Laptop mit Heads: Evil-Maid-Schutz und geprüfte Boot-Integrität

Ein verschlüsselter Datenträger schützt deine Daten, solange der Rechner ausgeschaltet ist. Er schützt dich nicht davor, dass jemand in deiner Abwesenheit die Startumgebung manipuliert und beim nächsten Einschalten die Passphrase mitschneidet. Das ist die klassische Form eines Evil-Maid-Angriffs, benannt 2009 von der Sicherheitsforscherin Joanna Rutkowska. Ein Laptop mit Heads Firmware setzt genau dort an: Measured Boot legt kryptografische Messwerte im TPM ab, eine externe Boot-Attestierung macht Firmware-Manipulation und Boot-Manipulation erkennbar, bevor eine Passphrase im Spiel ist. Diese Seite erklärt, wie das funktioniert, wo die Grenzen liegen – und warum nicht jeder Heads Laptop denselben Schutz bietet.

Vorweg die ehrliche Einordnung: Ein Evil-Maid-Angriff setzt physischen Zugriff auf ein unbeaufsichtigtes Gerät voraus. Für die meisten Menschen ist das kein realistisches Bedrohungsszenario. Relevant wird es, wenn du den Rechner regelmäßig aus der Hand gibst – im Hotelzimmer, im Büro mit Publikumsverkehr, an der Grenze, in einer Wohngemeinschaft.

Was ein Evil-Maid-Angriff ist

Der Name stammt aus dem klassischen Beispiel: Du lässt deinen Laptop im Hotelzimmer, das Zimmerpersonal hat Zugang. Statt das Gerät zu stehlen, startet der Angreifer es kurz von einem präparierten Datenträger und verändert die Startumgebung so, dass sie beim nächsten Einschalten die Passphrase für die Festplattenverschlüsselung aufzeichnet. Danach steht das Gerät wieder an seinem Platz.

Allgemein ist ein Evil-Maid-Angriff jeder Angriff mit physischem Zugriff auf ein unbeaufsichtigtes Gerät. Manipuliert werden können die Firmware, der Bootloader beziehungsweise die Boot-Dateien, die Startkonfiguration und in bestimmten Szenarien auch die Hardware selbst. Die Aufzeichnung der Passphrase ist das bekannteste Beispiel, aber nicht die einzige Form.

Festplattenverschlüsselung und ein starkes Passwort schützen allein nicht vor einer manipulierten Startumgebung: Die Verschlüsselung wird nicht gebrochen, sondern umgangen, weil du sie selbst aufschließt. Nötig sind deshalb zusätzliche Mechanismen zur Boot-Integrität oder physische Kontrolle über das Gerät.

Gegenmaßnahmen gibt es mehrere, und sie ergänzen sich: durchgehende physische Kontrolle, manipulationssichtbare Siegel, Verified- und Measured-Boot-Verfahren, eine hardwareverankerte Vertrauenskette, erneutes vertrauenswürdiges Flashen der Firmware – und eben Heads mit externer Attestierung. Heads ist eine starke Lösung, aber nicht die einzige.

Wie Heads Boot-Manipulation erkennt

Heads ist mehr als ein einzelner Prüfschritt. Es setzt als Payload auf der coreboot-basierten Dasharo-Firmware auf – die Grundlagen dazu stehen auf unserer Seite zum coreboot Laptop. Auf dieser Basis arbeiten zwei getrennte Prüfebenen, die man auseinanderhalten sollte.

Ebene eins: gemessener Start der Firmware

Beim Einschalten werden die relevanten Bestandteile des Startvorgangs kryptografisch gemessen. Diese Messwerte landen nicht als einzelne Prüfsummen irgendwo, sondern werden in die Platform Configuration Registers – kurz PCRs – des TPM erweitert. Jede Erweiterung hängt kryptografisch vom vorherigen Registerinhalt ab. Dadurch entsteht ein Zustand, der die gesamte Startkette abbildet: Ändert sich ein einziger Bestandteil, ergibt sich am Ende ein anderer Zustand.

