Die Geschichte, wie ein Hacker fast das gesamte Internet geknackt hätte

Alles, was wir online machen, benötigt Sicherheit – dabei beruht diese auf erstaunlich kleinen, aber wirkmächtigen Programmen. 2024 erlebte die Welt einen Angriff auf ein solches Minizahnrad – aber ohne es wirklich zu merken (Bildquelle: Adobe Firefly, generative KI)

Das Internet hing im März 2024 am seidenen Faden. Auf Millionen Servern drohte sich ein jahrelang vorbereitetes Einfallstor zu öffnen. Denn die Geduld eines Phantoms schien sich endlich auszuzahlen. Nur der Zufall stoppte einen Plan, der fatale Folgen für die digitale Welt gehabt hätte.

Wir erzählen euch, wie ein bis heute Unerkannter unter dem Pseudonym Jia Tan beinahe unbeschränkten Zugriff auf die Daten von Milliarden Menschen erlangt hätte.

Ein Angriffsplan, der über Jahre reifte

»XZ Utils« – der Name eines unscheinbaren Programms, das weltweit auf unzähligen Servern läuft. Es dient als eines der kleinen Zahnrädchen im Maschinenraum von Linux-Systemen: Es verdichtet Daten, damit sie weniger Platz benötigen und schneller übertragen werden.

1:03 Hacknet: Die ungewöhnliche Hacker-Simulation lässt euch einen Mordfall aufklären

Mindestens so unverzichtbar ist der Fernzugriff, mit dem sich Programmierer und Administratoren aus der Ferne auf Server einloggen. Ohne diese Möglichkeit wäre die moderne digitale Welt unvorstellbar. Denn alles läuft heutzutage über Server, und sie müssen gewartet, betreut und aktualisiert werden. Aber vor ihnen sitzt heutzutage kein Mensch mehr – er kann Tausende Kilometer entfernt in einem Büro arbeiten.

Doch der dabei notwendige Fernzugriff hält eine Tücke bereit: Wie erkennt der Server, wer auf und mit ihm etwas anstellen darf?

Auftritt: »OpenSSH«, die weit verbreitete Software hierfür. Die SSH-Schnittstelle stellt quasi die Tür in den Server dar, durch die niemand Unbekanntes hindurch gelangen sollte. Den Schlüssel zu jedem dieser Systeme hat nur eine kleine Gruppe von Personen – eigentlich. Dass ausgerechnet ein Kompressionsprogramm mit dieser Tür zu tun hat, ist eine Eigenheit vieler Linux-Distributionen wie Debian: Sie koppeln OpenSSH quasi an die XZ-Bibliothek.

Der Entwickler von XZ Utils, Lasse Collin, betreute die Software über GitHub. Über die Online-Plattform kann jeder den Code einsehen – das nennt sich »Open Source«, übersetzt »offene Quelle«. Aber was letztlich Teil eines offiziellen Updates wird, das im nächsten Schritt Administratoren auf ihren Systemen einspielen, entscheiden nur wenige Vertraute – allen voran Collin –, doch er benötigte Hilfe.

Schluss mit schwachen Passwörtern: Apples neuer KI-Agent ändert Kennwörter bald eigenständig

von Martin Brinkmann

Seit über einem Jahrzehnt verwenden wir Passwörter gleich und das ist ein Problem: Nur 15 Prozent sind komplex genug

von Jusuf Hatic

Der Erfolg des kostenlosen Tools drohte ihn zu übermannen: Fehlermeldungen, Verbesserungsvorschläge, Anpassungen und so weiter. Das einst als Hobby begonnene Projekt wuchs ihm über den Kopf – und hier, Ende Oktober 2021, tritt das Phantom Jia Tan (auch als JiaT75 bekannt) auf. Denn die Geschichte beginnt nicht mit bösartigem Code, sondern mit Geduld und Hilfsbereitschaft.

Anonym und unauffällig beginnt der oder die Programmierende – wir kennen sein Geschlecht bis heute nicht –, bei XZ Utils zu helfen: Jia Tan meldet Fehler, entwickelt kleine Patches und erschleicht sich über Jahre das Vertrauen von Collin. Jia Tan stieg zum Top-Helfer auf und erlangte im Laufe der Zeit die Aura von Unersetzbarkeit. Schließlich rückte er in die Lücken auf, die der langsame, aber stete Rückzug des einstigen Erfinders hinterließ.

Collin räumte selbst ein, dass seine Ressourcen zu begrenzt seien und sich langfristig etwas ändern müsse. Da erschien es nur logisch, dem kompetenten, treuen und zuverlässigen Jia Tan mehr Verantwortung zu überlassen. Schon Ende 2022 pflegte Jia Tan eigenständig Änderungen ein, im März 2023 erschien die erste selbst veröffentlichte Version (research.swtch).

Eine perfide, beinahe unsichtbare Falle

Tan leitete die nächste Phase des augenscheinlich langgehegten Planes ein: In die Versionen XZ Utils 5.6.0 und 5.6.1 versteckte er eine manipulierte Datei. Ihr einziger Zweck: eine Hintertür einbauen, sobald das Update auf einem Server lief. Wobei das perfide Genie im Detail lag: Schlummernd im Hintergrund wartete sie, um sich im Geheimen zu aktivieren und in den Code auf den Systemen zu schleichen.

Das Ergebnis: Ein Angreifer mit einem speziellen Schlüssel konnte die beim Fernzugriff üblichen Sicherheitssysteme umgehen. Als sicheres Protokoll gepriesen, akzeptierte es jetzt einfach Befehle und eingeschleusten Programmcode – aufgrund des Verräters in Form von XZ Utils.

Verräterische 500 Millisekunden

Der Angriff wäre vielleicht monatelang unentdeckt geblieben, doch ein Entwickler bei Microsoft namens Andres Freund roch die brennende Lunte. Ihm fiel nämlich etwas auf: Log-ins auf seinen Testsystemen über das SSH-Protokoll dauerten plötzlich rund 500 Millisekunden länger als sonst.

Aus Verwunderung über einen vermuteten hartnäckigen Fehler wurde Misstrauen, gefolgt von blankem Entsetzen. Er legte das Konstrukt von Jia Tan frei und informierte umgehend die Welt.

Gemeinsam schloss die Community die Hintertür und atmete durch: Wäre die Manipulation unbemerkt geblieben, hätte wohl ein erheblicher Teil der weltweiten Linux-Server sperrangelweit offengestanden – und damit die Daten von Milliarden Menschen.

Mit diesen 9 Tricks macht ihr eure Passwörter wirklich sicher

Mahnung für die IT

Der Vorfall ermahnte die Open-Source-Gemeinschaft, welche Verantwortung inzwischen auf ihr lastet. In Anbetracht der globalen Nutzung ihrer Software in sicherheitskritischen Feldern stellt die Überforderung eines einzelnen Entwicklers mehr als ein Problem dar: es ist ein Risiko für die IT-Infrastruktur der Menschheit. Denn sie ruht auf einer Lage zerbrechlichen Vertrauens relativ weniger.

In der Folge ordneten Sicherheitsexperten Tans Attacke dem maximalen Schweregrad 10.0 zu – eine Adelung zweifelhafter Natur. 

Jia Tan selbst verschwand spurlos. Bis heute stellt seine oder ihre genaue Identität oder sogar, ob das Phantom allein arbeitete, ein Mysterium dar. Der Verdacht liegt nahe, staatliche Akteure hinter dem ausgeklügelten Plan zu vermuten – aber auch das bleibt selbst zwei Jahre später kaum mehr als eine Vermutung.