BSI warnt doch nicht vor Windows 8

So was aber auch. Hier hatte ich u.a. über einen Zeit Online-Artikel und die Warnung der "Bundesregierung" vor Windows 8 wegen des Einzug haltenden TPM 2.0 berichtet. Nun stellt sich diese "Warnung" nicht mehr ganz so drastisch dar – die Experten der Bundesregierung haben "nur noch Bedenken" vor verschiedenen Aspekten von TPM 2.0.

Der Zeit-Online Artikel, um den es geht, ist mit Bundesregierung warnt vor Windows 8 betitelt. Der Artikel ist ganz lesenswert und enthält als Quintessenz, dass Experten der Bundesregierung Windows 8 als inakzeptables Sicherheitsrisiko für Behörden und Firmen bezeichnen. Ursache ist die Verwendung des TPM-Chips für das von Windows 8 unterstützte Trusted Computing. Insbesondere bei Windows RT-Tablets ist ein TPM-Chip zwingend vorgeschrieben. Und laut dem Willen Microsofts, sowie der Unterstützung der NSA, sollen ab 2015 alle handelsüblichen Computer mit TPM-Chips ausgestattet sein. Dabei kolportiert der Zeit-Online Artikel, dass TPM 2.0 zwingend erforderlich sei und nicht mehr vom Benutzer abgeschaltet werden kann. Damit sei Trusted Computing eine Hintertür für die NSA, da Microsoft kontrollieren könne, welche Software auf dem Rechner läuft.

Welche Ausmaße das alles annimmt, können wir ja hinsichtlich der täglichen Berichterstattung über die NSA-Affäre entnehmen. Und der Zeit-Online-Artikel adressiert auch deutlich meine Bedenken, die ich seit einiger Zeit wegen der Entwicklung, die Windows und möglicherweise andere Betriebssysteme wie Android nehmen, hege.

Nun rudert das BSI irgendwie in einer Stellungnahme wohl etwas zurück. In einem bei heise.de erschienenen Artikel sieht das BSI zwar "kritische Aspekte" bei Trusted Computing, spricht aber keine Warnung vor Windows 8 aus. Der heise-Artikel ist recht ausführlich und lesenwert. Noch interessanter finde ich aber das BSI-Geplänkel. In einer öffentlichen Stellungnahme bezieht das BSI "zur aktuellen Berichterstattung" Position. Ich habe mir mal den Text angesehen – typisch deutscher Behördensprech. Hier ein Auszug aus der öffentlichen Stellungnahme – wobei ich einige Aussagen unterstrichen und gefettet habe.

Das BSI warnt weder die Öffentlichkeit, deutsche Unternehmen noch die Bundesverwaltung vor einem Einsatz von Windows 8. Das BSI sieht derzeit jedoch einige kritische Aspekte im Zusammenhang mit bestimmten Einsatzszenarien, in denen Windows 8 in Kombination mit einer Hardware betrieben wird, die über ein TPM 2.0 verfügt.

Für bestimmte Nutzergruppen kann der Einsatz von Windows 8 in Kombination mit einem TPM durchaus einen Sicherheitsgewinn bedeuten. Hierzu gehören Anwender, die sich aus verschiedenen Gründen nicht um die Sicherheit ihrer Systeme kümmern können oder wollen, sondern dem Hersteller des Systems vertrauen, dass dieser eine sichere Lösung bereitstellt und pflegt. Dies ist ein berechtigtes Nutzungsszenario, der Hersteller sollte jedoch ausreichende Transparenz über die möglichen Einschränkungen der bereitgestellten Architektur und mögliche Folgen des Einsatzes schaffen.

Aus Sicht des BSI geht der Einsatz von Windows 8 in Kombination mit einem TPM 2.0 mit einem Verlust an Kontrolle über das verwendete Betriebssystem und die eingesetzte Hardware einher. Daraus ergeben sich für die Anwender, speziell auch für die Bundesverwaltung und kritische Infrastrukturen, neue Risiken. Insbesondere können auf einer Hardware, die mit einem TPM 2.0 betrieben wird, mit Windows 8 durch unbeabsichtigte Fehler des Hardware- oder Betriebssystemherstellers, aber auch des Eigentümers des IT-Systems Fehlerzustände entstehen, die einen weiteren Betrieb des Systems verhindern. Dies kann soweit führen, dass im Fehlerfall neben dem Betriebssystem auch die eingesetzte Hardware dauerhaft nicht mehr einsetzbar ist. Eine solche Situation wäre weder für die Bundesverwaltung noch für andere Anwender akzeptabel. Darüber hinaus können die neu eingesetzten Mechanismen auch für Sabotageakte Dritter genutzt werden. Diesen Risiken muss begegnet werden.

Werfen wir den Übersetzer an, lässt sich das so interpretieren: Wir dürfen – wegen der zu erwartenden Folgen – nicht vor Windows 8 warnen (ist ähnlich wie die Verbraucherschutzbehörden, die auch nicht öffentlich vor Gammelfleisch oder Nudeln, die mit verfaulten Eiern hergestellt wurden, warnen dürfen – Stichpunkt ist Schadensersatzpflicht). Aber ich habe den springenden Punkt einmal gefettet. Das BSI siehe in der Kombination Windows 8.0 mit TPM 2.0 einen Verlust an Kontrolle und neue Risiken. Im heise.de-Artikel seziert man das Ganze etwas ausführlicher: Quintessenz ist, dass die TPM 2.0-Spezifikation es den Herstellern überlässt, ob diese das Modul abschaltbar machen oder nicht.