Der Sinn dieser Konstruktion: Das TPM gibt ein gesiegeltes Geheimnis nur dann frei, wenn die PCR-Werte zu dem Zustand passen, für den es gesiegelt wurde. Auf dieser Eigenschaft baut die gesamte Attestierung auf.

Ebene zwei: kryptografisch geprüfte Boot-Dateien

Zusätzlich prüft Heads die Integrität wichtiger Dateien im Boot-Verzeichnis – Kernel, initramfs und Startkonfiguration – anhand kryptografisch signierter Hashes. Signiert wird mit einem Schlüssel, den du kontrollierst und der üblicherweise auf einem externen Hardware-Token liegt. Damit fällt auch eine Veränderung auf, die erst nach der Firmware greift.

HOTP, TOTP und das USB-Sicherheitsgerät

Damit du das Prüfergebnis siehst, ohne dem möglicherweise manipulierten Bildschirm zu vertrauen, braucht es einen externen Vertrauensanker. Heads kennt dafür zwei Verfahren, die häufig verwechselt werden.

← Tabelle seitlich scrollen →

Nach der Dokumentation des Heads-Projekts.

Der Vorteil der Variante mit Hardware-Token liegt deshalb nicht darin, dass ein Geheimnis den Token nie verließe – es liegt im TPM des Rechners und wird von Heads für die Berechnung entsiegelt. Der Gewinn ist ein separater, außerhalb des zu prüfenden Rechners befindlicher Vertrauensanker und eine automatische visuelle Verifikation: Du musst keinen Code ablesen und vergleichen, sondern siehst das Ergebnis unmittelbar an der Leuchtanzeige des Tokens.

NovaCustom richtet bei Auslieferung mit Heads beides ein und legt ein USB-Sicherheitsgerät bei; verwendet wird nach Herstellerangabe ein Nitrokey-Token. Dieser Token übernimmt zusätzlich die OpenPGP-Funktion für das Signieren und Prüfen der Boot-Dateien. Beim Einrichten wird außerdem ein TPM-Schlüssel zum Entsperren des Datenträgers angelegt – dieser Teil ist von der weiter unten beschriebenen Schwachstelle ausdrücklich nicht betroffen.

Auf Wunsch wird der Token getrennt vom Rechner versendet. Das kann einen Angriff auf die Lieferkette erschweren, weil Laptop und externer Vertrauensanker nicht denselben Transportweg nehmen. Es ersetzt aber keine eigene Überprüfung nach Erhalt. Und für den Alltag gilt: Technisch funktioniert der Token auch dann, wenn du ihn zusammen mit dem Laptop transportierst. Getrennte Aufbewahrung erhöht lediglich den Aufwand für einen Angreifer, der beide Teile bräuchte – das ist eine Entscheidung deines Bedrohungsmodells, keine technische Voraussetzung.

Nicht jeder Heads Laptop schützt gleich gut

Das ist der Punkt, den kaum eine Kaufberatung nennt und der über den tatsächlichen Nutzen entscheidet. Es gibt eine bekannte Schwachstelle beim Zurücksetzen des TPM über GPIO-Leitungen. Auf Plattformen, bei denen coreboot die Konfiguration dieser Leitungen nicht sperrt, kann ein Angreifer mit Codeausführung im Betriebssystem das TPM zurücksetzen und PCR-Werte fälschen – womit sich sowohl die TOTP-Attestierung als auch die HOTP-Prüfung umgehen lässt.

Wichtig zur Einordnung: Heads selbst ist nicht verwundbar; die Ursache liegt in der Firmware-Ebene darunter, der Fix muss aus dem coreboot-Projekt kommen. Und der TPM-Schlüssel zum Entsperren des Datenträgers ist auf keiner Plattform betroffen, weil er zusätzlich eine Passphrase verlangt.

← Tabelle seitlich scrollen →

Auszug aus der Statusübersicht des Heads-Projekts zur TPM-GPIO-Schwachstelle. Die vollständige Liste umfasst weitere Boards; Stand kann sich mit coreboot-Aktualisierungen ändern.

