSSL als Verschlüsselungs-Programm weitverbreitet ist, waren mehrere hunderttausend Websites betroffen. Mit Diensten der Internet-Giganten Yahoo und Google geht es um potenziell Hunderte Millionen Nutzer, die zu möglichen Angriffszielen wurden.

Die NSA habe die Schwachstelle kurz nach Auftauchen des fehlerhaften Software-Codes entdeckt, berichtete Bloomberg jetzt. Die Lücke sei dann zu einem Grundelement des "Werkzeugkastens" des Abhör-Dienstes geworden - zum Beispiel, um Passwörter zu stehlen. Angriffe über die Schwachstelle hinterlassen keine Spuren auf dem Server.

US-Regierung dementiert Bericht
Die US-Regierung hat den Bericht unterdessen dementiert, wonach der Geheimdienst NSA die jüngst öffentlich gewordene Die Behörden hätten erst im April mit dem Bericht von IT-Sicherheitsexperten von der "Heartbleed"-Schwachstelle erfahren, sagte die Sprecherin des Nationalen Sicherheitsrates, Caitlin Hayden, am Freitag.

Die Lücke geht auf einen deutschen Programmierer zurück, der beteuert, es sei ein ungewolltes Versehen gewesen. Er habe beim Verbessern einer Funktion von OpenSSL schlicht ein Element vergessen. Der deutsche Programmierer studierte damals noch an einer Fachhochschule, inzwischen arbeitet er für T-Systems.

NSA sucht Schwachstellen in Web-Verschlüsselungen
Schon nach Auftauchen des Problems war spekuliert worden, die NSA könnte ihre Finger im Spiel gehabt haben. Seit Monaten ist bekannt, dass die NSA die Verschlüsselung im Internet massiv ins Visier genommen hatte. Sie forschte aktiv nach Schwachstellen und versuchte auch, Schwachstellen einzuschleusen und Verschlüsselungs-Algorithmen aufzuweichen. Wenn der Geheimdienst die Lücke kannte und nichts dagegen unternahm, hat er damit Hunderte Millionen Nutzer schutzlos gegen mögliche Angriffe von Online-Kriminellen dastehen lassen.

OpenSSL ist ein sogenanntes Open-Source-Projekt, bei dem jeder den Software-Code einsehen und weiterentwickeln kann. Die Programmierer arbeiten unentgeltlich daran. Die Änderungen werden dokumentiert, damit konnte auch der Verantwortliche schnell ausfindig gemacht werden.

SSL wird von unzähligen Websites genutzt
Die SSL-Verschlüsselung wird von einer Vielzahl von Webseiten, E-Mail-Diensten und Chat-Programmen genutzt. OpenSSL ist einer der Baukästen des Sicherheitsprotokolls. Die Schwachstelle findet sich in einer Funktion, die im Hintergrund läuft. Sie schickt bei einer verschlüsselten Verbindung regelmäßig Daten hin und her, um sicherzugehen, dass beide Seiten noch online sind.

Da der deutsche Programmierer eine sogenannte Längenprüfung vergessen hatte, konnten bei eigentlich harmlosen Verbindungs-Abfragen zusätzliche Informationen aus dem Speicher abgerufen werden. Die Funktion heißt "Heartbeat", Herzschlag. Die Schwachstelle wurde in Anlehnung daran "Heartbleed" genannt.