Passwort vergessen?  |  Anmelden
 |  Passwort vergessen?  |  Anmelden

Donnerstag, 18. Mai 2017, Ausgabe Nr. 20

Donnerstag, 18. Mai 2017, Ausgabe Nr. 20

IT-Sicherheit

Wer darf welche Software installieren?

Von Christiane Schulzki-Haddouti | 8. Mai 2015 | Ausgabe 19

Mit Trusted-Computing-Technologien werden PCs sicherer, denn nur noch vertrauenswürdige Software kann gebootet und installiert werden. Doch wer kontrolliert, was vertrauenswürdig ist? Microsoft, die Hardwarehersteller oder gar die Nutzer selbst?

Trusted-PC (2)
Foto: HP

Wer darf was am PC? Seit Windows 8 müssen PCs das sichere Starten per Secure Boot unterstützen. Das bringt derzeit Politik und Datenschützer zu der Frage, wer letztlich die Hoheit über einen PC besitzt.

Computer sind Universalmaschinen. Der Nutzer bestimmt, was er mit dem Rechner macht und was der Rechner tut. Bislang jedenfalls, denn neue Sicherheitstechniken sollen diese alte Freiheit stark beschränken – im Dienste einer guten Sache.

Widersprüchliche Positionen

„Trusted Computing“ heißt streng übersetzt „vertrauenswürdiges Rechnen“. Verwendet wird dieser Begriff für verschiedene Absicherungsmethoden in Desktops, Laptops, Tablets und Smartphones. Das Ziel: unbefugte Zugriffe mit Verschlüsselungsmethoden abwehren.

Seit über einem Jahrzehnt arbeitet die Industrie an dieser Technik. Hintergrund waren massive Beschwerden, dass Nutzer einfach Raubkopien auf ihrem Rechner installieren und speichern können. Aber auch Schadprogramme machen es sich auf ungesicherten Rechnern leicht gemütlich. Mit Trusted Computing (TC) lässt sich schon beim Hochfahren des Rechners mit dem sogenannten Secure Boot kontrollieren, welche Programme überhaupt geladen werden dürfen und können.

Dabei kann der Hardwarehersteller mit kryptografischen Schlüsseln festlegen, welche Software in Ordnung ist. Aber auch Microsoft kann bei den Rechnern, auf denen sein Betriebssystem Windows 8 und dessen Nachfolgesystem Windows 10 laufen soll, festlegen, welche weitere Software geladen werden darf. Softwareentwickler müssen sich hierfür bei Microsoft ein entsprechendes Zertifikat besorgen.

In den ersten Jahren der Einführung von TC mit Windows 8 sorgte das vor allem in der Open-Source-Szene für Unmut, da es bisweilen Schwierigkeiten gab, ein alternatives Betriebssystem wie Linux zu installieren. Microsoft reagierte und neuere, von Microsoft zertifizierte Linux-Distributionen können ohne Probleme auf den Rechnern eingerichtet werden. Zudem konnte bei den meisten für Wndows 8 zertifizierten Rechnern Secure Boot abgeschaltet werden.

Diese Freiheit gibt es aber bei neuen Geräten nicht mehr. Betroffen sind zunächst Smartphones und Tablets mit Windows 10 Mobile. Beobachter fürchten, dass dies nach und nach auch auf die Standardrechner ausgeweitet werden wird. Microsoft jedenfalls verlangt für Windows-10-Geräte nicht mehr zwingend die Ausschaltmöglichkeit für Secure Boot. Die mehrheitlich amerikanischen und asiatischen Hardwarehersteller werden also selbst entscheiden, ob sie die Mehrkosten für eine Ausschaltoption tragen wollen, wenn diese nicht mehr gefordert wird. Im Zweifel entscheidet das Kostenargument.

Der Durchschnittsnutzer dürfte mit dieser Entwicklung eigentlich nur dann Probleme bekommen, wenn er sich eine Raubkopie auf den Rechner lädt. Die könnte sich dann auf wunderbare Weise vielleicht nicht mehr nutzen lassen – und so ist das auch beabsichtigt. Aber auch eine ganz andere Klientel könnte mit den neuen Rechnern Probleme bekommen: staatliche Stellen, die jederzeit die vollständige Kontrolle über die Computer haben müssen – zumindest theoretisch.