Das BSI schreibt, dass der Anwender den Herstellern trauen muss, dass das alles seine Richtigkeit hat. Nun, in traue den Herstellern zwischenzeitlich nicht einen Millimeter mehr über den Weg. Ob ein "abgeschaltetes TPM auch wirklich abgeschaltet ist", steht für mich daher in den Sternen – lässt sich wohl nur von absoluten Spezialisten beantworten. Ich bin nicht in der Position, eine Warnung gegen Windows 8 auszusprechen oder eine Entwarnung zu geben. Als Chronist bringe ich die Infos hier im Blog, so dass ihr euch eine eigenen Meinung bilden und die TPM-Entwicklung verfolgen könnt.

Momentan befinde ich mich persönlich eh in einer Art Hardware-Käuferstreik – nicht wegen Windows 8 und TPM – sondern weil ich mich von den Herstellern täglich kräftig verarscht fühle. Kaufst Du heute einen neuen PC oder ein neues Notebook, kann es dir passieren, dass in ein paar Wochen die neueste Entwicklung im Softwareumfeld nicht mehr funktioniert. Hier liegen ein iPad 1, der nicht sonderlich lange nach dem Kauf kein iOS 6-Update mehr bekam, diverse Android-Geräte dümpeln ohne Update-Möglichkeit vor sich hin – und es fliegt hier diverse WinTel-Hardware rum, die für neue SW-Entwicklungen ungeeignet erscheint. Miracast ist z.B. so ein Fall – ich habe jetzt einige Hardware (unter anderem neueste Notbooks, die es tun müssten) ergebnislos durchgetestet. Ein zwangsweise verbauter TPM-Chip wäre für mich der endgültige Sargnagel für zukünftige Hardwarekäufe (ich will Linux und Android auf den Systemen booten können).

Und das Allerletzte: Ich blogge zwar über Windows 8.x – und finde vieles gar nicht so schlecht – die Masse wird es eh kaufen. Aber ich behalte die Entwicklung wachsam im Auge. Auf meiner Produktionsmaschine, an der ich gerade schreibe, werkelt Windows 7 – sofern nicht demnächst durch Linux ersetzt, noch bis 2020 – was bis dahin ist, wissen die Götter. Und spätestens dann gehen Windows 7 und meine Wenigkeit sowieso in Rente.

Kleiner Nachtrag: Mein Artikel steht natürlich nicht losgelöst vom Rest der Welt. Um mögliche Fehlinterpretationen vorzubeugen: Der TPM 2.0-Chip ermöglicht nicht das Ausspähen des Rechners durch NSA und Co., ermöglicht aber u.U. die Kontrolle, welches Betriebssystem auf die Hardware kommt. Und da kommen wir wieder auf den Knackpunkt: Wie weit vertraue ich so einer verdongelten Hardware. Das BSI schreibt ja ganz klar: Macht da einer Mist (Hersteller, SW-Lieferant oder Anwender), steht er ggf. vor einem nicht mehr nutzbaren Rechner.

Von daher möchte ich euch, neben dem heise.de-Beitrag auch nicht die Artikel von MVP-Kollege Martin Geuß Windows 8 – jetzt auch noch Bauernopfer in der NSA-Affäre? und von Georg Binder Windows 8 und TPM vorenthalten. Mit dem Artikel von Martin bin ich nicht so sonderlich einverstanden – dadurch dass er dem Zeit-Redakteur ein Diplom der Sporthochschule Köln vorwirft, werden die Kernaussagen des Artikels bzw. die möglichen Risiken nicht kleiner. Georg Binder rückt aus technischer Sicht einige Sachen zurecht: So, dass TPM 2.0 ab 2015 für eine Windows 8.1-Zertifizierung zwingend vorgeschrieben ist. Und dann findet sich der Satz "kann dieser deaktiviert werden oder sein, er muss nicht mal bei Auslieferung aktiv sein".  Als Techniker finde ich die Zusammenfassung von Georg Binder gut – könnte man auch erst einmal unterschreiben. Allerdings habe ich in 30 Jahren Industrietätigkeit zu häufig mitbekommen, was da schief gelaufen ist und wie viele Schweinereien teils vorsätzlich, teils aus Nachlässigkeit oder Dummheit abgelaufen sind.

Von daher ordne ich mich prophylaktisch in die Riege der Aluhut-Träger ein und sage ganz deutlich: Den Aussagen der Industrie traue ich keinen Millimeter über den Weg (siehe auch den Abschnitt zum Erzeugen der TMP 2.0-Schlüssel in [a5]). Mag sein, dass ein Vertreter, der heute vor die Presse tritt und ein Statement abgibt, in diversen Fällen auch wirklich glaubt, was er da sagt. Was nicht heißt, dass da bereits zur gleichen Zeit jemand Drittes das gezielt oder aus Nachlässigkeit konterkariert oder hintertreibt. Lest euch notfalls die BSI-Stellungnahme nochmals durch – die zeigen durchaus die Risiken auf. Und wenn ich weiß, dass es erhebliche Risiken gibt, ziehe ich meine Schlüsse daraus. Platt ausgedrückt: Wenn ich auf eine zu steil angestellte, hohe Leiter klettere, setze ich mich auch einem hohen Absturz-Risiko aus.  Wenn es keinen notwendigen Zwang zum "auf diese Leiter steigen" gibt – tja, dann würde ich doch mal annehmen, werde ich das als rational denkender Mensch wohl lassen. Also: Beobachtet das Ganze mal …

Links:
a1: Bundesregierung warnt vor Windows 8
a2: Eckpunktepapier der Bundesregierung zu 'Trusted Computing' und 'Secure Boot
a3: Artikel bei heise.de
a4: Stellungnahme des BSI zur aktuellen Berichterstattung zu MS Windows 8 und TPM
a5: NSA-Überwachung: Bundesregierung warnt vor Sicherheitsrisiko bei Windows 8