Was Anti-Evil-Maid nicht abdeckt

Heads überwacht definierte Teile der Firmware- und Boot-Kette. Es prüft nicht jede denkbare Firmware und jedes Peripheriegerät. Physische Hardwareimplantate, manipulierte Peripherie oder nicht gemessene Firmwarebereiche erfordern zusätzliche Maßnahmen. Drei Punkte, die zum ehrlichen Bild gehören:

Beim Aufwachen aus dem Schlafmodus wird nicht erneut geprüft. Die Integritätsprüfung läuft beim Kaltstart, nicht beim Aufwachen aus dem Schlafmodus – gemeint ist Suspend, nicht der Ruhezustand mit Auslagerung auf den Datenträger. Ein Angreifer mit kurzem Zugriff auf ein pausiertes System könnte dieses kompromittieren und eine täuschend echte Sperrbildschirm-Abfrage hinterlassen. Die Empfehlung des Projekts ist eindeutig: herunterfahren statt in den Schlafmodus schicken, wenn das Gerät die Umgebung wechselt – und für Datenträgerentschlüsselung und Bildschirmsperre unterschiedliche Passphrasen verwenden.

Hardware bleibt außen vor. Ein Aufzeichner zwischen Tastatur und Platine wird von keiner Firmwareprüfung erfasst. Dafür ist die physische Ebene zuständig, siehe nächster Abschnitt.

Der Relay-Angriff bleibt schwierig. Wird das ganze Gerät ausgetauscht und der Prüfcode weitergeleitet, hilft die Attestierung nur bedingt.

Werkseitige Einrichtung und eigene Übernahme

Hier ist eine Unterscheidung wichtig, die in Produktbeschreibungen verschwimmt. Es gibt drei verschiedene Dinge: die technische Einrichtung von Heads, die werkseitige Vorbereitung durch den Hersteller und die spätere Übernahme durch dich.

Der Hersteller kann die werkseitige Startverifizierung nur vollständig vorbereiten, wenn die dafür vorgesehene Betriebssystem- und Einrichtungskonfiguration mitbestellt wird. Ohne diese kommt das Gerät in einem nicht eingerichteten Zustand an, und für den Transportweg lässt sich keine Aussage über Manipulationen treffen. Heads selbst ist technisch nicht grundsätzlich auf ein bereits installiertes Betriebssystem angewiesen – die Einschränkung betrifft die Vorbereitung ab Werk.

Unabhängig davon empfiehlt der Hersteller einen eigenen Rücksetz- und Übernahmevorgang nach Erhalt: Dabei erzeugst du ein neues Geheimnis für die Attestierung, setzt eigene Zugangsdaten und verschlüsselst die Daten neu. Damit werden alle vom Hersteller vergebenen Zugangsdaten bedeutungslos. Wer den Lieferweg als Teil seines Bedrohungsmodells betrachtet, sollte diesen Schritt einplanen – er ist der eigentliche Moment, ab dem das Gerät nur noch dir gehört.

Manipulationsspuren am Gehäuse

Die Firmwareprüfung erfasst die gemessene Boot-Kette. Sie erfasst nicht, dass jemand das Gehäuse öffnet und Hardware ergänzt. Dafür gibt es eine zweite, sehr viel einfachere Ebene, die beim Konfigurieren wählbar ist.

Fertig kaufen oder nachrüsten

Es gibt drei Wege zu einem Laptop mit Heads Firmware, und sie unterscheiden sich vor allem darin, wie viel du selbst machst.

← Tabelle seitlich scrollen →

Angaben des Herstellers. Die verlinkten Namen sind Partnerlinks · Anzeige. Für dich ändert sich am Preis nichts.

Beim Nachrüstpaket wird eine Laufzeit gewählt. Sie beschreibt den Zeitraum, in dem du Zugriff auf die zugehörigen Firmware-Ausgaben und den direkten Support erhältst – nicht das Ende jeder Sicherheitswartung der Plattform. Prüfe vor dem Kauf, welcher Supportzeitraum für dein konkretes Gerät und welche Firmwareversion vorgesehen ist.

