Zusammenfassung

  • RFC 1135 dokumentierte unterschiedliche Einschätzungen zu Absicht und Verantwortung nach dem Vorfall. Das Memo ist informativ, weder Standard noch ein von der gesamten Internetgemeinschaft übernommener Verhaltenskodex.
  • Das MIT-Team unterschied zwischen der Erklärung von Schwachstellen und Algorithmen und der Veröffentlichung dekompilierten Codes. Die Forderung der CPSR, Fehlerbeschreibungen zu veröffentlichen, entschied nicht automatisch die separate Codefrage.
  • Die Dokumente erlauben eine Rekonstruktion der damaligen Entscheidungen und ihrer Beweisgrenzen. Sie belegen weder eine allgemeine Offenlegungspolitik noch eine vollständige Presseschau oder die Übernahme einer Position durch alle Beteiligten.

„Offenlegung“ fasste zwei Entscheidungen zusammen

Am Nachmittag des 5. November 1988 berieten Forscher am MIT darüber, ob sie den dekompilierten Wurmcode veröffentlichen sollten. In der Chronik des Teams steht, dass sie sich während der akuten Krise dagegen entschieden. Zugleich wollten sie die Funktionsweise des Programms nicht verschweigen: Die Algorithmen sollten erklärt werden, damit andere den Vorfall nachvollziehen konnten. Die Begründung war praktisch. Ein lauffähiges Programm für eine schädliche Änderung zu bearbeiten und neu zu kompilieren, erforderte weniger Aufwand, als es aus einer Beschreibung nachzubauen.

Das war keine einfache Wahl zwischen Geheimhaltung und Offenheit. Eine technische Beschreibung, eine Codeauflistung, ein Abwehr-Patch und eine Kopie für einen begrenzten Empfängerkreis sind unterschiedliche Dinge, mit unterschiedlichen Zielgruppen und Risiken. Der MIT-Bericht ließ eine spätere breitere Verteilung offen, wenn betroffene Standorte Zeit gehabt hätten, Korrekturen einzuspielen. Das war die dokumentierte Entscheidung eines Teams in einer konkreten Lage, weder ein allgemeiner Verwaltungsbefehl des MIT noch eine Regel für alle Internetbetreiber. Die MIT-Chronik hält diese Unterscheidung fest.

Im Dezember 1989 stellte Jon Reynolds in RFC 1135 weitere Positionen nebeneinander: Erklärungen des Internet Activities Board (IAB), der National Science Foundation (NSF), des MIT und der Computer Professionals for Social Responsibility (CPSR). Das Dokument bezeichnet sich als Bericht über ein Ereignis im Internet und sagt ausdrücklich, dass es keinen Standard festlegt. Darin liegt sein Wert als Quelle für den Dissens; zugleich begrenzt dieser Status, was sich daraus ableiten lässt. RFC 1135 archiviert Positionen. Das Memo ist keine Abstimmung, die eine Übernahme durch die Gemeinschaft belegt.

Vier Stellungnahmen ergaben keinen gemeinsamen Kodex

RFC 1087 des IAB beschrieb das Internet im Januar 1989 als gemeinsam genutzte Forschungsressource und verband berufliche Verantwortung mit ihrer fortgesetzten Verfügbarkeit. Als unzulässige Zwecke nannte sie unter anderem absichtlichen unbefugten Zugriff, Störung, Ressourcenverschwendung, Beschädigung der Informationsintegrität und Verletzung der Privatsphäre. Sie warnte außerdem, netzweite Experimente könnten Menschen außerhalb der Forschung betreffen; Schutzmaßnahmen könnten ihrerseits schaden, wenn sie den freien Informationsfluss behinderten. Der Text verband Zurückhaltung mit Offenheit, richtete aber keine zentrale Stelle ein, die jeden lokalen Disziplinarfall entscheiden sollte. RFC 1087 ist ausdrücklich eine IAB-Politikerklärung.

Anders fasste Reynolds eine Stellungnahme aus dem November 1988 zusammen, die ein Beratungsgremium einer NSF-Abteilung abgegeben hatte. Laut RFC 1135 bezog sie Fahrlässigkeit ebenso ein wie absichtliche Störung und ermunterte Organisationen, die Netzwerke betrieben, eigene ethische Regeln und Disziplinarverfahren zu veröffentlichen. Die Empfehlung verwies auf die Verantwortung der Organisationen für konkrete Systeme. Der in RFC 1135 überlieferte Wortlaut schuf keine universelle Durchsetzungsstelle.

Die MIT-Regeln zur verantwortungsvollen Computernutzung bestanden schon vor dem Wurm. RFC 1135 beschreibt sie als Campusregeln zu vorgesehenem Gebrauch, Datenschutz, Sicherheit, Systemintegrität und geistigem Eigentum. Eine Universität kann ihre Mitglieder und Systeme regulieren. Daraus wird keine Internet-weite Rechtsnorm.

