"Das ist eine Frage des politischen Willens, nichts weiter! Wenn die Regierung deutlich machen würde, dass sie erhebliches Interesse hat und bereit ist, Anreize zu geben, dann wird sich der ein oder andere oder drei potentielle Hersteller genau überlegen, ob sie das Geschäft nicht mitnehmen. Was fehlt, ist eine vertrauenswürdige Absichtserklärung der Regierung, dass sie tatsächlich nachhaltig sichere IT-Entwicklungen fördern wird."

Manfred Kloiber: Meint Professor Hartmut Pohl von der Hochschule Bonn-Rhein-Sieg zum Thema BIOS, der Software, die also tätig wird, bevor das Betriebssystem eines PCs oder Netbooks überhaupt geladen werden kann. Diese Software kommt in der Regel von amerikanischen Unternehmen. Und das empfinden immer mehr IT-Verantwortliche in den Unternehmen als ein Riesenproblem, warum Peter Welchering?

Peter Welchering: Die befürchten ganz einfach Industriespionage. Und da gibt es zwei Ansatzpunkte. Zum einen enthält auch das Basis Input Output System, also die Software, die einen Computer zum Starten bringt, den einen oder anderen Programmierfehler. Daraus entstehen dann Sicherheitslücken. Und diese Sicherheitslücken können ausgenutzt werden, um einen Computer anzugreifen, beispielsweise auszuspionieren. Zum zweiten lassen sich in solch ein BIOS wunderbar Hintertüren einbauen. Die National Security Agency hat zumindest eine Durchführbarkeitstudie bereits im Jahr 2010 erarbeite, wie solche eine Hintertür auszusehen hätte und was dann damit für konkrete Angriffszwecke gemacht werden könnte. Ob solche Hintertüren dann tatsächlich eingebaut wurde, weiß bis heute kein Mensch. Und deshalb fordern immer mehr Sicherheitsexperten wie Prof. Pohl und IT-Verantwortliche in den Unternehmen Alternativen zu den Input-Output-Systemen der Amerikaner.

Manfred Kloiber: Und solche Alternativen können Entwicklungen aus Deutschland sein. Noch bessere Kontrolle kann stattfinden, wenn es sich um Open-Source-Projkete handelt. Den 24 Programmiereraugen sehen natürlich auch bei der Software, die einen Computer zum Starten bringt mehr als nur zwei Augen. Solch eine quelloffene Alternative heißt Coreboot und gewinnt an Popularität. Ralf Hutter stellt sie vor.

"Ich drücke jetzt mal "Neustarten". Und jetzt an der Stelle ist Coreboot schon fertig. Wir sind jetzt beim Betriebssystem und das System ist gestartet."

So schnell, wie der Berliner Software-Entwickler Björn Busse gerade die BIOS-Alternative Coreboot vorgeführt hat, sieht kaum ein Mensch jemals einen Computer starten. Coreboot entstammt der Freie-Software-Bewegung, in mehreren Ländern wird daran gearbeitet. Weniger als eine Sekunde dauert es mit Coreboot, bis die Hardware eines gewöhnlichen PCs initialisiert ist und das Betriebssystem, egal ob Windows oder Linux, booten kann. Die Standardsoftware BIOS braucht viel länger. Doch das ist nicht der Hauptgrund dafür, dass sich Busse mit Coreboot beschäftigt. Busse bezeichnet BIOS sowie dessen Nachfolger UEFI als uneinsehbare Black Box.

"Man kann inzwischen Systeme mit freien Betriebssystemen kaufen, aber man wird immer noch ein BIOS oder ein UEFI am Boden zu sitzen haben. Das ist natürlich wichtig aus verschiedenen Gründen. Leute wollen sich zum einen weiterbilden, sich diesen Code auch angucken. Zum anderen ist es auch eine Sicherheitsfrage: Ein System, das nicht offen ist, da kann ich auch kein Security Audit durchführen. Das ist an vielen Stellen und für ganz viele Personen relevant – und im Endeffekt eigentlich für uns alle."

BIOS wird nur noch von zwei Firmen überhaupt produziert. Kleinere Konkurrenten wurden aufgekauft, wie der Berliner Programmierer und langjährige Coreboot-Aktivist Peter Stuge sagt.

"Mit 50 konkurrierenden Firmen hat man natürlich eine ganz andere Marktsituation als nur mit zwei."

Um so schlimmer ist es, wenn diese beiden Firmen ihren Sitz in den USA haben. Das gibt nämlich Anlass zu der Befürchtung, dass sie mit dem Geheimdienst NSA kooperieren. Da verwundert es nicht, dass Coreboot auch beim Bundesamt für Sicherheit in der Informationstechnik, BSI, seit Jahren auf Interesse stößt. Maximilian Winkler von der BSI-Abteilung Sicherheit in Betriebssystemen und Anwendungen sagt, dass die Behörde das unabhängig von den Snowden-Veröffentlichungen gemacht habe.

"Das Thema Coreboot ist für uns wichtig und interessant. Es hat sich in letzter Zeit weiterentwickelt, sodass wir hier Potenzial sehen, eine echte Alternative zu haben, insbesondere für den Hochsicherheitsbereich, wo wir dann diese Produkte aufgrund der Quelloffenheit auch nachprüfen können."

Mehrere Behörden mit höherem Schutzniveau nutzen Coreboot, teilt ein BSI-Sprecher mit. Doch eigentlich ist Coreboot nicht nur etwas für den Hochsicherheitsbereich, wie Matthias Kirschner erläutert, Berliner Büroleiter der Free Software Foundation Europe. Kirschner verweist auf ein 2012 veröffentlichtes Eckpunktepapier der Bundesregierung zur Computersicherheit.

