• IT-Karriere:
  • Services:

Sicherheitslücke: BSI sieht keine Gefahr durch Heartbleed mehr

Heartbleed gilt als eine der gravierendsten Sicherheitslücken in der Geschichte des Internets. Einen Monat danach scheint die Gefahr größtenteils gebannt zu sein, auch wenn noch nicht alle Betroffenen reagiert haben.

Artikel veröffentlicht am , /dpa
Sicherheitslücke: BSI sieht keine Gefahr durch Heartbleed mehr
(Bild: EFF)

Einen Monat nach Bekanntwerden der Sicherheitslücke Heartbleed hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) Entwarnung gegeben. Laut BSI haben die wichtigsten Websites inzwischen reagiert und die Sicherheitslücke geschlossen, die durch einen Fehler in der Verschlüsselungs-Software OpenSSL entstand.

Inhalt:
  1. Sicherheitslücke: BSI sieht keine Gefahr durch Heartbleed mehr
  2. Hacker hatten keine Zeit, die Sicherheitslücke zu nutzen

So optimistisch zeigen sich allerdings nicht alle Experten: Laut Erratasec, einem Dienstleister für Internetsicherheit, sind weltweit immer noch mehr als 300.000 Webseiten unsicher. Auch nach Angaben von Netcraft haben noch nicht einmal die Hälfte der betroffenen Websites neue Zertifikate. Sie wären damit immer noch anfällig für einen Angriff, durch den ein Angreifer alles mitlesen kann, was über eine vermeintlich sichere Verbindung geschickt wird, zum Beispiel Passwörter für Onlinebanking.

Das Problem: Der Fehler in der Kryptografiesoftware OpenSSL war zwar schnell behoben, doch reicht es nicht, wenn ein Website-Betreiber nur die fehlerhafte Software austauscht. Denn über den Heartbleed-Fehler lassen sich die privaten kryptografischen Schlüssel des Servers auslesen. Die Schlüssel wiederum werden in Zertifikate integriert. Diese werden in Browsern oder E-Mail-Programmen der Anwender gespeichert, um einen verschlüsselten Zugang zu verifizieren.

Kein funktionierendes System zur Überprüfung von Zertifikaten

Administratoren betroffener Websites oder E-Mail-Anbieter müssen zunächst die fehlerhafte OpenSSL-Software austauschen, neue Schlüssel und damit neue Zertifikate erstellen. Schließlich müssen die alten Zertifikate zurückgezogen und damit für ungültig erklärt werden. Denn sonst besteht laut BSI die Gefahr, dass ein "Täter, der den SSL-Schlüssel erlangt hat, eine gefälschte Webseite aufsetzt, Opfer dort hinlockt und vorgaukeln kann, es handele sich um die echte, abgesicherte Seite". Der Aufwand ist also nicht unerheblich.

Zertifikatsprüfung weitgehend nutzlos

Stellenmarkt
  1. Technische Universität Berlin, Berlin
  2. Max Planck Institute for Human Development, Berlin

"Der Zertifikatswechsel ist aber leider auch nur als symbolischer Akt zu sehen, da widerrufene Zertifikate in den meisten Browsern zu keiner Warnung führen. Ist der SSL-Schlüssel einer Webseite also erlangt worden, bleibt die Gefahr von Man-in-the-Middle-Angriffen bestehen", heißt es vom BSI.

Es gebe gegenwärtig ohnehin kein funktionierendes System, mit dem Zertifikate überprüft werden könnten, sagt auch der Kryptografie-Experte und Golem.de-Autor Hanno Böck. Einige Browser überprüften zwar die Gültigkeit der Zertifikate, aber die Prüfung sei weitgehend nutzlos, weil sie bei einem gezielten Angriff verhindert werden könne, so dass das Zertifikat trotzdem akzeptiert werde.

