Ein offenbar von langer Hand vorbereiteter Angriff auf wichtige Teile der Internetinfrastruktur ist höchstwahrscheinlich durch die Aufmerksamkeit des 38-jährigen, in Deutschland geborenen Entwicklers Andres Freund verhindert worden . Nun sind Sicherheitsexperten auf der ganzen Welt dabei, das Vorgehen der Täter zu analysieren und Konsequenzen für die Zukunft zu ziehen.

Die bislang unbekannten Angreifer hatten die Komprimierungssoftware xz heimlich mit einer Hintertür versehen, die es unter bestimmten Voraussetzungen ermöglicht hätte, Millionen Systeme zu kompromittieren. Das Programm wird mit vielen Linux-Varianten vorinstalliert und ist daher auf Servern, Entwicklungsrechnern und sogar IoT-Geräten weitverbreitet. »Es ist einer dieser Momente, in denen wir uns die Stirn wischen und sagen: Wir haben wirklich Glück gehabt«, erklärt Satnam Narang, ein Sicherheitsforscher bei Tenable, der sich ausführlich mit dem Schadcode beschäftigt hat.

Dennoch rät das Bundesamt für Sicherheit in der Informationstechnik (BSI) derzeit Systemadministratoren zu überprüfen, ob auf ihren Linux-Systemen eine manipulierte xz-Version installiert ist – was in manchen Fällen durchaus möglich ist . Die Bonner Behörde stufte die IT-Bedrohungslage als »geschäftskritisch« ein.

Open-Source-Software im Fokus

Der Fall hat daher die Aufmerksamkeit wieder einmal auf die Sicherheit von Open-Source-Software gelenkt. Dabei handelt es sich um quelloffene, oft von Freiwilligen entwickelte Programme, die aufgrund ihrer Transparenz und Flexibilität die Grundlage für die Infrastruktur des Internets bilden. Viele solcher Projekte hängen von einem kleinen Kreis unbezahlter Programmierer ab.

Das Projekt xz wurde etwa lange Zeit von einem einzigen Entwickler verantwortet. Lasse Collin hatte jedoch in den vergangenen Jahren Probleme, mit den vielfältigen Anforderungen Schritt zu halten. In einer Nachricht, die im Juni 2022 auf einer Mailingliste veröffentlicht wurde, erklärte Collin, er habe mit »langfristigen psychischen Problemen« zu kämpfen. Gleichzeitig teilte er mit, dass er mit einem neuen Entwickler namens Jia Tan zusammenarbeite, der in Zukunft »vielleicht eine größere Rolle« übernehmen werde. Updateprotokolle der Open-Source-Software-Website Github zeigten, dass Tans Rolle sich schnell ausweitete. Der scheinbar uneigennützige Helfer schleuste schließlich eine fast unsichtbare Hintertür in xz ein.

Wer hinter dem Pseudonym steckt, ist bis heute unklar. Tan antwortete nicht auf Nachrichten, die an sein Gmail-Konto geschickt wurden. Vieles spricht jedoch dafür, dass es sich um einen Angreifer oder eine ganze Gruppe mit guter Ausbildung und vielen Ressourcen handelte. »Das ist kein Kindergartenwissen«, sagte Omkhar Arasaratnam, der Geschäftsführer der Open Source Security Foundation. Der Schadcode und die Methode, diese zu verbreiten, seien »unglaublich ausgefeilt«.

Die Cybersecurity and Infrastructure Security Agency (CISA), das US-Pendant zum BSI, ermahnt Unternehmen dazu, mehr Ressourcen in die Entwickler solcher Software zu investieren. Die Techbranche müsse Open-Source-Software nicht nur vor einem Einsatz im eigenen Betrieb überprüfen, sondern auch »einen Beitrag leisten, ein nachhaltiges Open-Source-Ökosystem zu schaffen, aus dem wir alle Nutzen ziehen«, sagte CISA-Berater Jack Cable der Nachrichtenagentur Reuters.

Ein Beispiel für solche Unterstützung ist ausgerechnet Andres Freund, der gerade an einer anderen Open-Source-Datenbank arbeitete, als er die kritische Hintertür entdeckte. Der aus Deutschland stammende Entwickler lebt in der Techmetropole San Francisco und wird von Microsoft bezahlt. Von seinem obersten Chef erhielt der Programmierer inzwischen großes Lob: Microsoft-CEO Satya Nadella würdigte in einem Beitrag auf X  den Programmierer für dessen Neugier und Können – und fügte hinzu: »Sicherheit ist ein Mannschaftssport – und diese Kultur brauchen wir überall«.