re-lounge
Nur gute Seiten

Oliver Schmitt

Oliver Schmitt

ist Geschäftsführer und Gründer der re-lounge GmbH und lebt das Web seit dem Beginn seines Medieninformatikstudiums Mitte der 90er Jahre. Bei re-lounge ist er u.a. für die Strategieberatung der Kunden verantwortlich. Seine Schwerpunkte sind Digitale Trends, Mobile, E-Mail-Marketing, Social Media und Content Management, zu denen er auch als Referent aktiv ist. Oliver twittert unter @oliverschmitt. Privat liebt er neben seiner Familie gute Musik und echte Bücher.



Alle Artikel von
Oliver Schmitt bei Xing, Google+ und Twitter

Oliver Schmitt
Von Oliver Schmitt 14. April 2014
1 Star2 Stars3 Stars4 Stars5 Stars
5,008 Stimme(n)
Loading...
Die OpenSSL-Lücke „Heartbleed“ ist seit Ende der vergangenen Woche in aller Munde. Deshalb möchten wir Ihnen in diesem Beitrag einen Überblick zum Thema geben und Sie auf dessen Brisanz hinweisen: Nahezu jeder Onlinenutzer ist betroffen und auch Unternehmen müssen unbedingt handeln. Sie lesen wann Sie betroffen sind, was zu tun ist und wie es bei re-lounge und unseren Diensten um Ihre Daten steht.

Was ist „Heartbleed“?

Bei „Heartbleed“ handelt es sich um eine Lücke in der Implementierung von OpenSSL. OpenSSL wird von vielen Diensten und Websites genutzt um die sogenannte SSL-Verschlüsselung zu ermöglichen. Viele von Ihnen werden SSL als „https://“ beim Online-Shopping oder Internetbanking kennen. SSL sorgt in diesem Fall dafür, dass alle Daten zwischen Ihnen und dem Dienst verschlüsselt ausgetauscht werden, so z.B. Benutzernamen, Passwörter und Kreditkartendaten.

Das Tückische an Heartbleed ist, dass die Lücke erst jetzt öffentlich wurde, aber bereits seit 2 Jahren besteht. Dies bedeutet, dass auch solch sensiblen Daten wie Passwörter und Kreditkartendaten, die Sie mit einem betroffenen Dienst ausgetauscht haben, unter Umständen von Unbefugten abgegriffen werden konnten.

Wer es etwas genauer wissen möchte: Heartbleed ist möglicherweise aktiv in der OpenSSL Version 0.9.8+ bis einschließlich 1.0.1f. Heartbleed wird beim kompilieren standardmäßig eingebaut, kann aber auch beim Kompilieren deaktiviert werden. Bei aktiver OpenSSL-Lücke werden 64KB an Daten aus dem Speicher des Servers in die SSL-Antwort eingefügt. Es ist nicht vorhersagbar, welche Daten das genau sind. Im günstigen Fall „uninteressante“ Informationen. Im ungünstigen Fall die Anmeldedaten eines Nutzers, Zahlungsinformationen oder – im schlimmsten Fall – der private Schlüssel des Serverzertifikates. Es liegt also kein klassischer Man-in-the-Middle-Angriff vor, bei dem Daten ständig mitgelesen und manipuliert werden.

Da die OpenSSL-Implementierung sehr stark verbreitet ist, sind auch viele populäre Online-Dienste betroffen. Einen ersten Überblick bieten die Listen, die das Onlinemagazin Mashable sowie Giga.de veröffentlicht haben. Dort werden Websites und Online-Dienste gelistet, die von Heartbleed betroffen sind oder waren.

Das ist aber nur die „Spitze des Eisbergs“. Denn viele herkömmliche Websites nutzen OpenSSL und viele Websitebetreiber wissen nichts davon. Denn meist werden die SSL-Zertifkate vom zuständigen Provider verwaltet.

Zeit Online titelte letzte Woche: „Auf der Gruselskala bis 10 ist es die 11“. Dies sollte uns allen die Ernsthaftigkeit von Heartbleed deutlich machen und auch die Letzten überzeugen, dass Handlungsbedarf besteht.

Wann besteht Handlungsbedarf?

Akuter Handlungsbedarf besteht für folgende Fälle:

Wichtig: Ändern Sie Passwörter betroffener Dienste erst dann, wenn die OpenSSL-Lücke durch den Dienst behoben wurde. Ist die Lücke noch nicht beseitigt, so macht eine Passwortänderung keinen Sinn.

Ein von Ihnen angebotener Dienst ist betroffen.