Der Betreiber einer betroffenen Website oder ein E-Mail-Anbieter muss seine Kunden informieren und ihnen nahelegen, ihre Kennwörter zu ändern. Viele große Anbieter hätten das auch getan, "schon allein, um eventuelle Haftungsfragen auszuschließen", teilte das BSI mit.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed
Hacker hatten keine Zeit, die Sicherheitslücke zu nutzen 
  1. 1
  2. 2
  3.  


Anzeige
Top-Angebote
  1. (u. a. SanDisk Ultra microSDXC 128 GB für 15€ und Seagate Expansion Desktop 6 TB für 99€)
  2. (u. a. Acer ED323QURA WQHD/144 Hz/Curved für 289€ statt 359,09€ im Vergleich und Canon EOS...
  3. (u. a. Crucial Ballistix Sport LT 16 GB DDR4-3200 für 62,39€ statt 76,98€ im Vergleich)
  4. (u. a. SanDisk Extreme microSDXC 400 GB für 77€ und Philips NeoPix Ultra für 349€ statt 449...

derdiedas 20. Mai 2014

Cisco etwa :-) http://www.tech.de/news/heartbleed-bug-router-betroffen-10030661.html

Yes!Yes!Yes! 20. Mai 2014

"Der Zertifikatswechsel ist aber leider auch nur als symbolischer Akt zu sehen, da...


Folgen Sie uns
       


Projekt Mare - DLR

Helga und Zohar sind zwei anthropomorphe Phantome, ihre Körper simulieren die Struktur des menschlichen Gewebes. DLR-Forscher wollen messen, wie sich die Strahlung auf den Körper auswirkt.

Projekt Mare - DLR Video aufrufen
Data Scientist: Ein Mann, der mit Daten Leben retten will
Data Scientist
Ein Mann, der mit Daten Leben retten will

Senfgelbes Linoleum im Büro und weniger Geld als in der freien Wirtschaft - egal, der Data Scientist Danilo Schmidt liebt seinen Job an der Charité. Mit Ärzten entwickelt er Lösungen für Patienten. Die größten Probleme dabei: Medizinersprech und Datenschutz.
Ein Porträt von Maja Hoock

  1. Computerlinguistik "Bordstein Sie Ihre Erwartung!"
  2. OpenAI Roboterarm löst Zauberwürfel einhändig
  3. Faceapp Russische App liegt im Trend und entfacht Datenschutzdebatte

Gebrauchtwagen: Was beim Kauf eines gebrauchten Elektroautos wichtig ist
Gebrauchtwagen
Was beim Kauf eines gebrauchten Elektroautos wichtig ist

Noch steht der Markt für gebrauchte Teslas und andere Elektroautos am Anfang der Entwicklung. Für eine verlässliche Wertermittlung benötigen Käufer ein Akku-Zertifikat. Das bieten private Verkaufsberater an. Ein österreichisches Startup will die Idee groß rausbringen.
Ein Bericht von Dirk Kunde

  1. Elektroautos EU-Kommission billigt höheren Umweltbonus
  2. Elektroauto Jaguar muss I-Pace-Produktion mangels Akkus pausieren
  3. 900 Volt Lucid stellt Serienversion seines Luxus-Elektroautos vor

Landwirtschaft: Ohne Daten geht nichts mehr auf dem Acker
Landwirtschaft
Ohne Daten geht nichts mehr auf dem Acker

5G ist derzeit noch nicht an jeder Milchkanne verfügbar. Das ist schlecht für die Landwirte. Denn in ihrer Branche ist die Digitalisierung schon weit fortgeschritten, sie sind auf Internet auf dem Feld angewiesen.
Ein Bericht von Werner Pluta

  1. Akademik Lomonossow Russisches Atomkraftwerk wird bald nach Sibirien geschleppt
  2. CO2 Wie Kohlebergwerke zum Klimaschutz beitragen können
  3. Raumfahrt Forscher testen Aerogel als Baumaterial für Mars-Gewächshaus

    •  /