Vor 10 Jahren: SSL-Kernschmelze
Das Zertifizierungssystem von Diginotar wird kompromittiert, mit drastischen Auswirkungen – auch weil die Firma den Fall monatelang vertuscht.
Die niederländische Sicherheitsfirma Fox-IT löste vor 10 Jahren einen großen Knall aus: Die Forscher fanden heraus, dass gefälschte SSL-Zertifikate genutzt wurden, um iranische Gmail-Nutzer auszuspionieren. Die Zertifikate stammten von der niederländischen Firma Diginotar, deren angeblich hochsichere Server einen recht einfachen Einbruch ermöglicht hatten – sie waren mit einem Standardpasswort gesichert. iX berichtete über den SSL-GAU: „Cyberkriminelle fälschen Zertifikate im großen Stil“.
Das ganze Ausmaß des Sicherheitsvorfalls bei Diginotar wurde erst ein Jahr später bekannt, als Fox-IT Ende Oktober 2012 den abschließenden Bericht zur „Operation Schwarze Tulpe“ vorlegte. Danach hatte Diginotar zwar auf dem Papier interne und externe Segmente ihrer Serversysteme eingerichtet, wodurch die Zertifikate vom Internet völlig abgekoppelt erzeugt werden sollten, doch in der Praxis sah dies ganz anders aus.