Die Schwächen des Internets

Die Sicherheitslücke "Heartbleed" ist auch vier Monate nach ihrem Bekanntwerden noch nicht aus dem Netz verschwunden. Vor allem kleinere Serverbetreiber stellen noch eine große Gefahr dar. [...]

„Heartbleed hat der Welt vor Augen geführt, dass Software – egal ob Open oder Closed Source – in den seltensten Fällen frei von Fehlern ist“, sagt Otmar Lendl, Teamleiter bei CERT.at (Computer Emergency Response Team). Drastisch gezeigt habe sich dieser Umstand bei der im April aufgetauchten Sicherheitslücke „Heartbleed“. „Viele Sicherheitsvorfälle laufen häufig nach einem ähnlichen Muster ab. Das Besondere bei Heartbleed war nicht die Sicherheitslücke an sich, sondern die große Anzahl der Betroffenen. Die Unterwanderung des bislang als sicher geltenden Internetprotokolls SSL hat dazu geführt, dass sich Heartbleed binnen kürzester Zeit nach dessen Bekanntwerden zu einem der weltweit größten IT-Sicherheitsvorfälle entwickelt hat“, so Lendl.

Ein Großteil der Server in Österreich sei zwar mittlerweile in Sachen Heartbleed geschützt, aber die Untersuchungen von CERT.at haben auch ergeben, dass manche Betreiber ihre Server unregelmäßig oder überhaupt nur sehr sporadisch warten. Als besonders zäh erweise sich laut Lendl vor allem der „schmutzige Rest“. Damit seien jene Server gemeint, die am Ende übrig bleiben, weil sich um diese niemand kümmert oder kümmern will. „Das macht sie vom Standpunkt der IT-Sicherheit aus gesehen nicht nur zu den gefährdetsten, sondern auch zu den gefährlichsten“.

GEFAHR STEIGT IM INTERNET DER DINGE
Mit Heartbleed rückt aus Sicht von CERT.at aber noch ein weiteres Thema in den Vordergrund: die zunehmende IT-Sicherheitsgefährdung in Verbindung mit dem Internet of Things (IoT). „Der Vorstoß der IT in alle Bereiche des täglichen Lebens setzt sich unaufhaltsam fort. Immer mehr Geräte sind miteinander vernetzt und kommunizieren ‚intelligent‘ miteinander. Das Problem von regelmäßigen Updates ist immanent. Heartbleed hat vorgemacht, wie durch großangelegte Screenings mit vergleichsweise einfachen Mitteln das gesamte Internet zum Aktionsfeld von Angreifern werden kann. Die Skalierung der IT erweist sich dabei als mögliches Damoklesschwert. Denn es ist keinesfalls auszuschließen, dass einzelne Attacken in Zukunft weitreichende Folgen nach sich ziehen werden“, sagt Aaron Kaplan, IT-Sicherheitsexperte bei CERT.at.

STEIGENDES BEWUSSTSEIN
Vorfälle wie Heartbleed oder der anhaltende öffentliche Diskurs rund um die Enthüllungen von Edward Snowden haben aus Sicht der Experten aber auch ihre positiven Seiten: Im Umgang mit Privacy und Verschlüsselung kommt es anwender- wie auch anbieterseitig zu Bewegung. Der Schutz eigener Daten und der Privatsphäre im Internet haben für viele Nutzer zunehmende Priorität. Auch verschlüsseln immer mehr E-Mail-Anbieter mittlerweile Nachrichten während der Übertragung. Laut Transparenzbericht von Google werden aktuell (Stand Juli 2014) bereits knapp drei Viertel (74 Prozent) aller ausgehenden Nachrichten von Gmail an andere Anbieter verschlüsselt übermittelt. Eingehend ist dies bereits bei jedem zweiten Mail (55 Prozent) der Fall. Aktuellen Zahlen der Universität Wien zufolge, selbst einer der größten Mailbetreiber des Landes, ist auch in Österreich ein Trend zu verschlüsselter Kommunikation erkennbar. So werden ausgehend bereits 70 Prozent und eingehend 43 Prozent der Mails verschlüsselt übertragen (Stand Mai 2014).

Um Betreiber von Mail- und Webservern beim Set-up ihrer IT-Systeme zu unterstützen, hat sich eine Gruppe IT-Sicherheitsexperten in Österreich zusammengeschlossen und ein White Paper zu Kryptografie verfasst. Die BetterCrypto-Expertengruppe will vor allem weniger erfahrene Systemadministratoren durch vorgeschlagene Einstellungen dabei unterstützen, ihre Systeme mit einfachen Mitteln sicherer zu machen. (cb)