Fast alle Nutzer betroffen: Was ihr über die größte Sicherheitslücke seit Jahrzehnten wissen müsst

Die Gerüchteküche in IT-Kreisen kochte schon seit Tagen, seit gestern ist es amtlich: Sicherheitsforscher haben kritische Schwachstellen in Computerchips entdeckt, die nahezu alle Geräte weltweit gefährden. Über die "Meltdown" und "Spectre" getauften Sicherheitslücken können Angreifer sensible Informationen wie Passwörter oder Login-Schlüssel abgreifen und damit weitere Daten ausspähen. Betroffen sind laut Forschern Chips der Hersteller Intel, AMD und Arm, und damit beinahe alle Computer, Tablets und Smartphones.

Aufgedeckt hatten die Schwachstellen unter anderem Forscher der Universität Graz, Sicherheitsforscher aus Deutschland und von Googles "Project Zero". Für viele Nutzer ist die Meldung ein Schock, da zumindest eine der genannten Schwachstellen offenbar nur durch den Einsatz neuer Chips vollständig behoben werden kann und nicht durch Software-Updates.

Folgt Motherboard auf Facebook, Instagram, Snapchat und Twitter

Den Herstellern sind die Fehler bereits seit Juni 2017 bekannt. Ursprünglich sollten die Lücken erst am 9. Januar bekannt gegeben werden, doch aufgrund "wachsender Spekulationen" und erster Berichte wollte man kein Risiko eingehen, schreibt Google. Zahlreiche betroffene Firmen wie Microsoft und Amazon haben bereits Software-Updates für ihre Cloud-Dienste zur Verfügung gestellt, weitere sollen folgen.

Doch was bedeuten "Spectre" und "Meltdown" für normale Internetnutzer? Hier die wichtigsten Erkenntnisse zu den Sicherheitslücken nach aktuellem Stand.

Schlimm – zumindest theoretisch. Denn von den Sicherheitslücken sind laut den Forschern alle Computer, Laptops und Smartphones betroffen, in denen moderne Prozessoren der bekannten Hersteller Intel, AMD und Arm verbaut sind. Also nahezu alle. Doch ob die Schwachstellen bereits ausgenutzt wurden, ist derzeit unklar.

Wenn Angreifer die Schwachstellen erfolgreich ausnutzen, sind sie imstande, sämtliche Speicher des Gerätes auszulesen und darauf befindliche Informationen zu lesen. Möglich ist auch, dass sie Dateien verändern. Im Gegensatz zu anderen Hacks, bei denen Daten gestohlen werden, bleibt ein Angriff über "Meltdown" und "Spectre" unbemerkt – die Angreifer hinterlassen keine Spuren.

In den Worten der Sicherheitsforscher: "Ja, sehr wahrscheinlich." Lässt sich herausfinden, ob ich bereits angegriffen wurden? Auch hier ist die Antwort eher beunruhigend: "Wahrscheinlich nicht. Der Angriff hinterlässt keine Spuren in den traditionellen Log-Dateien".

Der IT-Sicherheitsexperte Andrew Brandt schreibt auf Twitter, dass nicht nur Forscher, sondern auch potentielle Angreifer bereits seit Längerem von der Lücke hätten wissen können und sie möglicherweise bereits genutzt haben. Denn: Mehrere Forscherteams hätten unabhängig voneinander die Schwachstellen entdeckt – und das ungefähr zur gleichen Zeit. "Man kann davon ausgehen, dass finanzstarke und fähige Angreifer ebenfalls dazu gearbeitet haben und [die Lücken] entdeckt haben."

- Google: Nutzer können sich einen Patch für Android-Telefone herunterladen, eine Einstellung beim Chrome-Browser ändern und auch für andere Google-Dienste gibt es Empfehlungen aus dem Silicon Valley.

- Microsoft: Windows-Nutzer sollten dieses Update lesen. Ein Patch für Windows 10 ist bereits vorhanden, für ältere Versionen wird es einen Patch am 9. Januar geben. Die Updates stehen jedoch nur für solche Nutzer zur Verfügung, die eine kompatible Anti-Virus-Software haben.

- Amazon Web Services sagte gestern, dass nur ein Teil ihrer Cloud-Infrastruktur bislang nicht geschützt war und dies derzeit nachgeholt wird.

- Apple: Laut der IT-Sicherheitsfirma Qualys hat Apple die "Meltdown"-Schwachstelle bereits mit der Mac-Version 10.13.2 und 10.13.3 behoben. Auch iPhones sollen von den Lücken betroffen sein, jedoch schweigt Apple bisher dazu.

