Microsoft liefert Bitlocker-Schlüssel an US-Ermittler

Um die Bundespolizei FBI bei ihren Ermittlungen zu unterstützen, hat Microsoft ihr die Bitlocker-Schlüssel für mehrere Windows-Rechner ausgehändigt, auf denen relevante Informationen zu einem Fall vermutet werden. Das Vorgehen ist kein Einzelfall und Wasser auf die Mühlen der Verfechter digitaler Souveränitätsbemühungen.

Bei der öffentlichen Diskussion um digitale Souveränität und den damit verbundenen Fragen der Vertrauenswürdigkeit und möglicher Abhängigkeiten geht es bislang meist um Cloud-Dienste und neuerdings auch KI-Services. Unter anderem wird befürchtet, dass die Anbieter ihre Marktmacht ausnutzen und als strategische Waffe einsetzen könnten, um Unternehmen und ihre Heimatländer gezielt auszubremsen, auszuspionieren, von ihren Daten abzuschneiden, Industriespionage zu ermöglichen, oder ihnen anderweitig zu schaden – ob politisch induziert, aus Eigeninteresse oder anderen Motiven. Eine Sorge, die angesichts der politischen Verwerfungen und dem damit verbundenen Vertrauensverlust an Dringlichkeit gewinnt.

Dass solcherlei Szenarien durchaus plausibel sind und die Frage der Souveränität zudem auch klassische Hard- und Softwareumgebungen bis hin zum eigenen PC betrifft, verdeutlicht nun einmal mehr ein aktuelles Beispiel aus den USA. Konkret geht es um einen Ermittlungsfall des FBI, das auf der zum US-Territorium gehörenden Pazifikinsel Guam einem möglichen organisierten Betrug mit speziellen Hilfsgeldern für Arbeitslose aus der Covid-Zeit nachgeht. Wichtige Beweise dazu vermutet das FBI auf drei Notebooks, die es bei Verdächtigten beschlagnahmt hat, die für die Verteilung der Gelder zuständig waren.

Allerdings waren alle Versuche der Ermittler die Daten auszulesen erfolglos. Und das – zumindest technisch gesehen – aus gutem Grund: Denn die Speicher der Geräte sind mit dem Windows-Tool Bitlocker verschlüsselt, dessen Aufgabe es ist, die Daten auf dem Gerät vor fremdem Zugriff zu schützen. Gerade auf Business-Geräten wird Bitlocker deshalb gerne und ganz bewusst genutzt, um die sensiblen Informationen darauf vor Verlust oder Diebstahl zu schützen. Wer das Passwort nicht kennt, kommt also nicht an die Daten.

Wenn die Absicherung zur Hintertür wird

Zumindest in der Theorie. Denn hier kommt nun Microsoft ins Spiel. Nach einer entsprechenden Anfrage hat der Softwarekonzern dem FBI spezielle Wiederherstellungsschlüssel übermittelt, mit deren Hilfe die Ermittler die Notebooks eben doch entsperren und auslesen können. Dabei handelt es sich zwar nicht um die von Geheimdiensten und ähnlichen Einrichtungen immer wieder geforderten Generalschlüssel oder in die Software integrierten Hintertüren, deren Existenz Microsoft vehement bestreitet und gegen die sich fast alle IT-Konzerne wehren. Dennoch bleibt der Vorgang brisant. Denn die Schlüssel stammen aus der von Microsoft explizit empfohlenen und bei Windows Home automatisch aktivierten Backup-Möglichkeit in der Cloud, die eigentlich als Not-Option im Falle eines Passwortverlustes dienen soll.

Zwar gibt es ähnliche Rettungsanker auch bei anderen Anbietern wie Apple, Google oder Meta, allerdings speichern diese einfach auch die Zugangsdaten wieder verschlüsselt ab, sodass sie selbst keinerlei Zugriff darauf haben. Damit können sie entsprechende Anfragen erst gar nicht erfüllen. Indem Microsoft aber darauf verzichtet, sorgt das Unternehmen dafür, dass es in vielen Fällen eben doch eine Hintertür gibt. Damit bringt der Konzern sich und die Nutzer in die missliche Lage, diese bei Bedarf gemäß Gesetzen wie dem CLOUD Act auch öffnen zu müssen.

Etwa 20 Schlüssel pro Jahr

Wie zu erwarten, bemüht sich Microsoft den Vorfall herunterzuspielen. Auf Anfrage von US-Medien wie Forbes betont der Konzern, dass er Daten nur bei juristisch korrekten Anfragen herausgebe, wie sie gewöhnlich nur bei schweren Fällen gestellt werden. Ferner gibt das Unternehmen an, dass das bei Bitlocker-Schlüsseln etwa 20-mal im Jahr der Fall sei. Zugleich wird versucht, die Verantwortung den Kunden zuzuschieben, da diese selbst die Wahl haben, ob sie die löchrige Sicherungs-Funktion nutzen. Dabei dürfte vielen von ihnen zumindest bisher nicht bewusst gewesen sein, welchem Risiko sie sich damit aussetzen.

Nicht nur aus Sicht amerikanischer Kunden, die etwa befürchten, dass Trumps marodierende ICE-Truppen sich dadurch künftig Zugang zu sensiblen Informationen von Bürgern oder missliebigen NGOs in ihrem Fadenkreuz beschaffen könnten, unterhöhlt Microsoft damit völlig unnötig den Sicherheitsmechanismus und damit das Vertrauen. Auch in Europa wird der Fall damit die Skepsis der Nutzer wohl weiter nähren und so den Ruf nach mehr digitaler Autonomie und Souveränität verstärken.

CRN-Newsletter beziehen und Archiv nutzen - kostenlos: Jetzt bei der CRN Community anmelden