Als ich mich vor zwei Wochen so abfällig über das Datenleck bei SchülerVZ äußerte, war die Nachrichtenlage noch derart verworren, dass auch mein Beitrag dazu eher weitere Verdunkelung als Erleuchtung gebracht haben dürfte. Anlässlich der jüngsten Ereignisse in diesem Fall möchte ich das heute ein bisschen gerade rücken.

Erstens: Es gab (mindestens) zwei voneinander unabhängige Hacks von SchülerVZ. Beide waren ähnlich simpel, die eigentlichen Taten bestanden nur darin, einen Crawler loszuschicken, der unermüdlich Profile abgrast und die gefundenen Informationen verdatenbankt. Die konkrete Vorgehensweise war unterschiedlich, aber Zugriff auf wirklich interessante Daten haben beide Crawler nicht bekommen.

Zweitens: Beide Profilsammler hatten sich bei netzpolitik.org gemeldet, um von ihren Raubzügen zu berichten. Daraus resultierte die Verwirrung, denn es war nicht klar, ob einer der beiden nur ein Trittbrettfahrer gewesen war.

Drittens: Während einer der "Hacker" sich einigermaßen anständig verhalten hat und die Betreiber von SchülerVZ auf die Sicherheitslücke hinweisen wollte, meinte der zweite Datendieb, es sei eine gute Idee, SchülerVZ zu erpressen. Er forderte irgendwas zwischen 20.000 (laut netzpolitik.org) und 80.000 (laut SPIEGEL) Euro. Das tat er allerdings, während er im Berliner Büro der Betreiber von SchülerVZ saß. Dort dürfte ihm dann auch aufgefallen sein, dass das Ganze doch keine so gute Idee war, denn kurz darauf betraten Beamte des Berliner LKAs selbiges Büro, um ihn zu verhaften.

Jetzt kommt der unschöne Ausgang der Geschichte: Eben jener Verhaftete, übrigens ein 20-jähriger Mann aus Erlangen, hat am 31.10. in der Untersuchungshaft Selbstmord begangen.

Mit dieser traurig-dummen Tat dürfte er zum ersten Todesopfer des Hackens geworden sein, jedenfalls diesseits von Geheimdienstmythen und Verschwörungstheorien. Dabei war der "Hack" eigentlich keine seiner Folgen wert: Die anfängliche mediale Aufmerksamkeit nicht, die 20.000 Euro nicht, die 80.000 Euro schon gar nicht und am allerwenigsten war er es wert, dass ein junger Mensch deswegen sein Leben wegwirft.

Mir ist etwas entgangen. Etwas Großes. Ich spreche von Kon-Boot, einem Log-on-Passwortknacker, der bereits im Juli 2009 veröffentlicht wurde, mich trotz seiner Sensationalität aber erst jetzt erreicht hat.

Kon-Boot ist ein programmiertechnisches Meisterstück: Es patcht den Log-on-Prozess praktisch aller 32-Bit-Windowsversionen während der Laufzeit und ermöglicht es, ein beliebiges Passwort einzugeben und sich trotzdem anzumelden. Und es beschränkt sich noch nicht mal auf Windows-Kisten: Sogar einige 2.6er-Linux-Kernels kann Kon-Boot austricksen und den passwortlosen Log-on ermöglichen.

Kon-Boot wird auf CD gebrannt und der Rechner, dessen Log-on-Passwort man vergessen hat, von eben dieser CD gestartet. Alternativ lässt sich der Vorgang auch über eine Diskette erledigen, aber ich kann mich schon gar nicht mehr erinnern, wann ich das letzte Mal einen Rechner mit Diskettenlaufwerk gesehen habe. Gerüchteweise lässt sich Kon-Boot auch von einem USB-Stick starten, aber das kann ich bisher nicht bestätigen. Dazu liefere ich vielleicht in den nächsten Wochen einen Nachtrag.

