Wenn Geheimdienste sich eine Sicherheitslücke bei Computern wünschen dürften, dann würde sie so aussehen wie die, die Sicherheitsforscher nun entdeckt haben. Sie klafft nicht etwa in irgendeinem Programm oder einem Betriebssystem, betrifft nicht nur einen Hersteller. Sie sitzt dort, wo Herz und Hirn von Computern sitzen: Im Prozessor. Nahezu alle Intel-Prozessoren seit 1995, dazu einige des Konkurrenten AMD und auch solche nach Plänen der britischen Prozessorschmiede ARM sind in einer Weise angreifbar, dass Hacker sensible Daten auslesen könnten ohne Spuren zu hinterlassen.
Das kommt einem größten anzunehmenden Unfall in der Computerei schon ziemlich nahe. Was sich auch daran zeigt, dass die gesamte Branche seit Monaten daran arbeitet, das Problem mittels Software-Updates zu lösen.
Aber was genau ist eigentlich das Problem?
Moderne Prozessoren beschleunigen das Rechnen mit einer Funktion, die Fachleute "speculative execution" nennen. "Moderne Prozessoren arbeiten gleichzeitig an einer Vielzahl von Operationen, und das parallel. Sie sind so optimiert, dass sie mit gewissen Ergebnissen spekulieren und sie sich deshalb in den Speicher laden", sagt Jürgen Geuter. Er ist Informatiker und arbeitet als Projektmanager und Berater bei einer Softwarefirma.
Genau diese Spekulation können Angreifer ausnutzen. Das Schlimme daran: Die konventionellen Sicherheitsvorkehrungen greifen hier nicht, weil der Prozessor - eben das Hirn des Computers - sie aushebeln kann. "Hacker können das leicht ausnutzen", sagt Geuter. "Es ist wahrscheinlich sogar möglich, den Angriff über den Browser auszuführen, also aus der Ferne. Wenn man eine speziell präparierte Webseite besucht, können Hacker diese Lücke ausnutzen." Sie könnten dabei sämtliche Informationen abgreifen, auch vertrauliche Daten wie Passwörter.
Problem seit Monaten bekannt
Das Problem ist seit einigen Monaten bekannt und nach Angaben einiger Hersteller teilweise auch schon durch Updates von Betriebssystemen so gelöst, dass die Angriffe auf die Prozessoren nicht mehr möglich sind. Ein Teil der Angriffe aber lässt sich zwar schwerer ausführen, dafür aber auch kaum verhindern. Eigentlich hatte die Industrie geplant, am kommenden Dienstag, 9. Januar, die Sicherheitslücke öffentlich zu machen. Doch dann wurden vorab bereits Einzelheiten bekannt, vor allem zu Prozessoren von Intel.
Klarheit aber herrscht keineswegs. Der Prozessor-Hersteller AMD etwa behauptet, dass nur sehr wenige seiner Chips betroffen seien und die auch nicht von allen der nun bekannten Angriffsvarianten. Verschiedene Konzerne, darunter Microsoft, Hersteller des weltweit am meisten verbreiteten PC-Betriebssystem Windows, Amazon, der Marktführer bei Cloud-Diensten, sowie der Internetkonzern Google, der auch hinter dem meistgenutzten Smartphone-System Android steht, betonen, dass sie bereits Reparatur-Software ausgeliefert oder zum Herunterladen bereitgestellt haben.
Sicherheitsforscher von Google und von Universitäten unter anderem in Graz haben zwei Varianten beschrieben, wie Angreifer über die Prozessoren an Informationen gelangen können. Vor allem die zweite, "Spectre" genannte Angriffsvariante dürfte die Branche noch länger beschäftigen. Denn sie erlaubt es, vereinfach ausgedrückt, dass ein Programm ein anderes ausspäht. Generell kann man das nicht verhindern, sondern nur, indem Programme identifiziert werden, die es auf Spionage abgesehen haben. Die Sachlage wäre also ähnlich wie bei Computerviren: Schlüpft ein solcher durch die Maschen der Sicherheitsnetze, kann er sein böses Werk verrichten. Angriffe mit Spectre seien aber "arbeitsintensiv und schwer zu realisieren", sagt der Informatiker Geuter. "Es geht nicht aus der Ferne. Aber moderne Chips sind eben so gebaut, dass man sich gegen diesen Angriff nicht wehren kann."
Zugriff auf Cloud-Dienste möglich
Spectre betrifft nach den derzeit vorliegenden Informationen auch ARM-Prozessoren. ARM fertigt selbst keine Prozessoren, sondern liefert Baupläne, die dann Hersteller wie Qualcomm, Samsung oder Apple variieren und fertigen. Sie stecken in der Mehrzahl von Smartphones und Tablets. Hier wäre die Lücke besonders schlimm, da Smartphones oft schon nach kurzer Zeit keine Updates mehr bekommen, vor allem solche mit Googles Android sind hier betroffen.
Besonders schwerwiegend sind die bekannt gewordenen Lücken auch für Cloud-Dienste. Diese können ihre Preise nur deshalb vergleichsweise niedrig halten, weil sich mehrere Nutzer dieselbe Hardware teilen. Für jeden Nutzer wird dabei eine sogenannte virtuelle Maschine eingerichtet, und eigentlich sollten diese Nutzer vollkommen voneinander abgeschottet sein. Aber mit einem der Angriffe könnten Angreifer "auch auf andere virtuelle Rechner auf demselben Serversystem zugreifen und Daten wie zum Beispiel Passwörter, die auf diesen fremden Rechnern liegen, auslesen", sagt Geuter. Verschiedene Cloud-Anbieter betonen allerdings, sie hätten bereits Maßnahmen dagegen getroffen.
Gegen den Spectre genannten Angriff wird es nach Angaben der Sicherheitsforscher auf absehbare Zeit keine vollumfängliche Lösung geben. Das hängt damit zusammen, dass sich nicht alle Teile der Hardware über ein Update nachträglich verändern lassen. Entsprechend urteilt auch das auf IT-Sicherheit spezialisierte US-Cert als Lösung, man solle die CPU erneuern.
Durch die Sicherheitsupdates werden PCs und Smartphones langsamer werden. Wie viel das ausmacht, muss sich noch zeigen. Intel spricht von wenigen Prozent, was im Alltagsbetrieb nicht ins Gewicht fallen würde, da sich Prozessoren die meiste Zeit ohnehin im Leerlauf befinden. In anderen Berichten ist dagegen von Leistungseinbußen von bis zu 30 Prozent die Rede, das wäre deutlich spürbar. Davon könnten vor allem Server betroffen sein.