Was war der Heartbleed-Bug?

Der Heartbleed-Bug war eine schwere Sicherheitslücke in der Verschlüsselungssoftware OpenSSL. Angreifer konnten damit Passwörter, persönliche Daten und sogar geheime Schlüssel von Servern abgreifen, ohne dass jemand etwas davon merkte.

OpenSSL sichert einen großen Teil des Internetverkehrs ab, zum Beispiel immer dann, wenn du dich auf einer Website mit HTTPS einloggst. Der Fehler steckte in der sogenannten Heartbeat-Funktion, einem kurzen „Herzschlag“-Signal, mit dem zwei Rechner prüfen, ob die Verbindung noch steht. Der Name ist ein Wortspiel aus „Heartbeat“ und dem englischen „bleed“, also bluten. Mit einer manipulierten Anfrage ließen sich pro Versuch bis zu 64 Kilobyte aus dem Arbeitsspeicher des Servers auslesen. Darin konnten Benutzernamen, Passwörter und sogar die privaten Schlüssel der Verschlüsselung liegen.

Öffentlich wurde die Lücke am 7. April 2014. Da war der fehlerhafte Code schon seit März 2012 im Umlauf, also mehr als zwei Jahre lang unentdeckt. Rund 17 Prozent aller verschlüsselten Websites mit vertrauenswürdigem Zertifikat waren verwundbar, etwa eine halbe Million. Die Reparatur bestand aus zwei Schritten: Software aktualisieren und alle Schlüssel austauschen, die in der Zwischenzeit gestohlen worden sein könnten.

Heartbleed zeigte, wie wichtig es ist, dass kritische Software gründlich geprüft und aktuell gehalten wird. Ein kleiner Programmierfehler reichte aus, um die Sicherheit großer Teile des Internets zu untergraben.