Abo
  • Services:
Anzeige
Sicherheitslücke: BSI sieht keine Gefahr durch Heartbleed mehr
(Bild: EFF)

Sicherheitslücke: BSI sieht keine Gefahr durch Heartbleed mehr

Heartbleed gilt als eine der gravierendsten Sicherheitslücken in der Geschichte des Internets. Einen Monat danach scheint die Gefahr größtenteils gebannt zu sein, auch wenn noch nicht alle Betroffenen reagiert haben.

Anzeige

Einen Monat nach Bekanntwerden der Sicherheitslücke Heartbleed hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) Entwarnung gegeben. Laut BSI haben die wichtigsten Websites inzwischen reagiert und die Sicherheitslücke geschlossen, die durch einen Fehler in der Verschlüsselungs-Software OpenSSL entstand.

So optimistisch zeigen sich allerdings nicht alle Experten: Laut Erratasec, einem Dienstleister für Internetsicherheit, sind weltweit immer noch mehr als 300.000 Webseiten unsicher. Auch nach Angaben von Netcraft haben noch nicht einmal die Hälfte der betroffenen Websites neue Zertifikate. Sie wären damit immer noch anfällig für einen Angriff, durch den ein Angreifer alles mitlesen kann, was über eine vermeintlich sichere Verbindung geschickt wird, zum Beispiel Passwörter für Onlinebanking.

Das Problem: Der Fehler in der Kryptografiesoftware OpenSSL war zwar schnell behoben, doch reicht es nicht, wenn ein Website-Betreiber nur die fehlerhafte Software austauscht. Denn über den Heartbleed-Fehler lassen sich die privaten kryptografischen Schlüssel des Servers auslesen. Die Schlüssel wiederum werden in Zertifikate integriert. Diese werden in Browsern oder E-Mail-Programmen der Anwender gespeichert, um einen verschlüsselten Zugang zu verifizieren.

Kein funktionierendes System zur Überprüfung von Zertifikaten

Administratoren betroffener Websites oder E-Mail-Anbieter müssen zunächst die fehlerhafte OpenSSL-Software austauschen, neue Schlüssel und damit neue Zertifikate erstellen. Schließlich müssen die alten Zertifikate zurückgezogen und damit für ungültig erklärt werden. Denn sonst besteht laut BSI die Gefahr, dass ein "Täter, der den SSL-Schlüssel erlangt hat, eine gefälschte Webseite aufsetzt, Opfer dort hinlockt und vorgaukeln kann, es handele sich um die echte, abgesicherte Seite". Der Aufwand ist also nicht unerheblich.

Zertifikatsprüfung weitgehend nutzlos

"Der Zertifikatswechsel ist aber leider auch nur als symbolischer Akt zu sehen, da widerrufene Zertifikate in den meisten Browsern zu keiner Warnung führen. Ist der SSL-Schlüssel einer Webseite also erlangt worden, bleibt die Gefahr von Man-in-the-Middle-Angriffen bestehen", heißt es vom BSI.

Es gebe gegenwärtig ohnehin kein funktionierendes System, mit dem Zertifikate überprüft werden könnten, sagt auch der Kryptografie-Experte und Golem.de-Autor Hanno Böck. Einige Browser überprüften zwar die Gültigkeit der Zertifikate, aber die Prüfung sei weitgehend nutzlos, weil sie bei einem gezielten Angriff verhindert werden könne, so dass das Zertifikat trotzdem akzeptiert werde.

Der Betreiber einer betroffenen Website oder ein E-Mail-Anbieter muss seine Kunden informieren und ihnen nahelegen, ihre Kennwörter zu ändern. Viele große Anbieter hätten das auch getan, "schon allein, um eventuelle Haftungsfragen auszuschließen", teilte das BSI mit.

