Heartbleed: 600.000 Server immer noch ungeschützt

Das wahre Ausmaß der Lücke in OpenSSL wird erst nach und nach sichtbar. Während viele Firmen zwar schnell reagierten und sofort nach Bekanntwerden der Schwachstelle Updates einspielten, ist nach wie vor unklar, ob und wie viel Schaden aufgrund von Heartbleed tatsächlich entstanden ist. Denn wie beispielsweise ars technica berichtet, könnte die Lücke schon seit November oder gar länger ausgenutzt worden sein. Zudem sollen nach wie vor rund 600.000 Server noch immer anfällig sein.

Die Nutzer selbst haben derzeit wenig Kontrolle darüber, die Folgen von Heartbleed in Zaum zu halten. Sicherheitsexperten wie Christian Platzer von der TU Wien empfehlen im Wesentlichen zwei Dinge: Im Internet auf den dafür vorgesehen Webseiten zu überprüfen, ob ein bestimmter Onlinedienst unsicher ist, und im zweiten Schritt seine Zugangsdaten zu ändern.

Das ganze Internet ändert Passwörter

Mittlerweile wird von fast allen großen Webseiten und Internetdiensten vorsichtshalber das Ändern der Passwörter empfohlen. Dazu zählen sowohl Google, Facebook und Dropbox als auch Evernote, Soundcloud und Amazons Webdienste. Mashable hat eine lange Liste an Reaktionen und Empfehlungen der einzelnen Firmen veröffentlicht, wo nachzulesen ist, inwiefern diese betroffen waren bzw. sich deswegen unsicher sind. Google, Facebook und Co sagen zwar, es sei zu keinem offensichtlichen Missbrauch gekommen, die Passwortänderung wird aber trotzdem nahegelegt.

Eine große Ausnahme bildet Microsoft, deren Dienste laufen nicht auf Basis von OpenSSL und sind daher auch nicht von Heartbleed betroffen. Ebenfalls nicht betroffen sind die Mailservices Hotmail und Outlook sowie Amazon.com und AOL.

Wenig proaktive Information

Kaum einer der betroffenen Dienste ging bisher allerdings direkt auf seine User zu. So zählt zum Beispiel der Service IFTTT zu einer der wenigen Ausnahmen, die ihren Nutzern von sich aus eine Informationsmail zugeschickt und das Ändern der Zugangsdaten empfohlen haben. In Österreich versendeten die Wiener Linien bereits am Mittwoch Informationen an ihre betroffenen Kunden. Insgesamt sollen in Österreich an die 30.000 Webseiten von Heartbleed betroffen gewesen sein. Wie viele davon die Schwachstelle nach wie vor nicht beseitigt haben, lässt sich derzeit schwer abschätzen. SBA Research führte am Mittwoch eine Analyse durch, wobei 121.420 IP-Adressen identifiziert wurden, die auf eine HTTPS-Anfrage bei Webseiten antworten. Davon sollen zu diesem Zeitpunkt noch etwa sechs Prozent potenziell verwundbar gewesen sein.

Grundsätzlich ist darauf hinzuweisen, dass im Zweifelsfall vor einer Passwortänderung unbedingt überprüft werden sollte, ob die Lücke bei der jeweiligen Seite bereits geschlossen wurde. Das Passwort sollte keinesfalls geändert werden, falls die Schwachstelle noch besteht. Damit würden sich potenzielle Angreifer erst recht wieder Zugriff zu den neuen Zugangsdaten verschaffen. In so einem Fall empfiehlt es sich, bei dem betroffenen Dienst bis zum Schließen der Lücke gar nicht einzuloggen.