Blutende Herzen und gebrochenes Vertrauen: Was folgt aus dem Heartbleed Bug?

von Martin Schmetz

Der Heartbleed Bug hat das Internet aufgeschreckt. Ein zentrale Software (OpenSSL), zuständig für verschlüsselte Verbindungen, hat seit etwa 2 Jahren eine riesige Lücke, die den Zugriff auf Daten von anderen Nutzern erlaubt. Inzwischen ist die Lücke zwar gestopft und die meisten Nutzer sollten ihre Passwörter geändert haben, aber das Vertrauen ist nachhaltig geschädigt. Und damit ist nicht nur das Vertrauen in die offene Software gemeint, die viele der zentralen Funktionen des Internets ermöglicht, oder die ganzen Webdienste, die darauf setzen. Wenig überraschend kam auch sofort der Vorwurf auf, dass die NSA den Bug seit fast 2 Jahren ausnutzt. Die NSA hat dies sofort bestritten, aber um ihre Glaubwürdigkeit ist es nach den Enthüllungen von Edward Snowden nicht besonders gut bestellt. Fakt ist zudem, dass der Bug offensichtlich anderen im Netz bereits bekannt war und aktiv ausgenutzt wurde – vermutlich von einem Geheimdienst. Zum ersten mal hat die weitere Öffentlichkeit im Netz es also mit einem derart weitreichenden Bug zu tun. Was folgt politisch daraus?

Um diese Frage anzugehen, macht es Sinn, den Blick etwas zu erweitern: Im Grunde geht es um zwei Dinge: Erstens geht es um die Frage des Umgangs staatlicher Organe mit Zero Day Exploits, also dem Ausnutzen von Lücken in Software, die dem Hersteller noch nicht bekannt sind. Solche Lücken können folglich auch mit der aktuellsten Software ausgenutzt werden, was sie wiederum für Geheimdienste und Strafverfolgung attraktiv macht. Gleichzeitig besteht immer die Chance, dass mehr als eine Partei die Lücke entdeckt und ebenso ausnutzt – einen sicherheitsrelevanten Bug nicht dem jeweiligen Entwickler oder Hersteller zu melden macht also alle Nutzer der betroffenen Software unsicher. Wenn es sich dabei, wie im Fall des Heartbleed Bugs, um einen großen Teil der Webnutzer handelt, ist das umso dramatischer. Zweitens folgt daraus ein erheblicher Schaden für Vertrauen sowohl in die staatlichen Organe (auch von anderen Staaten) als auch das Internet an sich.

Im Rahmen der Berichterstattung rund um den Heartbleed Bug wurde bekannt, dass Präsident Obama bereits im Januar eine Direktive erlassen hatte, die den staatlichen Umgang mit Zero Days regelt. Demnach sollen grobe Fehler in für die Sicherheit des Internets relevanter Software öffentlich gemacht werden. Das ist grundsätzlich gut, denn bisher gab es gar keine entsprechende Regelung, und es ist bekannt dass amerikanische Sicherheitsbehörden, allen voran die NSA, auf einem ganzen Haufen derartiger ungepatchter Exploits sitzen. Dies sollte also erst einmal unser Vertrauen in die amerikanischen Behörden und die Sicherheit des Netzes an sich stärken.

Leider beinhaltet die Direktive auch eine Ausnahme: Die Veröffentlichung kann verzögert werden, wenn es einen klaren Bedarf der nationalen Sicherheit oder bei der Strafverfolgung gibt. Diese Ausnahme ist ziemlich umfangreich, und es steht zu befürchten, dass sie in den meisten Fällen ausgenutzt werden wird. Dafür spricht auch, dass die Geheimdienstcommunity in den USA sich an der Direktive immens stößt – sie hält sie für einseitiges Abrüsten. In Anbetracht der Tatsache, dass andere Länder wie China ihrerseits die Cyberspionage ausbauen und ebenfalls auf der Suche nach Zero Days sind, mag diese Position aus Sicht der amerikanischen Behörden sogar nachvollziehbar sein. Der Rest der Internetnutzer profitiert von diesem Wettrüsten aber nicht.

Hoffentlich kommt es nicht wirklich soweit, Grumpy Cat | Grumpy Cat builds a GNU Internet von Frerk Meyer unter CC BY-SA 2.0

Problematisch ist außerdem, dass nicht klar ist, ob die Direktive für schon gefundene Lücken gilt, oder nur für neue. Die amerikanischen Behörden verfügen aber bereits über eine ganze Reihe von diesen Lücken, die noch nicht gestopft sind, und können diese aktiv ausnutzen – wie etwa im Fall von Stuxnet geschehen. Und selbst wenn im spezifischen Fall von Heartbleed die NSA tatsächlich den Bug nicht ausgenutzt hat, ist dank Snowden bekannt, dass sie an der Unterminierung von OpenSSL arbeiteten.

Das Ergebnis könnte fatal für die Zukunft des Internets sein: Das Vertrauen in die Infrastruktur als solche steht in Frage. Dass Kriminelle, die auf derartige Lücken stoßen, diese nicht veröffentlichen, mag einleuchten. Dass Staaten aber die Sicherheit ihrer eigenen Bürger aufs Spiel setzen ist schwerer zu vermitteln. Noch unangenehmer ist aber, dass andere, auch verbündete, Staaten die eigene Sicherheit im Netz gefährden. Damit ist nicht einmal gemeint, dass man direkt im Ziel ausländischer Geheimdienste landet. Vielmehr ist das Problem, dass einem kleine Kreis bekannte Lücken nicht gestopft werden und diese daher potenziell von Dritten ausgenutzt werden können. Das Vertrauen in das Internet als transnationales Konstrukt verschwindet, denn seine grenzüberschreitende Natur sorgt gerade dafür, dass Staaten in ihrem Drang sich gegenseitig auszuspionieren die Sicherheit aller gefährden – letztlich sogar die eigene.

Da sich die meisten Bürger aber ein Leben ohne das Internet kaum mehr vorstellen können, könnte damit der Ruf nach einem vermeintlich sicheren, lokalen Netz laut werden, das wenigstens nicht direkt von ausländischen Diensten unsicher gemacht werden kann. Man möchte schließlich seine Daten und die kritische Infrastruktur schützen. Das Ergebnis wäre die zunehmende Balkanisierung des Netzes und, im Falle Deutschlands, die Rückkehr der Idee des Schlandnetzes. Es liegt nun an den Regierungen, international genau gegen diese Gefahr vorzugehen. Denn das Internet als Ansammlung von nationalen, fein säuberlich abgetrennten Netzen, wäre nicht nur netzpolitisch und demokratisch eine Katastrophe, sondern auch ökonomisch. Mögliche Initiativen dafür könnten etwa im Rahmen der UN oder von ICANN stattfinden. Aber dabei muss schnell und vor allem grenzübergreifend gehandelt werden – denn jede staatlich ausgenutzte Lücke erodiert das Vertrauen weiter.