Sie sind hier: HomeThemenSmart ComponentsSonstige

Spionage-Chips: »Security ist der Berliner Flughafen der deutschen IT-Politik«

»Der `chinesische Hacker´ lenkt vom eigentlichen Thema ab«, sagt der IT-Sicherheitsexperte Professor Dr. Hartmut Pohl. Hacking, Sabotieren und Spionieren praktizieren alle Industriestaaten. Schutz gibt es nur durch professionelle IT-Security und letztlich eine europäische Mikroelektronik, so Pohl.

SoftScheck Bildquelle: © SoftScheck

Professor Hartmut Pohl sieht die aktuelle IT-Sicherheit als mangelhaft an.

SmarterWorld: Herr Pohl, seit Wochen gibt es Medienberichte, dass in weithin bei Apple und Amazon in Cloud-Servern eingesetzten Mainboards der Firma Supermicro chinesische Spionagechips eingesetzt worden seien. Während des Herstellungsprozesses hätten chinesische Armee-Angehörige diese in China widerrechtlich eingebaut. Fast dreißig amerikanische Unternehmen wären von diesem Supply-Chain-Hack betroffen, schrieb Bloomberg. Haben wir es hier mit einer neuen Form von Cyber-Bedrohung zu tun?

Professor Pohl: Nun ja, Apple und Amazon haben die Behauptung von Bloomberg mehrfach heftig dementiert. Allerdings gab es bereits 2017 Berichte, dass Apple die Verwendung von Supermicro-Servern für seine iCloud-Rechenzentren eingestellt habe. Ob der aktuelle Vorfall oder der vom vergangenen Jahr nun auf Fakten basieren, ist aber gar nicht von Bedeutung.

Wieso?

Natürlich bemühen sich chinesische Regierungsstellen, wie die aller Industriestaaten, darum, Backdoors in Hard- und Software einzubauen bzw. Sicherheitslücken zu hacken. Mir scheint aber, dass es gerade zu gut in das politische Klima der USA passt, China an den Pranger zu stellen.

Spionage und Sabotage sind überhaupt nichts Besonderes. Fakt ist, dass alle östlichen, westlichen, nördlichen und südlichen Industriestaaten „Hacking“ oder die Kompromittierung von Hard- und Software zu Sabotage- und Spionagezwecken praktizieren. Die Brot-und-Butter-Methode für Hardwaremanipulationen ist aber meist nicht der Supply-Chain-Hack, sondern die Manipulation der Hardware auf dem Postweg.

Davon merken Sie gar nichts. Auf dem Weg vom Versender zu Ihnen macht die Hardware einen zeitlich nicht sonderlich auffälligen Umweg zum jeweiligen Dienst, der die Technik wie gewünscht manipuliert bzw. austauscht, z.B. um sodann den Datenverkehr des Gerätes abzuschöpfen. Das machen alle Geheimdienste, Nachrichtendienste so, die ihren Namen verdient haben. Der Fingerzeig speziell auf China lenkt da nur ab.

Die eigentliche Kunstform des Hacking ist also die Manipulation auf dem Postweg?

Kunst kommt von Können und Supply-Chain-Hacks können nur wenige, nämlich die, die eine Supply-Chain haben, Deutschland oder Europa also nicht. Dabei reicht es nicht, einfach etwas zusammenzubauen, sondern Sie brauchen detaillierte Kenntnisse der Hardware (Chips, Platinen) und der Software.

Intel und AMD stellen den Löwenanteil am weltweiten Prozessormarkt. Intel verwendet seit über zehn Jahren die sogenannte Intel Management Engine (IME) in seinen Systemen und AMD verbaut seit einigen Jahren den AMD Platform Security Processor (PSP), beides Subsysteme, die wichtige Prozesse beim Systemstart, dem Betrieb, im Ruhezustand usw. steuern. Mit diesen haben Sie vollständigen Zugriff auf sämtliche Komponenten, wie Prozessoren, Speicher und Steuerungen, sowie Prozesse und Daten der Rechner. Beide Systeme sind aber weitgehend undokumentiert! Niemand weiß hier Genaues, der verwendete Code ist verschlüsselt, die Systeme kommunizieren verschlüsselt ins Internet – hier wird sogar der Verdacht auf Aktivitäten der NSA laut.

Verdacht ist kein Beweis.

Sind Ihnen denn nicht die Warnmeldungen des Bundesamtes für Sicherheit in der Informationstechnik geläufig? Seit Jahren hat das BSI als nationale IT-Sicherheitsbehörde wiederholt Warnmeldungen zur Intel Management Engine herausgegeben. Warnmeldungen, die aber Politik und Gesellschaft und auch die IT-Sicherheitsszene habituell ignorieren.

2017 wurden darüber hinaus mehrere Sicherheitslücken in der IME gefunden, Risikostufe 4: Hoch. Die ermöglichen laut BSI „einem lokalen, in einem Fall auch entfernten, einfach authentisierten Angreifer die Ausführung beliebigen Programmcodes“, wodurch dieser ein System auch komplett übernehmen kann – auch im sogenannten ausgeschalteten Zustand des Rechners.

Mit dem empfohlenen Patch ist das Problem aber nicht gelöst, weil die IME eben kaum dokumentiert ist, da können noch Dutzende weitere Bugs und Backdoors lauern, von denen wir (noch?) nichts, aber Geheimdienste alles wissen. Aber was soll denn das BSI machen? Natürlich sagt es nicht expressis verbis: Kauft kein Intel und AMD mehr. Der technisch Versierte liest das aber aus den Sicherheitswarnungen heraus.

Ist denn durch den Fortschritt bei der Verschlüsselungstechnologie keine Verbesserung eingetreten?

Warum sollen sich Überwachungsbehörden denn den Aufwand antun, hochsichere Verschlüsselungsmechanismen zu knacken, wenn der Weg über undokumentierte Hard- und Software-Bugs und Backdoors so viel bequemer ist?

Das macht nicht viel Hoffnung auf schnelle Besserung.

Hoffnung? Im Bereich IT-Sicherheit? Seit 2010 baut Intel die IME ein und die Regierung, aber auch Unternehmen tun absolut nichts, um dies abzuwehren. Dabei muss man sich vergegenwärtigen, dass bei einer derart schädigenden Ausnutzung von Sicherheitslücken die organisierte Kriminalität (OK) heute das viel größere Risiko darstellt als die ja doch halbwegs überwachten Sicherheitsbehörden. Die OK ist ja nicht dumm. Für vergleichsweise Peanuts lassen sie Software-Spezialisten in Drittstaaten Überwachungssoftware etc. entwickeln. Diese ist mitunter qualitativ besser als die der viel gescholtenen Überwachungsbehörden.