Bericht: NSA nutzte "Heartbleed" seit Jahren aus

Die amerikanische National Security Agency (NSA) hat nach Angaben des US-Wirtschaftsdienstes Bloomberg die "Heartbleed" getaufte schwerwiegende Schwachstelle in OpenSSL bereits seit Jahren ausgenutzt. Die Behörde habe dennoch weder betroffene Firmen, noch die Öffentlichkeit informiert. Wie Bloomberg unter Berufung auf zwei mit den Hintergründen vertraute Quellen berichtet, soll die NSA bereits seit mindestens zwei Jahren von der "Heartbleed"-Lücke in OpenSSL wissen. Die Schwachstelle sei regelmäßig verwendet worden, um an "kritische" Erkenntnisse zu gelangen, heißt es. Die Behörde verschaffte sich so Passwörter und andere "grundlegende Daten", um auf dieser Basis ihre umfangreichen Angriffe zu starten.

Angeblich ist "Heartbleed" nur eine von mehreren Tausend anderen Schwachstellen, auf die die NSA immer wieder zurückgreift, um sich Zugriff auf Computer in aller Welt zu verschaffen. Im Fall der erst wenigen Tagen weltweit bekannt gewordenen schweren Lücke in OpenSSL dürfte die NSA das Problem früh entdeckt und sich über Jahre hinweg darauf gestützt haben - schließlich wurde der entsprechende Code erst 2012 geschrieben.

Dass die Geheimdienstler von dem Fehler schon seit Jahren wussten, würde allerdings auch bedeuten, dass auch jene Website-Betreiber, die über das Problem zuerst im Geheimen informiert wurden und umgehend reagierten, zuvor lange nicht gegen eventuelle Attacken geschützt waren. Dies gilt zum Beispiel für Google Mail oder die Cloud-Dienste von Amazon und anderen Anbietern.

Weil die Webseitenbetreiber ihre Systeme erst in der letzten Woche gegen den Fehler absicherten, hatte die NSA somit die Möglichkeit, rund zwei Drittel aller Server anzugreifen, die mit einer Verschlüsselung arbeiten, da diese OpenSSL nutzen und somit anfällig waren oder es immer noch sind. Die NSA muss nun rechtfertigen, wie ihre Aufgabe des Schutzes der US-amerikanischen Bevölkerung damit zu vereinbaren ist, dass man die Schwachstelle geheimhielt, um sich einen Vorteil zu verschaffen - und damit die Nutzer gleichzeitig möglichen Angriffen durch Dritte aussetzte.