Der OpenSSL-Heartbleed-Bug hat in den letzten Tagen für Verunsicherung gesorgt. Manche sprechen vom totalen Albtraum und Super-GAU im Internet, viele Server scheinen von dem Bug betroffen zu sein – Netcraft spricht von 17,5%, darunter Twitter, GitHub, Yahoo, Tumblr, Steam, DropBox, HypoVereinsbank, DuckDuckGo. Aber der Nutzen, Passwörter zu wechseln, bevor Betreiber ihre OpenSSL-Versionen und Zertifikate ausgetauscht haben, wäre gering.
Dann tauchten auch noch Berichte auf, es sei bereits gelungen, Hunderte Yahoo-Passwörter zu ermitteln und das IT-Sicherheitsunternehmen Fox IT sprach davon, es sei besonders trivial gewesen, innerhalb von fünf Minuten habe man mit einem einfachen Script Zugangsdaten für 200 Accounts gesammelt. Die Betreiber des Tor-Projekts empfahlen sogar, sich aus dem Internet fernzuhalten, wenn man starker Anonymität bedürfe. Und wenn nicht klar war, ob der Bug im Vorfeld ausgenutzt wurde – spätestens nach seiner Bekanntgabe konnte man sich dessen sicher sein.
Kryptographie-Experte Bruce Schneier nannte den Bug katastrophal, auf einer Skala von 1 bis 10 sei er auf der 11.
Doch was tun? Wenn man nicht zu Webseitenbetreibern gehört, muss man wohl oder übel abwarten, bis von deren Seite Versionen geupdatet und Zertifikate getauscht wurden und kann sie höchstens dazu auffordern, sich schnellstmöglich darum zu kümmern. Dann gilt es, Passwörter zu ändern. Ob eine Seite weiterhin betroffen ist, kann man mit diversen Tools feststellen. Eines der ersten war dieser webbasierte Test, der jedoch manchmal falsche Ergebnisse liefert, ein Pythonskript lässt sich zum automatischen Testen mehrerer URLs nutzen und für Chromenutzer wurde ein Browserplugin entwickelt, das beim Betreten einer Seite warnt, falls diese noch anfällig ist.
Mashable.com hat eine Hit List zusammengestellt, auf der populäre Webseiten aufgelistet sind, mit Angaben ob sie betroffen waren und sind und welche Stellungnahme sie zu dem Problem abgegeben haben. Die sind nicht immer aufschlussreich, so sagte das Online-Auktionshaus Ebay, seine Nutzer müssten ihre Passwörter nicht ändern und kommentierte:
The vast majority of our services were not impacted and our users can continue to shop securely on our marketplace.
Im Zweifel lieber einmal zu viel wechseln als zu wenig. Und wenn man gerade beim Wechseln von Passwörtern ist, kann es nicht schaden, ein wenig mit Bedacht vorzugehen. Denn schwache Passwörter werden nicht erst durch OpenSSL-Bugs anfällig. Spätestens ein Selbsttest von Arstechnica, bei dem ein vormals unerfahrener Autor innerhalb von einem Tag 8.000 Passwörter durch Listenabgleich ermitteln konnte, verdeutlicht das auf drastische Art und Weise. Bei einem anderen Test traten erfahrene Passwort-Knacker gegeneinander an. Der beste knackte 90% der Passwörter in wenigen Stunden, der schlechteste immer noch 62%. Daher ein paar Grundregeln zur Auffrischung:
- Keine Passwörter, die sich auf irgendwelchen Top-X-Passwort-Listen finden lassen.
- Auch keine Verbindung dieser Wörter oder Anhänge wie ‚1234’, ‚!!!’, …
- Niemals die gleichen Passwörter für unterschiedliche Accounts nutzen
- Mehr Zeichen sind besser, genaue Werte zu empfehlen ist wenig sinnvoll. Das BSI spricht von 12 Zeichen, mehr kann kaum schaden.
- Sonderzeichen, Groß- und Kleinbuchstaben und Zahlen mischen, soweit es die Eingabe erlaubt.
- Keine persönlichen Daten wie Geburtstage, Namen, Adressen
Einfache Eselsbrücken für angemessen sichere Zugangscodes sind zum Beispiel Sätze. Nimmt man „Der Heartbleed Bug ist sehr ernst und du solltest nun alle deine Passwörter wechseln“ lässt sich aus den Anfangsbuchstaben das relativ leicht zu erinnernde Passwort „DhB1s3&DsnadPWw“ generieren. Aber was darüber hinaus berücksichtigt werden sollte: Das beste Passwort ist das, welches man nicht einmal selbst kennt. Helfen können dabei Passwort-Manager. Zwei Open-Source-Varianten sind beispielweise KeePass und PasswordSafe. Diese können Passwörter speichern und in einer verschlüsselten Datenbank speichern. KeePass kann zusätzlich selbst Passwörter generieren. Und zum Zugriff muss man sich nur noch ein Master-Passwort merken, das aber dann auch dementsprechend stark sein sollte.