Am 2. November 1988 bestand das gesamte Internet aus rund 60.000 vernetzten Computern weltweit — kaum mehr als das, was heute ein einzelnes Bürogebäude betreibt. In jener Nacht fiel, ohne dass es jemand geplant hatte, etwa 10 % dieses gesamten Netzwerks aus. Es war kein Hardwarefehler und kein Stromausfall. Es war ein Programm mit weniger als 100 Zeilen Code, geschrieben von einem Doktoranden, der nur messen wollte, wie viele Rechner tatsächlich verbunden waren.
Ein Experiment, kein Angriff
Robert Tappan Morris war 23 Jahre alt und studierte an der Cornell University, als er schrieb, was wir heute als “Morris-Wurm” kennen. Seine Absicht war, wie er später erklärte, nicht zerstörerisch: Er wollte ein Programm, das sich selbst von Rechner zu Rechner über das Netzwerk kopiert, ohne Schaden anzurichten — nur um die tatsächliche Größe des Internets zu schätzen.
Zur Verbreitung nutzte das Programm drei damals bereits bekannte Schwachstellen:
- Einen vergessenen Debug-Modus in
sendmail, dem Programm, das auf den meisten Unix-Servern die E-Mail-Zustellung übernahm. - Einen Pufferüberlauf im Befehl
finger, der die Ausführung beliebigen Codes erlaubte, wenn man eine längere Eingabe als erwartet sendete. - Schwache oder wiederverwendete Passwörter, die der Wurm per Brute-Force gegen eine kurze Liste gängiger Kennwörter testete.
Keine dieser drei Schwachstellen war geheim. Systemadministratoren kannten sie. Niemand hatte nur damit gerechnet, dass sich jemand die Mühe machen würde, alle drei in dieser Größenordnung zu kombinieren.
Der Fehler, der alles zur Katastrophe machte
Hier kommt der Teil, an den sich kaum jemand erinnert: Morris hatte tatsächlich versucht, Chaos zu vermeiden. Der Wurm prüfte, ob ein Rechner bereits infiziert war, bevor er ihn erneut infizierte, um ihn nicht mit doppelten Kopien seiner selbst zu überlasten.
Das Problem: Morris befürchtete, Administratoren könnten ihre Systeme absichtlich “lügen” lassen und eine Infektion vortäuschen, um den Wurm loszuwerden. Also fügte er eine Regel hinzu: Selbst wenn ein Rechner angab, bereits infiziert zu sein, installierte sich das Programm trotzdem in 1 von 7 Fällen erneut — “sicherheitshalber”.
Genau diese eine Entscheidung — als Schutzmaßnahme gedacht — brachte alles zum Einsturz. In Netzwerken mit vielen verbundenen Rechnern konnte derselbe Computer den Wurm immer wieder von Dutzenden verschiedenen Nachbarn erhalten. Jede Reinfektion startete einen weiteren Prozess, der mehr Speicher und Rechenleistung verbrauchte, bis die Computer schlicht nicht mehr reagierten. Es war kein absichtlicher Denial-of-Service-Angriff, sondern ein Ressourcenleck durch eine schlecht kalibrierte Sicherheitsmaßnahme.
Was danach geschah
Der Schaden wurde je nach Quelle auf 100.000 bis 10 Millionen Dollar an verlorenen Arbeitsstunden geschätzt, die für die Bereinigung von Systemen an Universitäten, Militärlaboren und Forschungszentren in den gesamten USA aufgewendet wurden. Morris wurde die erste Person, die jemals unter dem neu erlassenen US-amerikanischen Computer Fraud and Abuse Act verurteilt wurde. Als direkte Folge des Vorfalls finanzierte die DARPA die Gründung des weltweit ersten CERT (Computer Emergency Response Team) an der Carnegie Mellon University — das Modell, dem heute noch fast jedes Incident-Response-Team der Welt folgt.
Und was hat das mit deinem WordPress zu tun?
Mehr, als man denkt. Drei Dinge haben sich in 35 Jahren nicht geändert:
- Bekannte Schwachstellen sind immer noch Angriffsvektor Nummer eins. Der Morris-Wurm nutzte keine geheime Schwachstelle — er nutzte veröffentlichte Fehler, die niemand rechtzeitig behoben hatte. Heute werden die meisten kompromittierten WordPress-Seiten über veraltete Plugins mit bereits veröffentlichten CVEs angegriffen, nicht durch exotische Techniken.
- Automatisierte Skalierung ist die Norm, nicht die Ausnahme. 1988 musste man ein Programm von Hand schreiben, um sich über Tausende Rechner zu verbreiten. Heute kann jeder einen Scanner starten, der Millionen von WordPress-Seiten nach derselben Schwachstelle durchsucht, ohne eine einzige Zeile Code zu schreiben.
- Selbst gut gemeinte Software kann Schaden anrichten, wenn niemand sie überwacht. Morris wollte das Internet nicht lahmlegen. Sein eigener Code geriet ihm, unbeaufsichtigt, wegen eines Details außer Kontrolle, das auf dem Papier vernünftig erschien.
Die Lehre aus 1988 gilt 2026 genauso: Der einzige echte Schutz gegen bekannte Schwachstellen und automatisiertes Scannen ist, dass etwas — oder jemand — ununterbrochen wacht, weil die Gegenseite auch nicht ruht. Genau deshalb gibt es heute Web Application Firewalls, automatische IP-Sperrsysteme und Echtzeit-Monitoring: Sie ersetzen nicht die menschliche Wachsamkeit, sie machen sie erst in dem Umfang möglich, den das Internet seit jener Novembernacht 1988 verlangt.