In den frühen Morgenstunden eines Montags im August ließ sich ein Hotmail-Postfach über eine Webseite öffnen, die fast zu schlicht wirkte, um gefährlich zu sein. Man gab eine Adresse ein, reichte die kleine Zeichenfolge „eh“ weiter, und schon konnte sich das Konto im Browser öffnen — mit privaten E-Mails, die dort lagen, als hätte es nie ein Schloss gegeben.[1][2]
1999 machten Hacker eine Hotmail-Schwachstelle öffentlich, durch die Millionen von Konten über einen einfachen Browser-Exploit mit „eh“ offengelegt wurden. Microsoft bestritt, dass es sich um eine absichtliche Hintertür handelte, und lieferte nach Bekanntwerden der Sicherheitslücke eilig Korrekturen aus.
Hotmail war inzwischen ein lohnendes Ziel geworden. Microsoft hatte den Webmail-Dienst im Dezember 1997 für 450 Millionen Dollar gekauft, in MSN integriert und bediente im Sommer 1999 bereits zig Millionen Nutzer, die ihre E-Mails von nahezu jedem vernetzten Computer aus abrufen konnten.[1] CNN bezifferte die Zahl der Abonnenten auf mehr als 40 Millionen; andere Berichte gingen sogar von bis zu 50 Millionen aus.[4][5]
Die offengelegten Postfächer waren keineswegs nur Theorie. CNN berichtete, dass mehrere Webadressen lediglich nach einem Hotmail-Benutzernamen fragten. Sobald ein Name eingegeben war, erschien das Konto, und Besucher konnten in manchen Fällen Nachrichten unter der Identität dieser Person lesen, weiterleiten oder versenden.[4] Wired beschrieb den Exploit als ein paar Zeilen einfachen HTML-Codes, der ein Hotmail-Anmeldeskript namens „start“ zusammen mit dem Passwort „eh“ verwendete.[2]
Der winzige Code, der einen riesigen Dienst öffnete
Öffentlich bekannt wurde die Sicherheitslücke durch die schwedische Zeitung Expressen, nachdem tagelang Gerüchte die Runde gemacht hatten.[5] Wired berichtete, dass eine Gruppe namens Hackers Unite die Verantwortung dafür übernahm, die Lücke publik gemacht zu haben, auch wenn Wired die Identitäten hinter dieser Behauptung nicht bestätigen konnte.[2]
Lasse Ljung aus Göteborg, der online den Spitznamen DarkWing verwendete, sprach im Internet Relay Chat für die Gruppe. Er sagte, Hackers Unite bestehe aus einem schwedischen Staatsbürger und sieben Amerikanern, und stellte den Einbruch als Protest gegen Microsofts Sicherheit dar. „Wir haben diesen Hack nicht gemacht, um zu zerstören“, sagte er Wired, „wir wollen der Welt zeigen, wie schlecht die Sicherheit bei Microsoft wirklich ist.“[2]
Die öffentlich zugänglichen Werkzeuge waren verblüffend klein. The Guardian beschrieb Websites in Großbritannien und Schweden, auf denen neun Codezeilen standen, mit denen Browser Microsofts Sicherheitssystem umgehen konnten.[5] SmarterMSP fasste den Trick später in seiner einprägsamsten Form zusammen: Man besuchte eine Seite, die das Anmeldeskript ausnutzte, tippte eine Hotmail-Adresse und das Passwort „eh“ ein, und das Postfach war erreichbar.[1]
Microsoft wies die Vorstellung zurück, Ingenieure hätten absichtlich eine Hintertür hinterlassen. Rob Bennett, Marketingdirektor von MSN, sagte Wired, an diesen Vorwürfen sei „nichts dran“, und beschrieb den Fehler stattdessen als „ein unbekanntes Sicherheitsproblem“.[2] Richard Smith, Computersicherheitsspezialist und Präsident von Phar Lap Software, gab CNN eine deutlich knappere Diagnose: „Es ist schlicht ein Fehler auf den Hotmail-Servern.“[3]
Andere Erklärungen folgten derselben dünnen Spur aus URLs und Skripten. Jon Thompson, Administrator einer Website, die den Exploit hostete, sagte MSNBC.com, Bekannte hätten seit etwa acht Wochen von der Schwachstelle gewusst und vermutet, Microsofts neuer Passport-Anmeldedienst sei beteiligt. Microsoft-Projektmanagerin Deanna Sanford erklärte, der Fehler habe nichts mit Passport zu tun, wusste aber nicht, wie lange er bereits bestanden hatte.[2]
Eine weitere Spur führte zu Michael Nobilio, einem Programmierer aus New Jersey, der eine harmlose JavaScript-Abkürzung geschrieben hatte, um seinen Hotmail-Benutzernamen als Cookie zu speichern. Nobilio sagte, sein Werkzeug habe weiterhin ein Passwort verlangt. Smith vermutete, jemand könnte bemerkt haben, dass sich eine verwandte URL missbrauchen ließ, um ohne Passwort auf Konten zuzugreifen.[3]
Als die Sicherheitslücke öffentlich war, reagierte Microsoft schnell. CNN berichtete, Hotmail sei für etwa eine Stunde vom Netz genommen worden, während das Unternehmen reagierte und Code hinzufügte, um künftige Angriffe zu blockieren.[4] Wired berichtete, Microsoft habe um 2 Uhr nachts pazifischer Zeit mit der Arbeit begonnen, bis 10 Uhr eine erste Korrektur eingespielt und gegen Mittag eine verwandte Variante behoben, während die Änderungen über die Hotmail-Server verteilt wurden.[2] SmarterMSP fasst die Reparatur so zusammen, dass sie innerhalb von zwei Stunden erfolgte, nachdem das Problem bekannt war.[1]
Das Merkwürdige daran war, wie unspektakulär der Schlüssel selbst wirkte. Am Rand des Webmail-Booms ließ sich einer der größten privaten Räume des Internets mit zwei Kleinbuchstaben öffnen, die in einem Browserfeld standen: eh.
