{"id":1558,"date":"2014-11-20T11:49:13","date_gmt":"2014-11-20T10:49:13","guid":{"rendered":"https:\/\/www.psw-group.de\/blog\/?p=1558"},"modified":"2025-12-04T11:41:32","modified_gmt":"2025-12-04T10:41:32","slug":"heartbleed-resume-status-quo-des-ssl-super-gaus","status":"publish","type":"post","link":"https:\/\/www.psw-group.de\/blog\/heartbleed-resume-status-quo-des-ssl-super-gaus\/","title":{"rendered":"Heartbleed R\u00e9sum\u00e9: Status Quo des SSL-Super-GAUs"},"content":{"rendered":"

Als OpenSSL Anfang April eine Mitteilung zu einer Sicherheitsl\u00fccke<\/a> herausgab, waren sich Experten einig: Das ist der Super-GAU!<\/strong> Wir richteten seinerzeit eine Notfall-Hotline ein<\/a> und einschl\u00e4gige Medien haben empfohlen, Updates so schnell wie m\u00f6glich durchzuf\u00fchren und anschlie\u00dfend dazu aufzurufen, dass User ihre Passw\u00f6rter \u00e4ndern. Heartbleed<\/strong>, so wurde die Sicherheitsl\u00fccke genannt, liegt nun \u00fcber ein\u00a0halbes Jahr zur\u00fcck \u2013 wurden die Warnungen der Medien und Experten erh\u00f6rt und beachtet? Wir pr\u00fcfen den Status Quo.<\/p>\n

<\/p>\n

Heartbleed: stagnierende Update-Bereitschaft<\/h2>\n

Robert Graham von Errata Security<\/a> hat kurz nach Bekanntwerden der Sicherheitsl\u00fccke in OpenSSL knappe 30 Millionen Systeme im \u00f6ffentlichen Netz gescannt: Mehr als 600.000 der Systeme<\/strong>, die auf Port 443 geantwortet haben, waren verwundbar<\/strong>. OpenSSL ist eine extrem popul\u00e4re Client-Software mit einem Marktanteil von 66 Prozent (Netcraft-Studie<\/a>), und so sind diese Zahlen wenig verwunderlich: 17,5 Prozent aller SSL-Seiten und zirka eine halbe Million Zertifikate von vertrauensw\u00fcrdigen CAs waren betroffen<\/strong>. Der Studie „The Matter of Heartbleed<\/a>“ (PDF) konnten wir folgende Zahlen entnehmen: F\u00fcr diese Studie wurden die popul\u00e4rsten HTTPS-Websites und der komplette IPv4-Adressraum gescannt. Um die popul\u00e4rsten Seiten zu finden, setzte das Team auf die Top 100 des Alexa-Rankings<\/a>. Zwei Tage nachdem Heartbleed bekannt wurde, scannte das Team erneut und beobachtete, dass elf Prozent der Top 1 Million-HTTPS-Websites<\/strong> im Alexa-Ranking und sechs Prozent s\u00e4mtlicher HTTPS-Server im \u00f6ffentlichen IPv4-Adressraum angreifbar<\/strong> sind. Auch das Tor-Netzwerk war stark betroffen: \u00dcber die H\u00e4lfte s\u00e4mtlicher Tor-Knoten<\/strong> waren in den Tagen nach Ver\u00f6ffentlichung der Sicherheitsl\u00fccke anf\u00e4llig.<\/p>\n

Innerhalb der ersten 24 Stunden nach Bekanntgabe der schwersten Sicherheitsl\u00fccke in 16 Jahren OpenSSL<\/strong> wurden alle au\u00dfer f\u00fcnf der Alexa Top 100-Websites gepatcht<\/strong>; innerhalb von 48 Stunden waren es s\u00e4mtliche gef\u00e4hrdete Hosts in der Top 500-Liste<\/strong>. Nach etwa zwei Wochen intensivster Berichterstattung und Patch-Aktivit\u00e4t kamen die Updates allerdings zum Erliegen: Die Patch-Zahlen stagnierten und so sind rund drei Prozent der Alexa Top 1 Million-HTTPS-Sites auch zwei Monate nach Bekanntwerden noch nicht aktualisiert<\/strong> worden.<\/p>\n

Zertifikattausch nach Heartbleed<\/h2>\n

Aufgrund der M\u00f6glichkeit, dass private Schl\u00fcssel durch die Heartbleed-L\u00fccke abgefangen<\/strong> werden k\u00f6nnen, wurden in den ersten Wochen nach Heartbleed auch zahlreiche SSL-Zertifikate ausgetauscht: Gem\u00e4\u00df der Studie „The Matter of Heartbleed“ haben die popul\u00e4rsten Websites sehr schnell reagiert. Auch hier kam der Austausch, den wir f\u00fcr unsere Kunden kostenfrei anbieten<\/strong>, mit der Zeit zum Erliegen: Eine Woche nach Bekanntwerden der Sicherheitsl\u00fccke hatte weniger als ein Drittel der Alexa Top 1 Million-Websites ihre Zertifikate ausgetauscht<\/strong>. Das sind alarmierende Zahlen, noch beunruhigender allerdings ist, dass nur zehn Prozent<\/strong> dieser Websites ihre SSL-Zertifikate innerhalb des darauffolgenden Monats ausgetauscht<\/strong> haben und von diesen zehn Prozent haben 14 Prozent nicht ihren privaten Schl\u00fcssel ge\u00e4ndert<\/strong>. Bedeutet: Auf diesen Webseiten bringt das ausgetauschte Zertifikat gar nichts.<\/p>\n

Diese popul\u00e4ren Seiten waren betroffen<\/h3>\n

Aufgrund der immensen Verbreitung von OpenSSL waren weder gro\u00dfe noch kleine Seiten vor Angriffen gesch\u00fctzt<\/strong>. Im Folgenden erhalten Sie eine Zusammenstellung popul\u00e4rer Websites, die betroffen waren, inklusive der Information, ob Sie hier Ihr Passwort \u00e4ndern sollten:<\/p>\n