Eine große Sorge, die durch die deutschen Sicherheitsbehörden geisterte, war die Möglichkeit eines von der NSA entwickelten und von Microsoft zwangsweise zertifizierten Schadprogrammes wie Stuxnet, das mit der neuen „Vertrauensarchitektur“ weitestgehend unentdeckbar sein Unwesen treiben könnte.

„Die Situation war schon in der Vergangenheit unbefriedigend“, erklärt der schleswig-holsteinische Landesdatenschützer Thilo Weichert. „So wurden und werden automatische Updates auf den Rechner eingespielt, womit der Nutzer die Katze im Sack kauft.“ Er verweist auf § 11 des Bundesdatenschutzgesetzes, wonach sinngemäß der Auftraggeber eine „absolute“ Kontrollmöglichkeit über die Datenverarbeitung haben muss, die der Auftragnehmer vornimmt. Für Weichert steht daher fest: „Wenn keine theoretische Kontrolle möglich ist, ist der Einsatz rechtlich verboten.“

BSI wies schon vor Jahren auf kritische Aspekte hin

Ein rechtliches Gutachten über den Einsatz von Trusted Computing hat bis heute keine Behörde erstellt. Die Bundesdatenschutzbehörde hat sich schon vor Jahren aus dem Diskussionsprozess zurückgezogen. Gleichwohl wies das Bundesamt für Sicherheit in der Informationstechnik (BSI) schon vor zwei Jahren auf „kritische Aspekte“ hin. Damals sprach es von einem „Verlust an Kontrolle über das verwendete Betriebssystem und die eingesetzte Hardware“, wobei man den damit verbundenen Risiken begegnen wolle.

Inzwischen hat das BSI erreichen können, dass „ein global agierender Hardwarehersteller“ auf die Anforderungen nach einer absoluten Kontrolliermöglichkeit eingeht. Weil solche speziellen Systeme aber nur direkt beim Hersteller angefragt werden können, sei der Bezug, so das BSI, „faktisch auf größere Unternehmen und Kunden mit sehr speziellen Anforderungen beschränkt“.

Im Beschaffungsalltag ist das Thema aber auch noch nicht wirklich aufgeschlagen. Denn die Behörden kümmern sich derzeit mehrheitlich darum, von Windows XP auf Windows 7 umzustellen. Von der Behördenrealität ist Windows 8 oder gar 10 noch Lichtjahre entfernt. Gleichwohl laufen schon seit Langem intensive Gespräche zwischen Microsoft, dem BSI und dem Bundesinnenministerium, das bei den Beschaffungsfragen den Hut aufhat.

Wie die VDI nachrichten im Gespräch mit dem National Security Officer von Microsoft Deutschland, Michael Kranawetter, jetzt erfahren konnten, besteht Microsoft keineswegs darauf, als alleinige Stelle zu bestimmen, welche Software auf den Rechner darf und welche nicht. Kranawetter: „Der Secure Boot ist so ausgelegt, dass ein Unternehmen oder eine Behörde auch selbst steuern kann, was gestartet werden kann und was nicht. Dann überlasse ich das nicht Microsoft, sondern kontrolliere das selbst.“

Damit spielt Microsoft den Ball elegant zurück an das Bundesinnenministerium. Das ziert sich aber bislang, sich dieser Herausforderung zu stellen. Nötig wäre nämlich der Aufbau einer neuen Organisationsstruktur, die Software prüft, freigibt und hierfür die Schlüssel verwaltet.

Im Grunde wäre der entsprechende Erfahrungsschatz beim BSI sowie den Stellen vorhanden, die jetzt schon die Schlüssel für den neuen Personalausweis und die Gesundheitskarte verwalten. Es fehlt allein offenbar der dedizierte politische Wille, die Kontrolle über die eigenen Rechner in den Behörden auch wirklich in die Hand zu nehmen.

INTERVIEW ZUM THEMA

VDI-Default

Position deutscher Unternehmen bei Trusted Computing stärken

Die jüngste Entwicklung im Bereich Trusted Computing sorgt für Sorgen in der Bundesregierung. Während die jedoch öffentlich beharrlich schweigt, sagt Lars Klingbeil, der Sprecher der SPD-Bundestagsfraktion für Digitales, in welche Richtung jetzt gearbeitet werden muss.

 

stellenangebote

mehr