Chip-Lücke: Das müssen Sie jetzt tun

Von der gravierenden Sicherheitslücke in Computerchips sind so gut wie alle Nutzer, die einen Computer (PC, Notebook etc.), ein Tablet (auch iPad) oder ein Smartphone (auch iPhone) haben, betroffen. Weltweit sind also Milliarden Geräte nur unzureichend geschützt. Dadurch können auf breiter Front vertrauliche Daten abgeschöpft werden: zum Beispiel Passwörter, Kreditkartendaten, Krypto-Schlüssel oder Informationen aus sensiblen Programmen. Da die komplexe Sicherheitslücke von Forschern bereits vor rund einem halben Jahr entdeckt worden ist, aber erst jetzt publik gemacht wurde, konnten viele Hersteller in den letzten Wochen reagieren.

1. Wie kann man sich schützen?

Deshalb sollten Nutzer alle aktuellen Updates, die derzeit ausgespielt werden, so schnell wie möglich installieren. Das gilt sowohl für die Betriebssysteme als auch für die Internet-Browser. Google und Microsoft haben die Lücke für ihre Programme (Windows, Internet Explorer, Edge, Android, Chrome, etc.) bereits geschlossen. Hier stehen die Aktualisierungen bereits bereit bzw. wurden schon in den letzten Tagen ausgerollt. Apple arbeitet derzeit mit Hochdruck an einem  Software-Update für iPhones, iPads, Macs  und den Browser Safari. Die Aktualisierungen sollen für Apple-User in den nächsten Tagen bereitgestellt werden. Privatanwender, die auf ihren Geräten automatische Updates für Betriebssystem und sonstige Software erhalten, sollten also weitgehend geschützt sein. Erhöhte Aufmerksamkeit sollte jedoch den Veröffentlichungen der Browser-Hersteller gewidmet werden. Windows-Anwendern raten die heimischen Sicherheitsexperten von CERT.at, die Hinweise von Microsoft zu Kompatibilitätsproblemen mit manchen Antivirenlösungen zu beachten, um sicherzustellen, dass sie die Sicherheitsupdates auch tatsächlich erhalten.

2. Wirkt sich das Update auf die Leistung aus?

Die Software-Maßnahmen gegen die Sicherheitslücken dürften zwar die Leistung der Prozessoren beeinträchtigen, räumte u.a. Intel ein. In den meisten Fällen werde der Leistungsabfall aber bei maximal zwei Prozent liegen. In ersten Berichten war noch von bis zu 30 Prozent die Rede. Hier kommt es auf das Alter der Geräte an. Bei älteren Rechnern könnte der Performance-Verlust deutlich spürbar werden, während es bei neuen Geräten kaum zu Einbußen kommen dürfte. Aufgrund der vielen aktuellen Updates könnte sich in den kommenden Tagen sogar das weltweit das Internet verlangsamen.

3. Bietet das Software-Update kompletten Schutz?

Ob die Software-Updates das Problem aber völlig lösen, wird von einigen Experten bezweifelt. Laut ihnen kann es nur durch einen Austausch der Prozessoren behoben werden. Die IT-Sicherheitsstelle der US-Regierung, CERT, zeigte sich kategorisch, was eine Lösung des Problems angeht: "Die Prozessor-Hardware ersetzen." Die Sicherheitslücke gehe auf Design-Entscheidungen bei der Chip-Architektur zurück. "Um die Schwachstelle komplett zu entfernen, muss die anfällige Prozessor-Hardware ausgetauscht werden."

4. Welche Attacken sind möglich?

Die Schwachstelle liegt in einem Verfahren, bei dem Chips möglicherweise später benötigte Informationen schon im Voraus abrufen, um Verzögerungen zu vermeiden. Diese als "speculative execution" bekannte Technik wird seit rund zwei Jahrzehnten branchenweit eingesetzt. Zunächst schien nur Intel betroffen zu sein. Doch mittlerweile steht fest, dass die Lücke auch Chips von ARM und AMD betrifft. Die Forscher beschrieben zwei Attacken auf Basis der Schwachstelle:

• Bei der einen, der sie den Namen "Meltdown" gaben, werden die grundlegenden Trennmechanismen zwischen Programmen und dem Betriebssystem ausgehebelt. Dadurch könnte böswillige Software auf den Speicher und damit auch auf Daten anderer Programme und des Betriebssystems zugreifen. Für diese Attacke ist den Entdeckern der Schwachstelle zufolge nahezu jeder Intel-Chip seit 1995 anfällig - sie kann aber mit Software-Updates gestopft werden.
   
• Die zweite Attacke, "Spectre", lässt zu, dass Programme einander ausspionieren können. "Spectre" sei schwerer umzusetzen als "Meltdown" - aber es sei auch schwieriger, sich davor zu schützen. Es könne lediglich bekannte Schadsoftware durch Updates gestoppt werden. Ganz sei die Lücke aber nicht zu stopfen. Von "Spectre" seien "fast alle Systeme betroffen: Desktops, Laptops, Cloud-Server sowie Smartphones", erklärten die Forscher. Die Möglichkeit der Attacke wurde auf Chips von Intel und AMD sowie Arm-Designs nachgewiesen.

5. Wurde die Lücke bereits ausgenutzt?

Sie wüssten nicht, ob die Sicherheitslücke bereits ausgenutzt worden sei, erklärten die Forscher. Das sei wahrscheinlich auch nicht feststellbar, denn die Attacken hinterließen keine Spuren in traditionellen Log-Dateien. Auch deshalb wird die Lücke von vielen Experten bereits als der totale IT-Super-GAU bezeichnet.

6. Sind auch Cloud-Anbieter betroffen?

Besonders brenzlig werden könnte das Problem zumindest theoretisch in Server-Chips, auf denen sich die Wege vieler Daten kreuzen. In den vergangenen Jahren hatten die Tech-Unternehmen ihre Geräte und Dienste unter anderem mit Verschlüsselung geschützt - gingen dabei jedoch davon aus, dass von den Prozessoren selbst keine Gefahr droht.

>>>Nachlesen:  Chip-Lücke auch auf iPhone, iPad & Mac

>>>Nachlesen:  Chip-Lücke: Zwei reale Angriffsszenarien

>>>Nachlesen:  Mega-Lücke betrifft auch Smartphones

>>>Nachlesen:  Mega-Fehler in Intel-Chips entdeckt