Heartbleed

Heartbleed ist eine Sicherheitslücke in OpenSSL, die von der finnischen Sicherheitsfirma Codenomicon entdeckt und am 7. April 2014 öffentlich bekannt gemacht wurde. OpenSSL ist die Verschlüsselungstechnologie, die zum Erstellen sicherer Websiteverbindungen über HTTPS, zum Einrichten von VPNs und zum Verschlüsseln verschiedener anderer Protokolle verwendet wird. Da OpenSSL von ungefähr zwei Dritteln aller Webserver verwendet wird, gilt die Sicherheitslücke als eine der bedeutendsten Sicherheitslücken, die seit den Anfängen des Webs entdeckt wurden.

Wie funktioniert Heartbleed?

Der Heartbleed-Exploit nutzt die anfängliche Kommunikation zwischen dem Client und dem Server aus. Dieser vorbereitende Schritt wird üblicherweise als „Handshake“ bezeichnet, obwohl OpenSSL eine Variante namens „Heartbeat“ bereitstellt. Der Heartbeat wird zum Herstellen einer sicheren Verbindung verwendet, aber die während des Heartbeats übertragenen Daten werden nicht sicher gesendet.

Indem ein Hacker falsche Informationen an einen Server sendet, kann er 64-Kilobyte-Datenblöcke aus dem Cache des Servers abrufen. Obwohl dies nur eine kleine Datenmenge ist, kann sie einen Benutzernamen, ein Passwort oder andere vertrauliche Informationen enthalten. Indem ein Hacker mehrere Anfragen hintereinander stellt, kann er möglicherweise große Mengen privater Daten erfassen, die im Speicher eines Servers zwischengespeichert sind.

Der Heartbleed-Fehler tritt nur in OpenSSL 1.0.1 bis einschließlich 1.0.1f sowie in Version 1.0.2-beta1 auf. Andere OpenSSL-Versionen und andere Arten von TLS-Implementierungen (Transport Layer Security) sind nicht betroffen. Nachdem der Fehler am 7. April bekannt gemacht worden war, wurden viele Webserver sofort mit Version 1.0.1g aktualisiert. Es ist jedoch unbekannt, wie viele Server betroffen waren und wie viele weiterhin die verwundbare Version von OpenSSL verwenden.

Wie wirkt sich Heartbleed auf mich aus?

Es ist unwahrscheinlich, dass Sie direkt vom Heartbleed-Fehler betroffen sind. Obwohl die Sicherheitslücke zwei Jahre lang unentdeckt blieb, gibt es kaum Hinweise darauf, dass der Exploit weit verbreitet eingesetzt wurde. Trotzdem können Sie sich vorsichtshalber schützen, indem Sie Ihre Passwörter für Website-Anmeldungen, E-Mail-Konten und andere Onlinedienste aktualisieren.