Berlin – Eine Woche nach Entdeckung der massiven Sicherheitslücke im Internet kämpfen Online-Dienste immer noch mit den Folgen. Die Schwachstelle klaffte jahrelang in der Verschlüsselungssoftware OpenSSL. Die Stiftung hinter OpenSSL rief am Wochenende dazu auf, das Projekt besser zu finanzieren.
Währenddessen forderten unter anderem die Fotoplattform Pinterest, der Blog-Dienst Tumblr und der Passwort-Manager LastPass ihre Nutzer zum Wechsel der Kennwörter auf. Die IT-Sicherheitsfirma McAfee startete eine Testseite. Dort kann man prüfen, welche Web-Dienste die Schwachstelle bereits behoben haben, wie McAfee am Montag erläuterte.
Passwortwechsel erst bei geschlossener Sicherheitslücke
Das ist wichtig, denn erst bei geschlossener Sicherheitslücke lohnt sich ein Passwortwechsel. Durch die Schwachstelle in OpenSSL können Angreifer auf vermeintlich gesicherte Daten zugreifen.
OpenSSL wird in einer Vielzahl von Webdiensten eingesetzt. Die Sicherheitslücke wurde vor einer Woche entdeckt und ist unter dem Namen «Heartbleed» bekannt. Sie versteckte sich jahrelang unentdeckt in einer Funktion namens «Heartbeat». OpenSSL ist eine quelloffene Software, das heisst, der Programmcode steht für jeden einsehbar im Internet.
Rufe nach mehr Unterstützung für OpenSSL
Allerdings arbeiten nur ein gutes Dutzend Menschen an dem Projekt, das Kernteam besteht aus lediglich vier Personen. Nach der Veröffentlichung der Sicherheitslücke wurden Rufe nach mehr Unterstützung für OpenSSL laut. Seitdem seien etwa 200 Spenden eingegangen, meist über kleine Beträge, schrieb Steve Marquess, der Präsident der Stiftung hinter OpenSSL, in einem Blogeintrag.
Marquess rief dazu auf, das Projekt besser zu finanzieren. Grosse Unternehmen oder Behörden, sollten Geld für OpenSSL zahlen, schrieb er. «Diejenigen, die wirkliche Unterstützung leisten sollten, sind die kommerziellen Firmen und Regierungen, die OpenSSL umfassend nutzen und als gegeben hinnehmen.» Das Projekt habe weder genug Mitarbeiter noch genug Geld, um alle Aufgaben zu erledigen. (awp/mc/ps)