Jedenfalls bewegt sich Kon-Boot – für all diejenigen, die es sich tatsächlich herunterladen wollen – ziemlich weit am Rand der Hackerparagraphen-Legalität. Die einzig legitime Anwendung bestünde nämlich darin, sich in einen eigenen Windows-Account einzuloggen, dessen Passwort man vergessen hat. Da man aber ohne Kenntnis des Passwortes unter Windows kein neues festlegen kann, selbst wenn man sich mit Kon-Boot-Hilfe einloggt, ist diese Anwendung nur eine sehr kurzfristige Lösung. Zudem gibt es genug Tools, die Windows-Logon-Passwörter annullieren, sodass man beim nächsten Boot ein neues festlegen kann. Kon-Boots Sinnhaftigkeit im legalen Rahmen ist also – abgesehen vom Proof-of-Concept – ziemlich fraglich.

Über die Sinnhaftigkeit im illegalen Rahmen muss ich, glaube ich, kein weiteres Wort verlieren. Ich rate hiermit aus- und nachdrücklich von einer solchen Verwendung von Kon-Boot ab.

Wer mir jetzt unterstellen möchte, dass ich auf Kon-Boot nur aus Sensationslüsternheit hinweise und implizit zu Straftaten aufrufe, der möge das tun. Tatsächlich sehe ich aber zwei wichtige Funktionen in Programmen wie Kon-Boot. Erstens zeigen sie unwiderlegbar schwache Glieder in der Sicherheitskette auf und sorgen dafür, dass diese Schwachstellen gemieden oder gestärkt werden. Wer weiß, wie leicht Windows-Passwörter zu umgehen sind, wird sich nicht auf sie verlassen. Zweitens erzeugen sie dadurch, dass sie öffentlich sind, einen viel höheren Druck auf die Urheber solcher Sicherheitsschwachstellen. Wenn die Script-Kiddie-Lawine erst mal losgetreten ist, geht das mit dem Patchen erfahrungsgemäß viel schneller.

Noch ein paar Worte zum Schutz vor Kon-Boot: Besonders viel kann man nicht machen. Natürlich sollte man seinen Rechner zunächst mal davor schützen, dass Andere einfach an ihn herankönnen. Das ist aber nicht immer möglich, beispielsweise kann man den PC am Arbeitsplatz nicht rund um die Uhr im Auge haben. Alternativ lässt sich ein BIOS-Passwort einrichten, aber auch das ist nicht wasserdicht. Wenn der Angreifer physischen Zugriff auf den Rechner hat, kann er die Systemfestplatte auch an einen anderen PC anstöpseln und sie über diesen hochfahren. Als letzte Schutzmethode böte sich eine Verschlüsselung der Systemfestplatte, beispielsweise mit TrueCrypt oder BitLocker, an. Seit EvilMaid wissen wir aber, dass auch diese Sicherung nicht unüberwindbar ist.

Fazit: Sicherheit ist eine Kette – sie reißt am schwächsten Glied. Kon-Boot hat den Log-on-Vorgang aller Windowsrechner und sogar einiger Linuxkisten enorm geschwächt. Der Auftrag lautet also, ein paar zusätzliche Kettenglieder einzuziehen: BIOS-Passwort und Systemlaufwerksverschlüsselung.

p.s.: Wer die Beschränkung auf 32-Bit-Windowssysteme gar nicht ertragen kann, findet im Vbootkit 2.0 ein ähnliches Angriffstool für 64-Bit-Editionen von Windows 7.

Ich bin mir nicht ganz sicher, ob das Folgende wirklich ernst gemeint ist, aber die Indizien sprechen dafür. Anscheinend hat die amerikanische Firma TN Games eine pneumatische Gamer-Weste herausgebracht, die Treffer und Einschläge in First-Person-Shootern real spürbar macht. Die Weste boxt ihren Träger über acht Druckluftpolster in den Rücken oder die Brust, je nachdem, an welcher Körperstelle er im Spiel getroffen wurde.

Wem also die Niederlage im Shooter seiner Wahl noch nicht unangenehm genug ist – und seien wir realistisch, wenn man getroffen wird, ist die Niederlage nicht weit – dem sei die Gaming-Weste als Schmerzverstärker empfohlen. Alle anderen können sich auch einfach mit der flachen Hand vor die Stirn schlagen…