Angriffe auf Hardware: So schützen Sie Ihre IT-Systeme

Implants: Manipulierte Komponenten in Systemen und Lieferketten

Unter Implants versteht man unbemerkt eingebrachte Hardwaremodule oder manipulierte Bauteile, die Daten abgreifen, Befehle einschleusen oder Sicherheitsmechanismen umgehen. Oft werden interne Schnittstellen ausgenutzt. Mögliche Einbaupunkte reichen von Mainboards über Zwischenstecker bis zu austauschbaren Modulen. Da solche Manipulationen selten auffallen, bleiben sie oft lange aktiv.

Empfohlene Schutzmaßnahmen

• Physische Sicherheit und Prozesskontrolle: Zutrittskontrollen zu RZ-Flächen und Geräteschränken, lückenlose Begleitung von Dienstleistern (Zwei-Personenregel), versiegelte Racks und manipulationssichere Siegel an Gehäusen.
• Port- und Schnittstellenkontrolle: Mechanische Portschlösser, Port-Blocker sowie richtliniengestützte Deaktivierung interner Debug- oder Wartungsports bei Nichtgebrauch.
• Firmware-Integrität: Konsequentes Patch- und Firmware-Management, nur signierte Firmware zulassen (Secure/Measured Boot, UEFI-Secure-Boot-Policies), SPI-Flash-Schreibschutz.
• Vertrauensketten und Attestierung: Einsatz von TPM-basiertem Measured Boot und Remote Attestation, um Manipulationen beim Start zu erkennen – idealerweise mit automatisiertem Quarantäne- oder Remediation-Workflow.
• Lieferkettensicherheit: Dokumentierte Wareneingangsprüfungen (Seriennummern, SBOM/Herstellerchecks), verifizierte Referenzzustände und Stichproben mit visueller Inspektion/Röntgen nach Risikoprofil.
• Monitoring und Forensik: IDS/IPS auch für Ost-West-Traffic, Anomalieerkennung an BMC-/Out-of-Band-Schnittstellen sowie Logging der Hardware-Inventaränderungen (DCIM/CMDB).

Service-Schnittstellen: Nützliche Ports bergen ein hohes Risiko.

Wartungsschnittstellen wie USB, UART, JTAG oder serielle Konsolen sind für Support und Diagnose unverzichtbar. Wenn sie jedoch unzureichend gesichert sind, erlauben sie Manipulationen an Konfiguration und Firmware – bis hin zur Deaktivierung von Sicherheitsprüfungen beim Booten.

Empfohlene Schutzmaßnahmen

• Härtung und Standardisierung: Deaktivieren nicht benötigter Serviceports per Voreinstellunng. Aktivierung nur per Change-Prozess mit zeitlich begrenzter Freigabe.
• Authentisierung und Rollen: MFA für Out-of-Band-Management (zum Beispiel iDRAC, iLO), feingranulare RBAC, strikte Trennung von Admin- und Servicekonten sowie Passkey/FIDO2, wo möglich.
• Netzwerksegmentierung: Dediziertes Managementnetz ohne Internetzugang, restriktive ACLs und Jump-Host-Prinzip, Kernel-DMA-Protection gegen Thunderbolt-/DMA-Angriffe auf Clients.
• Protokollierung und Nachvollziehbarkeit: Vollständiges Audit-Logging an BMC/Console-Servern, zentralisiertes Log-Management (SIEM), Session-Recording bei Remote-Wartung.
• Konfigurations-Compliance: Konfigurationsmanagement (zum Beispiel GitOps/IaC) mit Drift-Erkennung sowie automatisierte Checks für Boot-Policies, Secure-Boot-Status und BIOS-Locks.
• Monitoring: Technische und organisatorische Überwachung der Schnittstellenutzung, Metriken und Alarme für unerwartete Aktivierungen oder Firmware-Änderungen.

Fault Injection: Fehler erzwingen, Schutz aushebeln

Bei Fault-Injection-Angriffen werden gezielt Störungen erzeugt, um Prüfmechanismen zu überspringen oder Authentifizierungen zu umgehen. Zu diesem Zweck werden etwa Voltage/Clock-Glitching, elektromagnetische oder optische Impulse genutzt. Besonders betroffen sind IoT- und Edge-Geräte mit engem Kosten- und Platzbudget.

Empfohlene Schutzmaßnahmen

Physische Abschirmung: Metallische Abschirmungen, leitende/absorbierende Beschichtungen sowie in das Gehäuse integrierte Barrieren gegen elektromagnetische und optische Angriffe; Kapselung auf Chip-Ebene.

