Wie dringend fortlaufend neue Datensicherheitssysteme benötigt werden, zeigte die "Conficker"-Attacke Anfang dieses Jahres. Der Internetwurm legte über Nacht die rund 3000 PCs des Amtes der Kärntner Landesregierung lahm. Die spionierende Software versuchte dabei, sensible Daten, insbesondere Passwörter, auszuspähen und über das Internet weiterzugeben. Den Angaben der IT-Verantwortlichen zufolge wurde das jedoch von einem Sicherheitssystem verhindert.

Auch wenn in diesem Fall offenbar vernachlässigt wurde, die Sicherheitssoftware auf dem neusten Stand zu halten - "alles, was sich auf Internetprotokoll-Ebene befindet, kann auch manipuliert werden", sagt Herbert Petautschnig von der Technikon Forschungsgesellschaft mbH in Villach.

Der Wissenschafter liebäugelt daher mit einem Datensicherheitskonzept, das man wohl am besten mit "zum Anfassen" beschreiben könnte. Ziel des so genannten "Trusted Computing" (TC) ist es, die gesamte elektronische Datenverarbeitung sicherer gegen Angriffe von außen zu machen. Im Unterschied zu herkömmlich eingesetzten Datensicherheitssystemen erfolgt der Schutz beim TC dabei allerdings nicht nur softwareseitig, sondern auch in Form von Hardware: Ein Chip, das so genannte Trusted Platform Module (TPM), wird dazu direkt auf das Motherboard gelötet beziehungsweise in die zentrale Prozessoreinheit eingebaut.

Schwer zu manipulieren

Der Trick ist nun, dass Kryptografieprotokolle, die Rechneridentität und andere Sicherheitsfeatures unveränderbar als Drahtgeflecht realisiert sind. "Das TPM ist in etwa vergleichbar mit einer fest eingebauten Smartcard - allerdings mit dem wichtigen Unterschied, dass er nicht an einen konkreten Benutzer, sondern an einen einzelnen Computer gebunden ist", sagt Peter Lipp, TC-Experte an der TU Graz. Viren, also Software, haben keine Chance mehr, diese Funktionen zu verändern. "Theoretisch kann man natürlich auch einen TPM knacken, dazu muss man allerdings zumindest den Rechner erst einmal aufschrauben", sagt Petautschnig.

Zusammen mit anderen TC-Experten erarbeitete Petautschnig in einer einjährigen Forschungsarbeit im Rahmen von Kiras, dem Programm zur Förderung der Sicherheitsforschung in Österreich (siehe Wissen), die Herausforderungen und Möglichkeiten von Trusted Computing für die öffentliche Verwaltung. Wie auch für andere Einsatzbereiche beschränkt sich der Einsatz von TC hier allerdings noch auf einige wenige mögliche Anwendungsszenarien: zum einen auf E-Voting und zum anderen auf Elektronische Akt (ELAK), ein System zur Bearbeitung von Akten.

Einsatz in der Wahlkabine

Vor allem beim E-Voting mittels Wahlmaschinen kann man TC sinnvoll einsetzen. Denn wegen der eingeschränkten Funktionalität sei es einfacher, den Chip zu integrieren und Anwendungen dafür zu programmieren, erklärt Petautschnig. Zwar lasse der aktuelle Entwicklungsstand von Trusted Computing einen Einsatz in der öffentlichen Verwaltung erst mittel- bis langfristig als sinnvoll erscheinen. Nichtsdestotrotz empfiehlt der Experte schon heute vorbereitende Maßnahmen, wie Schulungen, weitere Pilotprojekte und gezielte Forschungsförderung. Ihr Projekt habe schon jetzt einen wesentlichen Zeitvorsprung und erweiterten Handlungsspielraum für die österreichische Verwaltung geschaffen.

Denn, sagt Petautschnig, das Potenzial von TC sei sehr hoch. "Leider wissen die meisten User gar nicht, dass die TPMs schon in vielen Computern zu finden sind", sagt Petautschnig. So haben etwa alle rund 15 Millionen HP- und auch die meisten IBM-Laptops den Sicherheitschip schon fest eingebaut. Auch die Chipriesen Intel und AMD haben das TPM schon in den Prozessor integriert.

Standardmäßig sind die TC-Funktionen derzeit allerdings ausgeschaltet. Das liegt vor allem daran, dass es noch zu wenige konkrete Anwendungen für TC gibt. Selbst die hochemotional geführte Debatte über den Einsatz der TC-Technologie als Kopierschutz für Software ist verstummt. Vor allem die Musikindustrie dachte laut darüber nach, das Abspielen von Musik über den Einsatz des TPMs nur auf einem konkreten Rechner zuzulassen.

Seit einiger Zeit nehme die Anzahl an TC-Projekten auf EU-Ebene aber wieder zu, sagt Petautschnig. Das Sicherheitsbedürfnis wächst ständig - selbst für Linux-Systeme, bisher noch am wenigsten von Viren bedroht, wird derzeit an TC-Lösungen geforscht. "In den nächsten zwei Jahren wird sich entscheiden, ob sich die Technologie letztendlich durchsetzt oder nicht", ist sich der TC-Experte sicher. Neue Konzepte werden dringend gebraucht. Denn, da sind sich IT-Experten einig, reine Softwaremaßnahmen zur Erhöhung der Datensicherheit werden bald nicht mehr ausreichen. Daher wird man um eine zunehmende Einbindung von Hardware in die Sicherheitsarchitekturen künftig nicht mehr herumkommen. Ob man es dann TC nennt oder nicht, ist fast egal, sagt Petautschnig. "In jedem Fall werden neben Trusted Computing auch vermehrt Smartcards und Biometrie-Systeme eingesetzt werden", meint er.

Ob die TC-Technologie künftig tatsächlich jenen umfassenden Schutz bieten wird, welchen die Anwender von ihrer elektronischen Umgebung erwarten, wird selbst unter Spezialisten kontrovers diskutiert, sagt Lipp. Jedenfalls müssten ihre Möglichkeiten besser kommuniziert werden, fordert der Forscher. Dann würden wahrscheinlich mehr Anwendungen für TC entworfen. (Denis Dilba/DER STANDARD, Printausgabe, 11.02.2009)