„Samy is my hero“: Der freundlichste Hack der Internetgeschichte

Im Oktober 2005 saß in Los Angeles ein 19-Jähriger namens Samy Kamkar vor seinem MySpace-Profil und ärgerte sich. Andere hatten hunderte Freunde, er nicht. Statt nette Nachrichten zu verschicken, tat er das, was Programmierer eben tun, wenn ihnen fad ist: Er suchte nach einer Abkürzung.

Die Abkürzung, die er fand, legte kurz darauf eine der größten Plattformen der Welt lahm.

Zwanzig Stunden bis zur Million

Samy schrieb ein kleines Skript und versteckte es in seinem eigenen Profil. Wer die Seite besuchte, führte den Code unbemerkt im Browser aus. Der Code tat zwei Dinge: Er schickte Samy eine Freundschaftsanfrage und schrieb den Satz „but most of all, samy is my hero" in das Profil des Besuchers. Und, das war der eigentliche Geniestreich: Er kopierte sich selbst in dieses Profil. Jeder Infizierte wurde zum Überträger.

Das Ergebnis war exponentiell, im wörtlichen Sinn. Nach einer Stunde hatte Samy eine Handvoll neuer Freunde, nach ein paar Stunden tausende. Nach rund 20 Stunden waren über eine Million Profile infiziert. MySpace, damals eine der meistbesuchten Websites der Welt, musste zeitweise offline gehen, um den Wurm loszuwerden. Wie es sich anfühlte, dabei zuzusehen, hat Vice Jahre später in dem lesenswerten Stück The MySpace Worm That Changed the Internet Forever nacherzählt.

Was da technisch passiert ist

Der Samy-Wurm war eine XSS-Attacke, ausgeschrieben Cross-Site Scripting. Das Prinzip ist unangenehm einfach: Eine Website nimmt Eingaben von Benutzern entgegen, ein Kommentar, ein Profiltext, ein Suchfeld, und gibt sie später ungeprüft wieder aus. Steckt in der Eingabe Code statt Text, führt der Browser des nächsten Besuchers diesen Code aus. Nicht auf dem Server des Angreifers. Im Browser deiner Besucher, unter dem Namen deiner Website.

MySpace war 2005 nicht naiv, die Plattform filterte gefährliche Befehle durchaus heraus. Samy schmuggelte seinen Code trotzdem durch, verteilt auf Stellen im Profil, an denen niemand Code vermutete. Er hat seine Tricks später selbst im Detail dokumentiert, und die Lektüre zeigt schön, dass so ein Angriff kein Frontalangriff ist, sondern ein Geduldsspiel gegen Filter. Wer tiefer einsteigen will: Die OWASP Foundation, so etwas wie die Instanz für Websicherheit, erklärt die verschiedenen XSS-Spielarten ausführlich.

Das Ende der Geschichte

Für Samy endete der Scherz mit einer Hausdurchsuchung. 2007 bekannte er sich schuldig und kam mit drei Jahren Bewährung, 90 Tagen gemeinnütziger Arbeit und einem weitgehenden Computerverbot davon. Sein Wurm hatte keine Passwörter gestohlen, keine Daten verkauft, keinen Schaden angerichtet außer einer Million höflicher Komplimente. Es war, wenn man so will, der freundlichste Hack der Internetgeschichte.

Heute ist Samy Kamkar ein angesehener Sicherheitsforscher. Die Lücke, die er ausnutzte, ist es leider auch noch: XSS steht bis heute in den OWASP Top 10, der Rangliste der kritischsten Sicherheitsrisiken für Webanwendungen. Zwanzig Jahre nach MySpace.

Warum dich ein 20 Jahre alter Scherz heute noch angeht

An dieser Stelle höre ich in Gesprächen oft denselben Einwand: „Meine Website ist doch viel zu klein, um angegriffen zu werden." Der Gedanke ist verständlich und leider falsch. Der Samy-Wurm brauchte einen Menschen mit Humor und Geduld. Die Angriffe von heute brauchen gar niemanden mehr: Bots durchkämmen das Netz rund um die Uhr nach Websites mit bekannten Schwachstellen, vollautomatisch. Dem Bot ist es herzlich egal, ob hinter der Lücke ein Konzern steckt oder eine Bäckerei.

Und anders als 2005 schreiben die Angreifer von heute keine Komplimente in Profile. Sie leiten Besucher auf Betrugsseiten um, greifen Formulardaten ab oder hängen Schadcode in Seiten, bis Google die Website mit einer Warnung versieht. Der Schaden trifft dann ausgerechnet die, die keine IT-Abteilung haben, die es am nächsten Morgen bemerkt.

Die gute Nachricht

XSS ist gut erforscht und gut verhinderbar. Die Grundregeln stehen seit Jahren fest: Eingaben prüfen, Ausgaben säubern, und dem Browser über eine Content Security Policy mitteilen, welchen Code er überhaupt ausführen darf. Und ganz grundsätzlich gilt: Je weniger bewegliche Teile eine Website hat, desto weniger kann sich jemand hineindrehen. Eine statisch generierte Seite ohne Login-Bereich und Plugin-Sammlung bietet schlicht weniger Angriffsfläche als ein vollgestopftes CMS.

Wie XSS-Attacken im Detail funktionieren, woran du eine gehackte Website erkennst und welche Schutzmaßnahmen sich für kleine Unternehmen wirklich auszahlen, habe ich im Blog meiner Webdesign-Agentur ausführlich aufgeschrieben: XSS-Attacken: Die unsichtbare Gefahr für deine Website. Dort findest du auch Antworten auf die häufigsten Fragen, etwa ob ein SSL-Zertifikat gegen solche Angriffe hilft (Spoiler: nein, das schützt nur die Übertragung).

Samy wollte 2005 nur ein paar Freunde. Heute wäre derselbe Trick ein Fall für Datenschutzbehörde, Versicherung und Anwalt. Die Zeiten, in denen eine Sicherheitslücke bloß peinlich war, sind vorbei. Es zahlt sich aus, das Thema ernst zu nehmen, bevor es jemand anderer tut.