Ob Ihr Dienst akut betroffen ist, kann unter folgendem Link geprüft werden:

https://filippo.io/Heartbleed/

Ist der Dienst tatsächlich noch betroffen und Sie sind selbst Anbieter, so z.B. bei Ihrer eigenen Website, so sollten Sie folgende Dinge erledigen:

Hinweis: Im Rahmen unserer Heartbleed-Taskforce testen wir alle von uns in den vergangenen zwei Jahren umgesetzten Websites und Systeme auf die OpenSSL-Lücke. Sollte uns ein Problem auffallen, so werden wir betroffene Unternehmen darüber umgehend informieren. Da OpenSSL aber in den allermeisten Fällen nicht von uns genutzt wird, sondern vom jeweiligen Provider, können wir nur den Ist-Zustand prüfen, nicht aber, ob OpenSSL in der Vergangenheit eingesetzt wurde. Sie sollten in jedem Fall Rücksprache mit Ihrem Provider halten und sich dort ausführlich informieren. Viele Provider und Internetdienstanbieter informieren in ihren News, Foren und speziellen FAQ über das Thema.

Wichtig: Vergessen Sie nicht Ihr Content Management System (CMS).
Viele Websites bieten zwar keine Logins für Kunden oder Nutzer, sie selbst werden aber über ein Content Management System (CMS) gepflegt. In diesem Fall kann es auch dazu gekommen sein, dass die CMS-Nutzerdaten ausgelesen wurden und sich Unberechtigte Zugang zu Ihrem CMS verschaffen können. Deshalb sollten Sie – sofern Ihre Website von der OpenSSL-Lücke betroffen war und diese beseitigt wurde – unbedingt auch alle Passwörter der CMS-Nutzer ändern.

Ein von Ihnen angebotener Dienst war betroffen

Wurde die Lücke inzwischen behoben, so sollten Sie Ihre Nutzer dann über die Lücke informieren, wenn im Rahmen Ihres Dienstes auch Passworte übermittelt wurden. In diesem Fall gilt:

Ein von Ihnen genutzter Dienst ist oder war betroffen

Viele populäre Online-Dienste sind betroffen. Nutzen Sie Dienste von Facebook, Google oder anderen betroffenen Diensten, so sollten Sie Ihre Passwörter bei diesen Diensten unbedingt ändern.

Auch hier gilt: Ändern Sie Ihr Passwort erst, wenn die OpenSSL-Lücke bei dem betroffenen Dienst bereits behoben wurde.

Und wenn Sie ein bei einem betroffenen Dienst verwendetes Passwort auch woanders nutzen, dann sollten Sie auch dort unbedingt neue Passwörter vergeben.

Wie sollten Sie künftig mit Ihren Accounts und Passwörtern umgehen?

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) bietet auf der Website www.bsi-fuer-buerger.de sehr gute Tipps für sichere Passwörter.

Wichtig: Achten Sie besonders auf Ihre E-Mail-Accounts. Da ein gehackter E-Mail-Account über die Passwort-vergessen-Funktion der Schlüssel zu fast all Ihren Accounts ist, sollten Sie dieses Passwort mit besonderer Vorsicht wählen und es regelmäßig ändern.

Sicherheit bei re-lounge

Unsere eigene Website, unser Blog sowie unser Ticketsystem sind und waren (glücklicherweise) nicht von „Heartbleed“ betroffen. Auch unsere internen Systeme, wie beispielsweise unsere Firewall, sind zu jedem Zeitpunkt sicher gewesen.

Ebenso konnten wir für alle Nutzer der E-Mail-Marketing-Software Inxmail Entwarnung geben. Auch Inxmail war und ist nicht betroffen.

Aber auch re-lounge ist betroffen, denn wie so viele, so nutzen wir natürlich auch Social Media Dienste wie Facebook oder Pinterest und diverse Online-Dienste von Google, Yahoo und anderen. Insofern müssen auch wir bei den betroffenen Diensten neue Passwörter vergeben.

Ein Vorteil für uns ist übrigens, dass wir bereits seit Langem eine Passwort-Verwaltungssoftware nutzen. So besitzt jeder Dienst selbstverständlich ein individuelles Passwort. In unserer Passwort-Verwaltungssoftware werden alle Passwörter, die wir für unsere Arbeit nutzen, verschlüsselt und damit sicher gespeichert. Zudem trägt die Software zu sicheren Passwörtern bei, da sie sichere Passwörter generiert. Die sind dann zwar meist nicht zu merken, aber dafür sicher.

Was bleibt?

Neben der Notwendigkeit sicherer und separater Passwörter sollten wir noch eine Erkenntnis aus „Heartbleed“ ziehen: dass wir bewusster mit dem Thema „Verschlüsselung“ und Sicherheit umgehen. Denn oftmals werden Websites gänzlich ohne SSL-Verschlüsselung genutzt und dabei zum Teil auch Passwörter und andere Daten grundsätzlich unverschlüsselt übertragen. Damit tritt dort ständig die gleiche Situation ein, wie bei einer von Heartbleed-betroffenen SSL-verschlüsselten Website. Die Kommunikation und damit die dort verwendeten Passwörter können durch Unbefugte ausgelesen werden.

Wir sollten also künftig bewusster mit sensiblen Daten und selbst „einfachen“ Accounts umgehen. Zu unserer eigenen Sicherheit.

 

(Bild von Jake Setlak)

Kommentar abgeben

*Pflichtfeld