Das Year-2038-Problem ist schon heute ein Sicherheitsrisiko

Zwei bekannte Softwareprobleme, die eigentlich erst in mehr als einem Jahrzehnt zu gravierenden Störungen führen sollten, könnten laut Sicherheitsforschern bereits heute von Angreifern als Sicherheitslücken ausgenutzt werden.

Diverse Systeme bedroht

Dabei handelt es sich um die sogenannten Year-2036- und Year-2038-Probleme, die in vielen IT-Systemen verankert sind und weitreichende Folgen für Industrie, Infrastruktur und Sicherheit haben könnten. Der Year-2038-Bug - kurz auch als Y2K38 bezeichnet - betrifft Systeme, die Zeitangaben als 32-Bit-Ganzzahlen speichern. Am 19. Januar 2038 wird dieser Zahlenbereich erschöpft sein.

Rechner, die danach weiterzählen, springen rechnerisch ins Jahr 1901 zurück, was zu Abstürzen und Datenfehlern führen kann. Ein ähnlicher Effekt wird beim Year-2036-Problem erwartet, das ältere Implementierungen des Network Time Protocol (NTP) betrifft und bereits am 7. Februar 2036 ausgelöst werden kann.


Während solche Zeitüberläufe zunächst wie theoretische Probleme wirken, warnen die Forscher Trey Darley und Pedro Umbelino vom Epochalypse Project, dass sie schon heute gezielt provoziert werden könnten, wie die SecurityWeek berichtet. Durch Manipulation von Zeitsynchronisationssystemen, etwa beim GPS-Spoofing, bei NTP-Injections oder gezielten Veränderungen in Datenprotokollen, ließe sich ein betroffenes System in die Zukunft "versetzen", was den Fehler direkt auslösen kann.

Besonders kritisch sind solche Angriffe für industrielle Steuerungssysteme und andere Betriebstechnologien in kritischer Infrastruktur. Zeitstempel spielen dort eine zentrale Rolle, etwa bei Protokollen, Sicherheitsüberprüfungen und Automatisierungen. Fehlerhafte Zeitangaben könnten daher ganze Anlagen lahmlegen, Daten verfälschen oder Sicherheitsmechanismen aushebeln.

Arbeit muss beginnen

Umbelino, der für das Cybersicherheitsunternehmen BitSight arbeitet, hat bereits Hunderttausende potenziell gefährdeter Geräte identifiziert, darunter Server, Router, Smart-TVs, Alarmsysteme und sogar Fahrzeuge. Auch sicherheitskritische Anlagen wie Satelliten, Kraftwerke oder Verkehrssysteme könnten betroffen sein, hieß es.

Ein Beispiel: Der Hersteller Dover Fueling Solutions bestätigte, dass seine ProGauge-Tankmesssysteme anfällig für die Y2K38-Problematik sind. Das Unternehmen veröffentlichte nach Hinweisen der US-Behörde CISA entsprechende Sicherheitsupdates.

Umbelino plädiert dafür, die 2036/2038-Probleme als Sicherheitslücken und nicht nur als Softwarefehler zu behandeln. So könnten sie nach gängigen Standards bewertet und priorisiert werden. Dennoch räumen die Forscher ein, dass eine vollständige Behebung kaum realistisch sei: Zu viele Geräte nutzen veraltete 32-Bit-Systeme, die sich nicht einfach austauschen lassen. "Das Problem von 2038 wird alles übertreffen, was wir beim Y2K erlebt haben", warnt Umbelino. "Wir haben heute tausendmal mehr vernetzte Systeme - aber weder tausendmal mehr Zeit noch Geld, um sie zu reparieren."


Siehe auch: