Ein Wurm befällt Tausende Rechner — wie viele, hat nie jemand erhoben

Am Abend des 2. November 1988 wurde von einem Rechner am Massachusetts Institute of Technology ein Programm freigesetzt, das sich ohne weiteres Zutun über das Internet verbreitete.² Es befiel VAX-Rechner und Sun-3-Arbeitsplatzrechner mit Berkeley UNIX in den Fassungen 4.2 und 4.3 und nutzte dafür vier Wege zugleich: einen Debugbefehl im Mailprogramm sendmail, einen Pufferüberlauf im Dienst fingerd, bestehende Vertrauensbeziehungen zwischen Rechnern über rexec und rsh sowie das Raten von Passwörtern anhand einer Wortliste.³ Betroffen waren unter anderem das Lawrence Livermore National Laboratory, das Ames Research Center der NASA, das MIT, die Purdue University und die Cornell University.¹ An den meisten Standorten war das Programm nach zwei bis drei Tagen beseitigt, vor allem durch Informatikbeschäftigte an Universitäten.³

Das Internet verband zu diesem Zeitpunkt über 500 Netze und mehr als 60.000 Rechner.¹ Wie viele davon befallen waren, wurde nie amtlich erhoben — nach Feststellung des US-Rechnungshofs deshalb, weil dafür keine Organisation zuständig war.¹ Die verbreitete Zahl von über 6.000 Rechnern, die auch das Computer History Museum nennt, stammt aus Presseberichten und beruht auf einer Hochrechnung: Das MIT schätzte zehn Prozent seiner Maschinen als befallen, und dieser Anteil wurde auf das gesamte Netz übertragen.^5,1 Ein Forscher der Harvard University, der Nutzer über das Internet befragte, hielt 1.000 bis 3.000 für zutreffender.¹ Ähnlich unsicher sind die Kosten: Derselbe Forscher schätzte die Verluste auf 100.000 bis 10 Millionen Dollar, wobei das Ames Research Center seinen Aufwand auf 72.500 Dollar bezifferte und das Lawrence Livermore National Laboratory auf 100.000 Dollar, jeweils überwiegend verlorene Arbeitszeit.¹

Nach dem Vorfall beauftragte die Forschungsbehörde DARPA das Software Engineering Institute der Carnegie Mellon University damit, eine Anlaufstelle für Sicherheitsvorfälle einzurichten; daraus wurde das Computer Emergency Response Team, das Schwachstellen an die Hersteller weitermeldet, ohne den Melder preiszugeben.⁴ Dem Rechnungshof genügte das nicht: Er empfahl dem Office of Science and Technology Policy, eine behördenübergreifende Stelle für die Sicherheit des Internets einzurichten.¹ Robert Tappan Morris, damals Doktorand an der Cornell University, war der erste Verurteilte nach dem Computer Fraud and Abuse Act.⁵ Das Berufungsgericht des zweiten Bezirks bestätigte das Urteil am 7. März 1991; erstinstanzlich lautete das Strafmaß auf drei Jahre Bewährung, 400 Stunden gemeinnützige Arbeit und 10.050 Dollar Geldstrafe, und die Kosten der Bekämpfung bezifferte das Gericht je Standort auf 200 bis über 53.000 Dollar.²

Über die Absicht war man sich schon damals nicht einig: RFC 1135 hielt im Dezember 1989 fest, dass die eine Seite die Freisetzung für ein Versehen hielt — das Programm sei beim Erproben entwichen —, während die andere sie für gezielt hielt, um auf bekannte, aber unbehobene Sicherheitslücken hinzuweisen.³ Morris selbst gab später an, er habe die Größe des Internets abschätzen wollen.⁵