{
  "id": "morris-wurm-1988",
  "title": "Ein Wurm befällt Tausende Rechner — wie viele, hat nie jemand erhoben",
  "date": "1988-11-02",
  "summary": "Am Abend des 2. November 1988 setzte ein Doktorand ein Programm frei, das sich selbst über das Internet kopierte. Es befiel Rechner an Universitäten, Militärstützpunkten und Forschungslaboren — wie viele genau, konnte danach niemand sagen, weil keine Stelle dafür zuständig war.",
  "body": "Am Abend des 2. November 1988 wurde von einem Rechner am Massachusetts Institute of Technology ein Programm freigesetzt, das sich ohne weiteres Zutun über das Internet verbreitete.[^s2] Es befiel VAX-Rechner und Sun-3-Arbeitsplatzrechner mit Berkeley UNIX in den Fassungen 4.2 und 4.3 und nutzte dafür vier Wege zugleich: einen Debugbefehl im Mailprogramm sendmail, einen Pufferüberlauf im Dienst fingerd, bestehende Vertrauensbeziehungen zwischen Rechnern über rexec und rsh sowie das Raten von Passwörtern anhand einer Wortliste.[^s3] Betroffen waren unter anderem das Lawrence Livermore National Laboratory, das Ames Research Center der NASA, das MIT, die Purdue University und die Cornell University.[^s1] An den meisten Standorten war das Programm nach zwei bis drei Tagen beseitigt, vor allem durch Informatikbeschäftigte an Universitäten.[^s3]\n\nDas Internet verband zu diesem Zeitpunkt über 500 Netze und mehr als 60.000 Rechner.[^s1] Wie viele davon befallen waren, wurde nie amtlich erhoben — nach Feststellung des US-Rechnungshofs deshalb, weil dafür keine Organisation zuständig war.[^s1] Die verbreitete Zahl von über 6.000 Rechnern, die auch das Computer History Museum nennt, stammt aus Presseberichten und beruht auf einer Hochrechnung: Das MIT schätzte zehn Prozent seiner Maschinen als befallen, und dieser Anteil wurde auf das gesamte Netz übertragen.[^s5][^s1] Ein Forscher der Harvard University, der Nutzer über das Internet befragte, hielt 1.000 bis 3.000 für zutreffender.[^s1] Ähnlich unsicher sind die Kosten: Derselbe Forscher schätzte die Verluste auf 100.000 bis 10 Millionen Dollar, wobei das Ames Research Center seinen Aufwand auf 72.500 Dollar bezifferte und das Lawrence Livermore National Laboratory auf 100.000 Dollar, jeweils überwiegend verlorene Arbeitszeit.[^s1]\n\nNach dem Vorfall beauftragte die Forschungsbehörde DARPA das Software Engineering Institute der Carnegie Mellon University damit, eine Anlaufstelle für Sicherheitsvorfälle einzurichten; daraus wurde das Computer Emergency Response Team, das Schwachstellen an die Hersteller weitermeldet, ohne den Melder preiszugeben.[^s4] Dem Rechnungshof genügte das nicht: Er empfahl dem Office of Science and Technology Policy, eine behördenübergreifende Stelle für die Sicherheit des Internets einzurichten.[^s1] Robert Tappan Morris, damals Doktorand an der Cornell University, war der erste Verurteilte nach dem Computer Fraud and Abuse Act.[^s5] Das Berufungsgericht des zweiten Bezirks bestätigte das Urteil am 7. März 1991; erstinstanzlich lautete das Strafmaß auf drei Jahre Bewährung, 400 Stunden gemeinnützige Arbeit und 10.050 Dollar Geldstrafe, und die Kosten der Bekämpfung bezifferte das Gericht je Standort auf 200 bis über 53.000 Dollar.[^s2]\n\nÜber die Absicht war man sich schon damals nicht einig: RFC 1135 hielt im Dezember 1989 fest, dass die eine Seite die Freisetzung für ein Versehen hielt — das Programm sei beim Erproben entwichen —, während die andere sie für gezielt hielt, um auf bekannte, aber unbehobene Sicherheitslücken hinzuweisen.[^s3] Morris selbst gab später an, er habe die Größe des Internets abschätzen wollen.[^s5]",
  "themeId": "theme-sicherheit-des-netzes",
  "datePrecision": "day",
  "dateSources": [
    "s2",
    "s3"
  ],
  "verification": "verified",
  "sources": [
    {
      "key": "s1",