• Sensorik und Reaktion: On-Chip-Überwachung (Voltage-/Clock-Monitore, Glitch-Detektoren), zufällige Takt-/Timing-Variationen sowie automatische Zurücksetzung sensibler Schlüssel bei Anomalien.
• Redundanz und Diversität: Kritische Berechnungen sollten redundant oder entlang unterschiedlicher Pfade ausgeführt und Prüfsummen sowie Konsistenzchecks sollten mehrfach validiert werden.
• Key-Management: Secure Elements/TPM/TEE einsetzen, Schlüssel nie im Klartext im allgemeinen Speicher halten, Mechanismen gegen Manipulation aktivieren.
• Sichere Update-Strategie: Strenges Secure-Boot/Verified-Boot, signierte Updates, Rollback-Schutz und Anti-Replay-Mechanismen – auch bei strom- oder netzausfallgefährdeten Edge-Geräten.

Betriebsschwerpunkte: Praxisleitlinien für RZ, Büro und Edge

Bevor konkrete Einzelmaßnahmen ergriffen werden können, sind klare Betriebsleitlinien für die unterschiedlichen Umgebungen erforderlich. Denn Rechenzentren, Büroarbeitsplätze und Edge-Standorte haben jeweils eigene Risiken, technische Randbedingungen und Prozessanforderungen. Die folgenden Checklisten bündeln Pflichtenhefte für den Alltag, die von Zutrittskontrolle und Port-Policies bis Firmware-Lifecycle und Monitoring reichen.

Checkliste Rechenzentrum

• Zutrittskonzept, Videoüberwachung, Begleitpflicht für Dritte.
• Racks versiegeln.
• Luftstrom- und Blindpanel-Management ohne offene Schächte.
• BMC/Out-of-Band streng segmentieren.
• MFA erzwingen.
• Standard-Zertifikate ersetzen.
• Firmware-/BIOS-Lifecycle mit Wartungsfenstern und Rollback-Plan.
• Regelmäßige Sichtkontrollen auf zusätzliche Module/Adapter.

Checkliste Büro/Client

• Geräte mit Kernel-DMA-Protection, Secure Boot und TPM 2.0.
• Booten von Wechselmedien deaktivieren und BIOS/UEFI mit einer Admin-Passphrase sichern. BIOS-Updates müssen signiert sein.
• Port-Policies (USB nur via Device Control), regelmäßige Inventur externer Peripheriegeräte.
• Clean-Desk-/Locker-Regeln und sichere Aufbewahrung von Laptops und Docks.

Checkliste IoT/OT/Edge

• Gehäuse mit Manipulationsschaltern, Siegel, abschließbare Montage.
• Physisch gesicherte Standorte (Schaltschrank, Podest, abgeschlossene Boxen).
• Minimaldienste, deaktivierte Debug-Interfaces, nur verschlüsselte/authentifizierte Protokolle.
• Remote-Beglaubigung für Gerätezustand und Fallback in Quarantäne-Segment.
• Ersatz- und Patch-Strategie für strom-/netzinstabile Umgebungen.

Prozesse und Governance: Ohne Organisation geht es nicht

Technische Kontrollen entfalten ihre Wirkung erst mit sauberen Prozessen: Security by Design in Beschaffung und Architektur, Lieferanten-Audits, Bedrohungsanalyse auch auf Hardware-/Firmware-Ebene sowie ein Incident-Response-Plan für physische Vorfälle inklusive Beweissicherung und Meldewegen. Schulungen für RZ-Teams und Field Services sollten das Erkennen von Manipulationen, das richtige Versiegeln und das sichere Arbeiten an offenen Systemen umfassen.

Hinweis aus der Praxis: „Viele Unternehmen wissen gar nicht, dass gerade in diesem Moment kompromittierte Hardware in ihren Systemen steckt“, warnt Peter Dümig, Senior Field Product Manager Server bei Dell Technologies. Unternehmen sollten daher den physischen Teil der IT „auf Herz und Nieren“ prüfen, denn Angriffe auf Hardware sind zwar seltener als Phishing, können aber gravierende Folgen haben.

Fazit

Hardwareattacken sind kein Massenphänomen, aber ihr Einfluss ist groß. Wer physische Sicherheit, Port- und Firmware-Härtung, Lieferkettenschutz und betriebliche Disziplin kombiniert, reduziert das Risiko deutlich. Für Rechenzentren, Büroarbeitsplätze und den Edge-Bereich gilt: Nur was dokumentiert, attestiert und überwacht ist, gilt als vertrauenswürdig. Ein integrierter Ansatz aus Technik, Prozessen und Schulungen ist die beste Verteidigung gegen Implants, missbrauchte Service-Schnittstellen und Fault Injection.