Hacker hatten keine Zeit, die Sicherheitslücke zu nutzen 

eye home zur Startseite
derdiedas 20. Mai 2014

Cisco etwa :-) http://www.tech.de/news/heartbleed-bug-router-betroffen-10030661.html

Yes!Yes!Yes! 20. Mai 2014

"Der Zertifikatswechsel ist aber leider auch nur als symbolischer Akt zu sehen, da...



Anzeige

Stellenmarkt
  1. MED-EL Medical Electronics, Innsbruck (Österreich)
  2. Bureau Veritas Consumer Products Services Germany GmbH, Schwerin
  3. DIEFFENBACHER GMBH Maschinen- und Anlagenbau, Eppingen
  4. T-Systems International GmbH, Berlin


Anzeige
Blu-ray-Angebote
  1. 23,99€ (Vorbesteller-Preisgarantie)
  2. (u. a. Hobbit Trilogie Blu-ray 44,97€, Batman Dark Knight Trilogy Blu-ray 17,99€)
  3. (u. a. Space Jam 11,97€, Ex Machina 9,97€, Game of Thrones 3. Staffel 24,97€)

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Praxiseinsatz, Nutzen und Grenzen von Hadoop und Data Lakes
  2. Globale SAP-Anwendungsunterstützung durch Outsourcing


  1. Prepaid

    Telefónica verkürzt Optionslaufzeit auf 28 Tage

  2. Amazon Echo und Echo Dot im Test

    Alexa, so wird das nichts!

  3. Petunia Tech

    Wisoccero spielt Fußball

  4. AMD Ryzen 7

    AM4-Mainboards für Ryzen bereits im Handel

  5. Elektroauto

    Der Smart wird elektrisch - erhältlich ab 21.940 Euro

  6. Smartphone

    Samsung stellt Prozessor für Galaxy S8 vor

  7. 5 GHz

    T-Mobile setzt LTE-U im WLAN-Spektrum ein

  8. BiCS3

    Toshibas 512-GBit-Flash-Chips werden in Mustern ausgeliefert

  9. Europäischer Haftbefehl

    Britische Polizei nimmt mutmaßlichen Telekom-Hacker fest

  10. Bodyhacking

    Ich, einfach unverbesserlich



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Wacoms Intuos Pro Paper im Test: Weg mit digital, her mit Stift und Papier!
Wacoms Intuos Pro Paper im Test
Weg mit digital, her mit Stift und Papier!
  1. Wacom Brainwave Ein Graph sagt mehr als tausend Worte
  2. Canvas Dells Stift-Tablet bedient sich bei Microsoft und Wacom
  3. Intuos Pro Wacom verbindet Zeichentablet mit echtem Papier

Bundesnetzagentur: Puppenverbot gefährdet das Smart Home und Bastler
Bundesnetzagentur
Puppenverbot gefährdet das Smart Home und Bastler
  1. My Friend Cayla Eltern müssen Puppen ihrer Kinder zerstören
  2. Matoi Imagno Wenn die Holzklötzchen zu dir sprechen
  3. Smart Gurlz Programmieren lernen mit Puppen

Galaxy-A-Serie vs. P8 Lite (2017): Samsungs und Huaweis Kampf um die Mittelklasse
Galaxy-A-Serie vs. P8 Lite (2017)
Samsungs und Huaweis Kampf um die Mittelklasse
  1. Wettbewerbsverstoß Google soll Tizen behindert haben
  2. Strafverfahren De-facto-Chef von Samsung wegen Korruption verhaftet
  3. Samsung Preisliches Niveau der QLED-Fernseher in der Nähe der OLEDs

  1. Re: Lässt sich doch einfach zusammenfassen

    pythoneer | 12:50

  2. Re: Müllskills

    emuuu | 12:50

  3. "das Aufladen mit Drahtlostechnik soll möglich sein"

    dantist | 12:49

  4. Nichts für Budget-Builds

    FFFF | 12:49

  5. Re: ECC unterstützt!

    bernstein | 12:49


  1. 12:38

  2. 12:08

  3. 12:00

  4. 11:46

  5. 11:31

  6. 11:15

  7. 11:00

  8. 10:29


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel