Passwort vergessen?  | 
 |  Passwort vergessen?  | 
Suche
  • Login
  • Login

Donnerstag, 19. Oktober 2017, Ausgabe Nr. 42

Donnerstag, 19. Oktober 2017, Ausgabe Nr. 42

Datensicherheit

IT-Systeme müssen kontrollierbar bleiben

Von Christiane Schulzki-Haddouti | 27. November 2015 | Ausgabe 48

Die Bundesregierung will die 2012 verabschiedeten Eckpunkte zur Sicherung von Computersystemen unter dem Etikett Trusted Computing bis 2016 überarbeiten. Darin hatte sie eine „uneingeschränkte Kontrollierbarkeit“ von IT-Systemen verlangt, die im Energiesektor, in Banken oder beim Militär zum Einsatz kommen. Bisher konnte die Bundesregierung ihre Forderungen nur ansatzweise umsetzen.

trust BU
Foto: PantherMedia/Henrik Dolle

Wer ist Herr über den Rechner? Die Bundesregierung fordert, dass Anwender die volle Kontrolle haben müssen, doch das ist in der Praxis nicht immer gewährleistet.

Wann ist ein Rechner uneingeschränkt vom Nutzer kontrollierbar? Dann, wenn kein nicht-überprüfbarer Code ausgeführt werden kann, wenn Hard- und Software nur bekannte Funktionen enthalten und wenn Fernzugriffe und Updates nur kontrolliert erfolgen. Das fordert die Bundesregierung in einem Eckpunktepapier von 2012 zu Trusted-Computing-Technologien, die Rechner vor Manipulationen schützen sollen. Doch sie sind nicht unumstritten (s. VDI nachrichten 19/15).

Drei Ebenen der Rechnerfremdkontrolle

Jetzt steht die Überarbeitung dieses Eckpunktepapiers an. Dies kündigte das Bundesinnenministerium in einer Antwort auf eine schriftliche Anfrage des grünen Bundestagsabgeordneten Konstantin von Notz an. Dass aber eine einfache Erweiterung des Eckpunktepapiers genügen wird, bezweifelt von Notz: „Ob es tatsächlich zielführend ist, lediglich auf die bisherigen Eckpunkte von 2012 aufzubauen oder ob es angesichts gänzlich neuer Technologien und Datenverarbeitungswege nicht angemessen wäre, gänzlich neue Eckpunkte vorzulegen, bleibt abzuwarten.“

In der Praxis hat sich seit drei Jahren nämlich wenig an der Lage verbessert: Eine Ebene unterhalb des Betriebssystem ist das Bios bzw. sein Nachfolger UEFI angesiedelt. Diese Software regelt, welche Programme in welcher Reihenfolge hochgefahren, also „gebootet“ werden. Dort setzt seit einiger Zeit der Sicherungsmechanismus Secure Boot an. Er sorgt dafür, dass der Rechner nur ganz bestimmte Programme hochfährt. Damit soll verhindert werden, dass Schadsoftware schon beim Rechnerstart aktiviert wird.

Die Sicherung basiert darauf, dass Microsoft über ein kryptografisches Verfahren bestätigt, ein bestimmtes Programm zu kennen und für den Start zuzulassen. In der Vergangenheit sorgte ein Testlauf von Microsoft für Verunsicherung, der dazu führte, dass sich eine ganze Reihe von Rechnern nicht mehr starten ließen. Weil der Boot-Vorgang außerdem verschlüsselt erfolgt, kann ein externer Prüfer nicht mehr erkennen, was genau alles für den Start zugelassen wird. Deshalb verlangt die Bundesregierung, dass man Secure Boot ausschalten kann.

Doch bei neuen Rechnern, die mit vorinstalliertem Windows 10 ausgeliefert werden, könnte der Aus-Schalter bereits fehlen, weil Microsoft diesen Schalter von den Rechner-Herstellern nicht mehr verlangt. Das BSI hat mit mehreren Herstellern schon vor einiger Zeit darüber verhandelt, konnte aber allein den US-Rechnerbauer HP überzeugen, den Aus-Schalter beizubehalten. Immerhin finden sich die Forderungen aus den Eckpunkten inzwischen in den Beschaffungsanforderungen der Bundesverwaltung wieder.

Auch prüft die Bundesregierung, ob eine alternative Zertifizierungsinfrastruktur für Secure Boot aufgebaut werden kann, um den freien Marktzugang bei mit Trusted Computing geschützten Plattformen zu sichern. An Microsoft sollte das nicht scheitern, denn bereits im Sommer hatte Michael Kranawetter, verantwortlich für IT-Sicherheit bei Microsoft Deutschland, gegenüber den VDI nachrichten betont, dass das Softwarehaus nicht darauf bestehe, die Schlüssel für Secure Boot alleine zu verwalten. Bislang konnten sich Bundesinnen- und Bundeswirtschaftsministerium aber in dieser Sache nicht auf ein gemeinsames Vorgehen einigen.

Den Grünen geht die jetzt angekündigte Prüfung nicht weit genug: Konstantin von Notz stimmt es „skeptisch“, dass die Bundesregierung erst danach bewerten wolle, ob es einen tatsächlichen Handlungsbedarf gebe, obwohl dieser für ihn schon jetzt klar ersichtlich sei. Der netzpolitische Sprecher der SPD im Bundestag, Lars Klingbeil, hingegen erklärt: „Dies wäre ein wichtiger Beitrag dazu, dass nicht Unternehmen wie Microsoft de facto die alleinige Kontrolle über die Systeme bekommen.“ So müsse der Eigentümer bzw. Anwender die Kontrolle über seine Hardwareplattform behalten können und frei darüber bestimmen können, welche Software er installiert.

Klingbeil betont aber auch, dass die Bundesregierung freie Softwarelösungen (Open Source) unterstützen müsse, „da diese größere Transparenz, Überprüfbarkeit und Anpassbarkeit der Implementierung auch von Sicherheitsfunktionen wie Trusted Computing bieten“. Microsoft und die anderen in der Trusted-Computing-Group vertretenen Unternehmen sollten nun „dringend“ die Voraussetzungen schaffen und entsprechende unabhängige Zertifizierungsinstanzen ermöglichen.

Eine weitere Lösung besteht in einer offenen Firmware namens Coreboot. Dabei handelt es sich um eine Entwicklungsumgebung, mit der sich ein quelloffenes Bios programmieren lässt. Das BSI unterstützt Coreboot, weil es „eine größere Transparenz, Kontrollierbarkeit und Anpassbarkeit der Implementierung auch von Sicherheits- oder Trusted-Computing-Funktionen bietet“. Auf Nachfrage erklärte ein BSI-Sprecher, dass das Amt ein Testsystem betreibt, das automatisierte Coreboot-Installationen baut, testet und die Ergebnisse der Community zur Verfügung stelle. Überdies fördert das BSI die Entwicklung von Hardware, die Coreboot enthält.

Konstantin von Notz jedenfalls fordert, dass Datenschutzkonzepte wie „Privacy by Design“ und „Security by Design“ in der öffentlichen Verwaltung verbindlich vorgeschrieben werden müssten. Notz: „Dabei muss es nicht nur für Betreiber, sondern auch für Hersteller von Hard- und Software Anreize zur Qualitätssicherung geben, beispielsweise durch Haftungsverpflichtungen.“

stellenangebote

mehr