Unklar. Vermutlich versuchen die Forscher mit dem stöckchenschwingenden Geist und dem schmelzenden Schild auch die technisch weniger versierten Nutzer für das eher dröge IT-Thema zu begeistern.

Zwischen Abstreiten der Vorwürfe und Abstoßen der eigenen Aktien ist alles dabei. Intel-Konkurrent AMD betont in einer Pressemitteilung die Bedeutung von IT-Sicherheit für das Unternehmen. Im Zusammenhang mit "Meltdown" und "Spectre" spricht AMD von "potentiellen Sicherheitslücken", die bislang jedoch nur in einer kontrollierten Umgebung von einem Expertenteam ausgenutzt wurden. Ob die geschilderte Bedrohung auch im "öffentlichen Raum" existiere, sei bisher nicht bekannt. Dennoch seien Nutzer dazu aufgerufen, empfohlene Updates regelmäßig durchzuführen.

Während Intel in einer aktuellen Pressemitteilung versuchte, das Problem herunterzuspielen, hatte Firmenchef Brian Krzanich bereits im November Aktien im Wert von 24 Millionen Dollar verkauft – fünf Monate, nachdem ihm die Sicherheitslücken bekannt war und zwei Monate, bevor die Öffentlichkeit (oder andere Aktionäre) informiert wurde.

Angreifer könnten ein Verfahren missbrauchen, das "speculative execution" genannt wird: Dabei nutzen Chips einen Teil ihrer Rechenkraft, um Kalkulationen durchzuführen oder Informationen abzugreifen, die möglicherweise in der Zukunft abgefragt werden. Das Verfahren wird von zahlreichen Chip-Herstellern genutzt, entsprechend viele Geräte sind von der Schwachstelle betroffen.

Das Verfahren lässt sich auf unterschiedliche Weise ausnutzen. "Meltdown" beschreibt eine Angriffsmethode, die nur bei Geräten mit Intel-Prozessoren funktioniert: Indem Angreifer die Trennung zwischen Programmen und Apps einerseits und dem Betriebssystem andererseits aufheben, können sie sich Zugriff auf den gesamten Speicher verschaffen – und damit auf sensible Daten und Passwörter.

"Meltdown" ist vergleichsweise einfach auszunutzen und zugleich vergleichsweise einfach – mit dem entsprechenden Patch – beizukommen. Wer jedoch sein Betriebssystem nicht regelmäßig patcht, ist weiterhin gefährdet. Wer Cloud-Dienste nutzt oder anbietet, gehört ebenso zu einer Risikogruppe mit besonderer Gefährdung: Über Angriffe auf den Cloud-Server könnten Daten gleich mehrerer Nutzer ausgespäht werden.

Ein Mitarbeiter der Google-Sicherheitssparte "Project Zero" zeigt in einem Video, wie ein Angreifer über "Meltdown" Daten auslesen kann.

"Spectre" ist potentiell noch gefährlicher, denn diese Sicherheitslücke betrifft fast alle Geräte, wie die Sicherheitsforscher schreiben: Desktop-Computer, Laptops, Cloud-Server und Smartphones. "Spectre" hebelt die Schutzmechanismen zwischen unterschiedlichen Programmen aus und erlaubt ihnen, sich gegenseitig auszuspähen. Angreifer können so uneingeschränkten Zugriff auf Daten bekommen, unter anderem auch auf Passwörter aus geöffneten Passwort-Managern. Betroffen sind nicht nur Intel-Chips, sondern auch Chips der Hersteller AMD und des Chip-Designers Arm.

Die Angriffe über "Spectre" sind zwar schwerer umzusetzen, doch zugleich auch schwerer abzuwehren. Denn die Fehler liegen im Design der Chips, also in der Hardware, lassen sich durch Herumdoktorn an der Software nicht beheben. Somit können Patches und Updates nur dann Abhilfe verschaffen, wenn ein Angriff bekannte Exploits nutzt, vor der die Software bereits geschützt ist.

Patchen, upgraden, abwarten. Und da Angreifer zunächst mal Zugriff auf den Zielcomputer bekommen müssen, gilt ansonsten das alte Mantra der Sicherheitsforscher: Keine dubiosen Anhänge öffnen oder auf Links in E-Mails klicken, dessen Ursprung man nicht ganz genau kennt.