"Die Anforderungen der Bundesregierung sind, dass die Bundesregierung als Eigentümer von den ganzen Computern die alleinige und volle Kontrolle über diese Computer haben kann. So wie jetzt die Implementierungen von UEFI sind, ist es so, dass das nicht gegeben ist."

Aktuell richtet sich der BIOS-Nachfolger UEFI nämlich nach den Anforderungen von Microsoft, damit die Computerhersteller das begehrte Windows-8-Logo auf ihre Geräte kleben können. Microsoft bestimme somit, welche Software UEFI als vertrauenswürdig ansieht und überhaupt startet, sagt Kirschner. Wer den Sicherheitszertifikaten von Microsoft nicht vertraut, habe Pech. Zudem sei es derzeit mit UEFI weder möglich, sich bewusst für bestimmte dieser Sicherheitszertifikate zu entscheiden oder gar eigene zu kreieren, noch sie selbstständig zu deaktivieren – dabei fordere das erwähnte Eckpunktepapier der Bundesregierung gerade das, übrigens sogar für den privaten Bereich.

"Das Problem ist nur: Die Beschaffung der Behörden hält sich daran derzeit nicht. Die kaufen gerade keine PCs, die die Kriterien erfüllen. Die Bundesregierung sagt: Wir wollen nicht, dass wir da abhängig sind von jemand anders. Das Problem ist im Moment eben die Umsetzung. Wie bekommt man es hin, dass die Hersteller die Implementierung so anbieten, wie das die Bundesregierung will, und nicht wie Microsoft das vorschreibt?"

An der Entwicklung von Coreboot arbeiten längst auch große Firmen mit. Auch das BSI sitzt da mit am Tisch.

Manfred Kloiber: Wie stehen denn die Chancen, dass sich solch eine quelloffene Sofware hierzulande durchsetzen kann ud dann auch von den Behörden beschafft wird, Peter Welchering?

Peter Welchering: Die Behörden hätten da tatsächlich eine wichtige Vorreiterfunktion. BSI bemüht sich ja auch und bringt sich in den Entwicklungsprozess mit ein. Aber Coreboot und ähnliche quelloffene Software für die sog. Firmware-Schnittstelle, wie man seit einiger Zeit ja statt BIOS sagt, werden wohl eher in sicherheitskritischen Bereichen der Industrie eingesetzt werden als in Behörden.

Manfred Kloiber: Woran liegt das?

Peter Welchering: Das gute alte BIOS heißt ja nun UEFI. Das kann an übersetzen mit „vereinheitlichte erweiterbare Firmware Schnittstelle), macht aber zum großen Teil dasselbe wir das BIOS. Und da gibt es zwei Entwicklungen, von denen die regierungsamtlichen Experten sagen, die würden dieses Boot-Ssytem so sicher machen, dass eine quelloffene Alternative nicht unbedingt nötig sei. Zum einen sind am Herstellerkonsortium für diese Firmware-Schnittstelle, die heißt Unified EFI Forum ziemlich viele PC- und BIOS-Hersteller beteiligt. Bis 2005 hatten wir hier eine Dominanz von Intel. Jetzt wird die als UEFI bezeichnete Schnittstelle aber nicht mehr allein von Intel festgelegt. Und zum zweiten heben unsere regierungsamtlichen Vertreter gern hervor, dass mit der Einführung von Windows 8, ja zusätzliche Sicherheitsmechanismen beim Booten eingeführt wurde, die die herstellereigenen UEFI-Software sicher mache.

Manfred Kloiber: Um welche Sicherheitsmaßnahmen handelt es sich da?

Peter Welchering: Im wesentlichen um den sog Secure-Boot-Mechanismus. Dieser Mechanismus sorgt dafür, dass nur solche Software geladen wird, die über eine bestimmte Sicherheitssignatur verfügt. Damit soll eben ausgeschlossen werden, dass Schadsoftware beim Start mit hochgeladen wird. Da gibt es zwei Probleme. Problem Nr. 1: Auch Schadsoftware kann natürlich mit einer solchen Signatur versehen werden, wenn jemand planvoll die Firmware für einen Spionageangriff nutzen will. Und 2. wird dieses Secure-Boot-Modell von Kritikern eher als Maßnahme zur Abwehr von Linux empfunden. Denn wenn ich ein Linux starten will, muss ich entweder das Secure Boot deaktivieren. Das macht ein normaler Computernutzer nicht, also bleibt er bei Windows. Oder die Linux-Distribution muss einen signierten Kernel haben. Dieser Signatur-Prozess aber ist nicht ganz billig. Und so verzichten die meisten Distributionen darauf. Es gibt nur wenige Ausnahmen wie HP, die einen eigenen Bootloader für Linux haben.

Manfred Kloiber: Wie hoch ist der Absicherungsaufwand bei diesem Signierprozess?

Peter Welchering: Hoch, aber offensichtlich unzureichend. Bei der Intel-Referenimplementierung, das ist so eine Art Blaupause für andere Boot-Software-Hersteller und UEFI-Programme, da ist im vergangenen Jahr eine Sicherheitslücke aufgetaucht. Forscher der Mitre Corp. haben die entdeckt. Und da ging es im wesentlichen darum, dass mit dem ganz klassischen Mittel eines Speicherüberlaufs Schadsoftware eingeschleust werden kann. Also für quelloffene Lösungen ist ein Bedarf, aber die wirtschaftlichen Strukturen sehen da noch ein bisschen anders aus und der politische Wille fehlt.