---
id: morris-wurm-1988
title: Ein Wurm befällt Tausende Rechner — wie viele, hat nie jemand erhoben
date: '1988-11-02'
datePrecision: day
dateSources:
  - s2
  - s3
summary: >-
  Am Abend des 2. November 1988 setzte ein Doktorand ein Programm frei, das sich
  selbst über das Internet kopierte. Es befiel Rechner an Universitäten,
  Militärstützpunkten und Forschungslaboren — wie viele genau, konnte danach
  niemand sagen, weil keine Stelle dafür zuständig war.
themeId: theme-sicherheit-des-netzes
verification: verified
sources:
  - key: s1
    title: >-
      Computer Security: Virus Highlights Need for Improved Internet Management
      (IMTEC-89-57)
    publisher: U.S. General Accounting Office
    url: https://www.gao.gov/assets/imtec-89-57.pdf
    accessedAt: '2026-09-22'
  - key: s2
    title: United States v. Robert Tappan Morris, 928 F.2d 504 (2d Cir. 1991)
    publisher: Public.Resource.Org
    url: https://law.resource.org/pub/us/case/reporter/F2/928/928.F2d.504.90-1336.774.html
    accessedAt: '2026-09-22'
  - key: s3
    title: 'RFC 1135: The Helminthiasis of the Internet'
    publisher: RFC Editor
    url: https://www.rfc-editor.org/rfc/rfc1135
    accessedAt: '2026-09-22'
  - key: s4
    title: Fostering Growth in Professional Cyber Incident Management
    publisher: Software Engineering Institute, Carnegie Mellon University
    url: http://www.sei.cmu.edu/innovations/innovation_legacy_redirect/41019/
    accessedAt: '2026-09-22'
  - key: s5
    title: 'Internet History: Exponential Growth — Morris Worm'
    publisher: Computer History Museum
    url: https://www.computerhistory.org/revolution/networking/19/378
    accessedAt: '2026-09-22'
disputed:
  - claim: Zahl der befallenen Rechner
    positions:
      - value: über 6.000
        source: s5
      - value: 1.000 bis 3.000
        source: s1
    resolution: >-
      Eine amtliche Erhebung gab es nicht. Die höhere Zahl ist eine Hochrechnung
      aus einer Stichprobe des MIT, die niedrigere stammt aus einer Umfrage
      unter Nutzern des Netzes.
provenance:
  origin: recherche
  reviewedBy: recherche
  reviewedAt: '2026-09-22'
seeAlso:
  - id: tcp-ip-umstellung-1983
    note: >-
      Fünf Jahre zuvor hatte sich dasselbe Netz auf die Protokolle verpflichtet,
      deren Dienste der Wurm ausnutzte.
  - id: lets-encrypt-2015
    note: >-
      Siebenundzwanzig Jahre später wurde Sicherheit zur Voreinstellung, statt
      Sache des einzelnen Betreibers zu bleiben.
  - id: dsa-anwendbar-2024
    note: >-
      Wieder die Frage, wer für das Netz als Ganzes zuständig ist — diesmal mit
      benannter Aufsicht.
---

Am Abend des 2. November 1988 wurde von einem Rechner am Massachusetts Institute
of Technology ein Programm freigesetzt, das sich ohne weiteres Zutun über das
Internet verbreitete.[^s2] Es befiel VAX-Rechner und Sun-3-Arbeitsplatzrechner
mit Berkeley UNIX in den Fassungen 4.2 und 4.3 und nutzte dafür vier Wege
zugleich: einen Debugbefehl im Mailprogramm sendmail, einen Pufferüberlauf im
Dienst fingerd, bestehende Vertrauensbeziehungen zwischen Rechnern über rexec
und rsh sowie das Raten von Passwörtern anhand einer Wortliste.[^s3] Betroffen
waren unter anderem das Lawrence Livermore National Laboratory, das Ames
Research Center der NASA, das MIT, die Purdue University und die Cornell
University.[^s1] An den meisten Standorten war das Programm nach zwei bis drei
Tagen beseitigt, vor allem durch Informatikbeschäftigte an Universitäten.[^s3]

Das Internet verband zu diesem Zeitpunkt über 500 Netze und mehr als 60.000
Rechner.[^s1] Wie viele davon befallen waren, wurde nie amtlich erhoben — nach
Feststellung des US-Rechnungshofs deshalb, weil dafür keine Organisation
zuständig war.[^s1] Die verbreitete Zahl von über 6.000 Rechnern, die auch das
Computer History Museum nennt, stammt aus Presseberichten und beruht auf einer
Hochrechnung: Das MIT schätzte zehn Prozent seiner Maschinen als befallen, und
dieser Anteil wurde auf das gesamte Netz übertragen.[^s5][^s1] Ein Forscher der
Harvard University, der Nutzer über das Internet befragte, hielt 1.000 bis 3.000
für zutreffender.[^s1] Ähnlich unsicher sind die Kosten: Derselbe Forscher schätzte
die Verluste auf 100.000 bis 10 Millionen Dollar, wobei das Ames Research Center seinen
Aufwand auf 72.500 Dollar bezifferte und das Lawrence Livermore National
Laboratory auf 100.000 Dollar, jeweils überwiegend verlorene Arbeitszeit.[^s1]

Nach dem Vorfall beauftragte die Forschungsbehörde DARPA das
Software Engineering Institute der Carnegie Mellon University damit, eine
Anlaufstelle für Sicherheitsvorfälle einzurichten; daraus wurde das Computer
Emergency Response Team, das Schwachstellen an die Hersteller weitermeldet, ohne
den Melder preiszugeben.[^s4] Dem Rechnungshof genügte das nicht: Er empfahl dem
Office of Science and Technology Policy, eine behördenübergreifende Stelle für
die Sicherheit des Internets einzurichten.[^s1] Robert Tappan Morris, damals Doktorand an der Cornell University,
war der erste Verurteilte nach dem Computer Fraud and Abuse Act.[^s5] Das
Berufungsgericht des zweiten Bezirks bestätigte das Urteil am 7. März 1991;
erstinstanzlich lautete das Strafmaß auf drei Jahre Bewährung, 400 Stunden
gemeinnützige Arbeit und 10.050 Dollar Geldstrafe, und die Kosten der Bekämpfung
bezifferte das Gericht je Standort auf 200 bis über 53.000 Dollar.[^s2]

Über die Absicht war man sich schon damals nicht einig: RFC 1135 hielt im Dezember 1989 fest, dass die eine Seite die Freisetzung für ein Versehen hielt — das Programm sei beim Erproben entwichen —, während die andere sie für gezielt hielt, um auf bekannte, aber unbehobene Sicherheitslücken hinzuweisen.[^s3] Morris selbst gab später an, er habe die Größe des Internets
abschätzen wollen.[^s5]

Ende der Datei: 5 Quellen.