Mobile-Menu

Der TPM-Schlüssel verrät sich beim Systemstart BitLocker allein schützt Laptops nicht vor physischen Angriffen

Ein Gastbeitrag von Michael Gieseke 4 min Lesedauer

Anbieter zum Thema

HP Deutschland GmbH
cidaas by Widas ID GmbH
FTAPI Software GmbH

Arbeit ist nicht mehr auf das Büro beschränkt, aber ein unbeaufsichtigter Laptop im Café oder am Flughafen-Gate ist längst kein Randrisiko mehr. Wer sich allein auf die BitLocker-Standardverschlüsselung verlässt, über­sieht: Sobald ein Angreifer das Gerät physisch in der Hand hält, gibt der TPM-Chip seinen Schlüssel beim Systemstart erstaunlich leicht her.

Für rund 20 US-Dollar lässt sich der TPM-Bus eines Laptops in unter einer Minute abhören und die BitLocker-Verschlüsselung umgehen.(Bild: Gemini / KI-generiert)
Für rund 20 US-Dollar lässt sich der TPM-Bus eines Laptops in unter einer Minute abhören und die BitLocker-Verschlüsselung umgehen.
(Bild: Gemini / KI-generiert)

In einem beliebigen Café, einer Flughafenlounge oder im Zug – an jedem dieser Ort lässt sich der moderne Arbeitsplatz in Aktion sehen. Geöffnete Laptops, Videokonferenzen, Dokumente, die in Echtzeit bearbeitet werden: Diese Flexibilität bringt enorme Produktivitätsvorteile. Allerdings verstärkt sie auch eine der ältesten, aber weiterhin unterschätzten Security-Bedrohungen: den physischen Zugriff auf ein Gerät, welches für einige Augenblicke unbeaufsichtigt bleibt.

Im Mittelpunkt des Alltags von Büroangestellten steht häufig die Arbeit am Notebook. Die Geräte enthalten alle wichtigen Daten, von vertraulichen Dokumenten und persönlichen Nachrichten bis hin zu Anmeldedaten und sensiblen Informationen über Kunden und Mitarbeiter. Genau das macht diese Endgeräte zu einem attraktiven Ziel für Cyberkriminelle.

Zudem gehen täglich tausende Notebooks verloren oder werden gestohlen, wodurch die darauf gespeicherten Daten auch einen Missbrauchsrisiko ausgesetzt sind. Moderne Rechner enthalten außerdem weitere interessante Informationen für Cyberkriminelle: Anmeldedaten, lokal gespeicherte Unternehmensdaten oder authentifizierte Zugriffe auf interne Anwendungen. Laptops können so nicht nur sensible Daten liefern, sondern auch zum Einfallstor ins Unternehmensnetz werden.

Warum die BitLocker Standardkonfiguration nicht ausreicht

Gerät ein Rechner in die falschen Hände, verlassen sich die meisten Unternehmen auf die weit verbreitete BitLocker-Festplatten­verschlüsselung. Sie soll gewährleisten, dass Daten auf verlorenen oder gestohlenen Laptops geschützt bleiben. Ist ein Angreifer aber im Besitz der Hardware, lässt sich die Verschlüsselung umgehen.

Ein Beispiel ist eine als „TPM-Bus-Snooping“ bekannte Technik. Die Methode ermöglicht es Cyberkriminellen, die Kommunikation zwischen dem Trusted Platform Module (TPM) des Notebooks und der CPU während des Bootvorgangs abzufangen. Das TPM ist ein spezieller Sicherheitschip, der für mehrere kritische Sicherheitsfunktionen zuständig ist. Er speichert kryptografische Schlüssel sicher, unterstützt Authentifizierungs­mechanismen und ermöglicht sichere Bootvorgänge. Außerdem arbeitet das TPM eng mit Verschlüsselungs­technologien wie BitLocker zusammen, um auf dem Gerät gespeicherte Daten zu schützen.