Die CPSR sprach sich laut Reynolds’ Zusammenfassung für die Veröffentlichung von Beschreibungen bekannter Schwachstellen aus und wandte sich gegen deren Verschweigen. Das ist nicht zwangsläufig die Forderung, jeden wiederverwendbaren Code sofort offenzulegen. Eine Fehlerbeschreibung kann Prüfung und Behebung ermöglichen, ohne denselben Bauplan wie eine lauffähige Implementierung zu liefern. Als Beleg liegt hier die Position vor, die RFC 1135 der CPSR zuschreibt. Ohne den vollständigen Originaltext sollte sie weder als lückenloses Zitat noch als Haltung jedes Mitglieds dargestellt werden.

Die MIT-Entscheidung und der Aufwand für eine Wiederverwendung

Die zeitgenössische Analyse von Mark Eichin und Jon Rochlis macht die offene Grenze greifbarer. Das Team wollte die verwendeten Algorithmen erklären, hielt aber fest, dass es seine dekompilierte Fassung während der unmittelbaren Reaktion nicht veröffentlichen würde. Nicht jede Erklärung galt als gefährlich. Der konkrete Punkt war, dass ein lauffähiges, veränderbares Artefakt den Aufwand senken konnte, eine schädliche Variante herzustellen.

Auch diese Einschätzung hat Grenzen. Sie beschreibt die Entscheidung eines Teams zu einem bestimmten Zeitpunkt und misst nicht, was im Alternativverlauf geschehen wäre. Sie beweist weder, dass eine öffentliche Codefreigabe eine weitere Infektion ausgelöst hätte, noch, dass die Zurückhaltung alle vorhandenen Kopien beseitigte. Das Team erwog eine breitere Verteilung, nachdem Standorte Zeit zum Patchen gehabt hätten. Die Entscheidung war damit zeitabhängig: Das Risiko einer leichteren Wiederverwendung konnte sich verändern, sobald betroffene Systeme eine Schutzmöglichkeit hatten.

Eugene Spaffords technische Untersuchung bietet eine weitere zeitgenössische Analyse auf Grundlage untersuchter Exemplare. Sie hilft zu verstehen, was Forschende untersuchten, ist aber weder eine vollständige Vorfallzählung noch ein neutrales Urteil über jede institutionelle Erklärung. Veröffentlichte technische Beschreibungen, dekompilierter Code, verwahrte Exemplare und Patches sind nicht ein und dasselbe Objekt namens „der Wurm“.

Auch die Presse setzte eine Grenze

RFC 1135 widmete der Berichterstattung einen eigenen Abschnitt. Er ist Reynolds’ Bewertung, keine vollständige Erhebung der Presse. Der MIT-Bericht ergänzt eine enger begrenzte lokale Erfahrung: Das Nachrichtenbüro bündelte Anfragen, und eine Pressekonferenz half den Forschenden, ihre technische Arbeit fortzusetzen. Das Team sagte, es sei nicht abgelenkt worden, räumte aber ein, dass andere Gruppen mit der Aufmerksamkeit der Presse größere Schwierigkeiten hatten.

Beide Quellen schließen einander nicht aus. Sie zeigen, dass die Erfahrung je nach Gruppe und Kommunikationsweg variierte. Aus dem Material folgt weder, dass Journalistinnen und Journalisten insgesamt die Reaktion verzögerten, noch, dass die Berichterstattung immer verantwortungsvoll war. Belastbar ist eine lokale institutionelle Geschichte: Wer Anfragen filterte, wie Forschende Analysezeit zu schützen versuchten und was die Quellen nicht messen.

Ein Streit über Zuständigkeit, nicht nur über Informationen

Jeder in RFC 1135 genannte Akteur hatte einen anderen Zuständigkeitsbereich. Das IAB konnte Leitlinien für die technische Gemeinschaft veröffentlichen; die NSF sprach durch ein Beratungsgremium; das MIT konnte Regeln für seine Systeme und Forschenden festlegen; die CPSR konnte eine berufsethische Position vertreten. Betreiber mussten jedoch selbst entscheiden, was sie auf ihren Rechnern installierten und wie sie diese schützten. Eine veröffentlichte Stellungnahme beweist weder ihre Übernahme durch die Betreiber noch die Entscheidungsbefugnis einer Organisation für alle.

Hier ist Heng Lus spätere Notiz 64 ein redaktionelles Deutungswerkzeug, keine historische Quelle: Eine Koordinationsspezifikation zu veröffentlichen bedeutet nicht, dass sie in laufenden Systemen übernommen wurde. Die Notiz stammt aus dem Jahr 2026 und erklärt die Entscheidung von 1988 nicht. Sie hilft nur, eine Frage zu formulieren, die die zeitgenössischen Quellen offenlassen: Wo, durch wen und mit welcher Wirkung wurde ein geschriebener Standpunkt zur Praxis?

Quellen