      "title": "Computer Security: Virus Highlights Need for Improved Internet Management (IMTEC-89-57)",
      "publisher": "U.S. General Accounting Office",
      "url": "https://www.gao.gov/assets/imtec-89-57.pdf",
      "accessedAt": "2026-09-22",
      "status": "live"
    },
    {
      "key": "s2",
      "title": "United States v. Robert Tappan Morris, 928 F.2d 504 (2d Cir. 1991)",
      "publisher": "Public.Resource.Org",
      "url": "https://law.resource.org/pub/us/case/reporter/F2/928/928.F2d.504.90-1336.774.html",
      "accessedAt": "2026-09-22",
      "status": "live"
    },
    {
      "key": "s3",
      "title": "RFC 1135: The Helminthiasis of the Internet",
      "publisher": "RFC Editor",
      "url": "https://www.rfc-editor.org/rfc/rfc1135",
      "accessedAt": "2026-09-22",
      "status": "live"
    },
    {
      "key": "s4",
      "title": "Fostering Growth in Professional Cyber Incident Management",
      "publisher": "Software Engineering Institute, Carnegie Mellon University",
      "url": "http://www.sei.cmu.edu/innovations/innovation_legacy_redirect/41019/",
      "accessedAt": "2026-09-22",
      "status": "live"
    },
    {
      "key": "s5",
      "title": "Internet History: Exponential Growth — Morris Worm",
      "publisher": "Computer History Museum",
      "url": "https://www.computerhistory.org/revolution/networking/19/378",
      "accessedAt": "2026-09-22",
      "status": "live"
    }
  ],
  "provenance": {
    "origin": "recherche",
    "reviewedBy": "recherche",
    "reviewedAt": "2026-09-22"
  },
  "seeAlso": [
    {
      "id": "tcp-ip-umstellung-1983",
      "note": "Fünf Jahre zuvor hatte sich dasselbe Netz auf die Protokolle verpflichtet, deren Dienste der Wurm ausnutzte."
    },
    {
      "id": "lets-encrypt-2015",
      "note": "Siebenundzwanzig Jahre später wurde Sicherheit zur Voreinstellung, statt Sache des einzelnen Betreibers zu bleiben."
    },
    {
      "id": "dsa-anwendbar-2024",
      "note": "Wieder die Frage, wer für das Netz als Ganzes zuständig ist — diesmal mit benannter Aufsicht."
    }
  ],
  "disputed": [
    {
      "claim": "Zahl der befallenen Rechner",
      "positions": [
        {
          "value": "über 6.000",
          "source": "s5"
        },
        {
          "value": "1.000 bis 3.000",
          "source": "s1"
        }
      ],
      "resolution": "Eine amtliche Erhebung gab es nicht. Die höhere Zahl ist eine Hochrechnung aus einer Stichprobe des MIT, die niedrigere stammt aus einer Umfrage unter Nutzern des Netzes."
    }
  ],
  "category": "history",
  "area": {
    "id": "internet",
    "title": "Internet"
  },
  "theme": {
    "id": "theme-sicherheit-des-netzes",
    "title": "Die Sicherheit des Netzes"
  },
  "referencedBy": [
    {
      "area": "internet",
      "id": "aws-ausfall-us-east-1-2025",
      "title": "Ein leerer DNS-Eintrag bei AWS legt am 20. Oktober 2025 weltweit Dienste lahm",
      "note": "Auch 1988 legte ein einzelner Fehler einen großen Teil des Netzes lahm."
    },
    {
      "area": "internet",
      "id": "dnssec-rootzone-2010",
      "title": "DNSSEC: Die Root-Zone des DNS geht signiert in Betrieb",
      "note": "Zwei Jahrzehnte zuvor zeigte ein Wurm, wie wenig Prüfung im Netz eingebaut war."
    }
  ],
  "zeitalter": [
    {
      "id": "neueste-geschichte",
      "name": "Neueste Geschichte",
      "art": "kette"
    },
    {
      "id": "neuzeit",
      "name": "Neuzeit",
      "art": "ueberlagerung"
    },
    {
      "id": "zeitgeschichte",
      "name": "Zeitgeschichte",
      "art": "ueberlagerung"
    }
  ],
  "verzeichnis": "https://footnoted.net/de/internet/epoche/epoch-gemeinsame-sprache/llms.txt#morris-wurm-1988",
  "license": "https://creativecommons.org/licenses/by/4.0/",
  "creditText": "Footnoted — footnoted.net",
  "usageInfo": "https://footnoted.net/de/lizenz/"
}