In seiner Standardkonfiguration gibt das TPM den Schlüssel zur Festplatten-Entschlüsselung beim Systemstart frei. Voraussetzung ist, dass die Boot-Umgebung vertrauenswürdig ist. Die standardmäßig ausschließlich auf dem TPM basierende Konfiguration von BitLocker ist aufgrund ihrer einfachen Bereitstellung attraktiv, da so beim Booten automatisch verschlüsselte Laufwerke entsperrt werden.

Besitzt der Angreifer das Laptop, kann diese Kommunikation während des Startvorgangs abgefangen und der kryptografische Schlüssel wiederhergestellt werden. Im Idealfall in weniger als einer Minute mit einer Hardware, die knapp 20 US-Dollar kostet. Solche TPM-Bus-Angriffe sind gut dokumentiert.

Da es sich nicht um einen Fehler in der Anwendung handelt, wird voraussichtlich kein Software-Update diese Schwachstelle beheben. Es ist eine Tatsache, dass sich viele Schutzmaßnahmen ausschalten lassen, wenn ein Angreifer physischen Zugriff auf das Laptop hat.

Unternehmen und Behörden sehen sich daher einer heiklen Compliance-Frage gegenüber: Reicht Standard-BitLocker als Schutzmaßnahme aus? Und mehr noch: Muss der Verlust eines Geräts mit personenbezogenen Daten an die Datenschutzbehörden gemeldet werden?

Warum Hardware-Sicherheit wichtiger denn je ist

Mobile Geräte sind attraktive Ziele für Cyberkriminelle. Unternehmen sollten ihren Ansatz zum Endgeräteschutz überdenken und anpassen. Herkömmliche Sicherheitsstrategien konzentrieren sich bislang stark auf Software-Kontrollen wie Endgeräteschutzplattformen, Betriebssystemhärtung und Netzwerküberwachung. Diese Ebenen bleiben unverzichtbar, sie schützen Notebooks aber nur teilweise. Vor allem, wenn die Hardware im Besitz des Cyberkriminellen ist. Die Lösung: hardwarebasierte Sicherheit – also Systeme, bei denen der Schutz bereits auf Silizium-Ebene integriert ist.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

HP TPM Guard sichert den Kommunikationskanal zwischen einem dedizierten TPM und der CPU durch eine hardwarebasierte Verschlüsselung ab und bindet das TPM kryptografisch an das Gerät. Dies verhindert physische Abhörangriffe auf der Hauptplatine, ohne zusätzliche IT-Komplexität zu erzeugen. Derselbe Schutz vor physischen Abhörangriffen lässt sich ar­chi­tek­to­nisch auch direkt über den Prozessor realisieren: Während Microsoft Pluton das TPM als physische Sicherheitsarchitektur direkt in die CPU integriert, führen firmwarebasierte Ansätze wie Intel PTT oder AMD fTPM diese Funktionen virtuell innerhalb des Prozessors aus. Da bei beiden CPU-basierten Ansätzen kein externer Kommunikationsbus mehr auf der Hauptplatine benötigt wird, eliminieren sie die physische Angriffsfläche auf andere Weise.

Die Zukunft der Arbeit absichern

Hybrides Arbeiten hat die Art und Weise, wie und wo Unternehmensgeräte genutzt werden, nachhaltig verändert. Sind die Geräte außerhalb der Unternehmensmauern unterwegs, steigen die Anforderungen an die Endgerätesicherheit.

Angriffe durch physischen Zugriff sind keine Ausnahmefälle, sondern ein Risiko, auf das sich Unternehmen aktiv einstellen müssen. Die Absicherung moderner Endgeräte erfordert zunehmend eine „Hardware-first“-Sicherheitsstrategie, bei der Schutz- und Verifizierungs­funk­ti­o­nen direkt in das Gerät integriert sind. Ziel muss es sein, dass Notebooks ihre Geheimnisse bewahren, selbst wenn sie in die falschen Hände gelangen.

Über den Autor: Michael Gieseke ist Endpoint Security Specialist bei HP Deutschland.

(ID:50951363)

Weiterführende Inhalte