Zur Betriebssystemfrage: Bei der von NovaCustom offiziell unterstützten Heads-Konfiguration für diese Laptopmodelle ist Qubes OS das vorgesehene System. Das ist keine Eigenschaft von Heads insgesamt – das Projekt dokumentiert auch die Installation anderer Systeme. Für die Kaufentscheidung zählt aber, was der Hersteller unterstützt. Welche Geräte für Qubes OS zertifiziert sind, zeigt unsere Übersicht zu Qubes OS zertifizierter Hardware.

Für wen sich ein Laptop mit Heads lohnt

Es lohnt sich, wenn dein Gerät regelmäßig außerhalb deiner Kontrolle ist und die Daten darauf wertvoll genug sind, dass jemand Aufwand betreibt. Das trifft auf Menschen zu, die mit vertraulichen Hinweisen arbeiten, auf Reisende mit Firmengeheimnissen und auf alle, deren Arbeit politisch heikel ist. Wie schnell aus einer politischen Debatte konkreter Druck auf verschlüsselte Kommunikation wird, zeigt unser Beitrag zu Chatkontrolle und dem Zugriff auf Verschlüsselung.

Es lohnt sich nicht, wenn dein Notebook zu Hause steht und nie fremde Hände sieht. Dann investierst du Einarbeitung in ein Szenario, das bei dir nicht eintritt. Eine Standardfirmware mit verschlüsseltem Datenträger ist für diesen Fall die vernünftigere Wahl.

Ein dritter Fall, der oft übersehen wird: Wer größere Beträge in Kryptowährungen selbst verwahrt, hat ein Angriffsziel, das physischen Aufwand lohnt. Dass Täter dabei nicht immer den Umweg über Technik nehmen, zeigt unsere Auswertung zu Raubüberfällen auf Krypto-Besitzer und den Einfallstoren dahinter. Boot-Attestierung schützt gegen die leise Variante, nicht gegen die laute.

Begriffe kurz erklärt

Häufige Fragen

Was ist ein Evil-Maid-Angriff?

Ein Angriff mit kurzem physischem Zugriff auf ein unbeaufsichtigtes Gerät. Manipuliert werden können Firmware, Bootloader, Boot-Dateien oder Hardware. Das bekannteste Beispiel ist eine veränderte Startumgebung, die beim nächsten Einschalten die Passphrase der Festplattenverschlüsselung aufzeichnet.

Was bedeutet Anti-Evil-Maid bei einem Laptop?

Verfahren, die dir vor der Eingabe deiner Passphrase nachweisen, dass die Startumgebung dem eingerichteten Zustand entspricht. Heads setzt dafür auf gemessenen Start, TPM-Register und eine externe Bestätigung über Authenticator-App oder USB-Sicherheitsgerät.

Wie erkennt Heads eine manipulierte Firmware?

Über zwei Ebenen: Der gemessene Start legt kryptografische Messwerte in den TPM-Registern ab, und zusätzlich werden wichtige Boot-Dateien anhand signierter Hashes geprüft. Weicht der Zustand von der eingerichteten Referenz ab, scheitert die Attestierung und du wirst gewarnt.

Was ist Measured Boot?

Der Startvorgang wird gemessen statt erzwungen: Jeder Bestandteil wird kryptografisch erfasst und der Messwert in ein TPM-Register erweitert. Anders als bei einem Verfahren, das bei Abweichung einfach den Start verweigert, bleibt so nachvollziehbar, was sich geändert hat.

Welche Rolle spielt das TPM bei Heads?

Es speichert die Messwerte des Startvorgangs in Registern, deren Inhalt sich nur durch Erweitern verändern lässt, und es gibt gesiegelte Geheimnisse nur bei passendem Zustand frei. Ohne diese Eigenschaft wäre die Attestierung nicht fälschungssicher.

Warum braucht Heads einen USB-Sicherheitsschlüssel?

Weil du dem Bildschirm eines möglicherweise manipulierten Geräts nicht trauen kannst. Der Token führt die Prüfung extern durch und zeigt das Ergebnis selbst an. Der Unterschied zum zeitbasierten Verfahren liegt im Prüfweg: Dort liest du einen Code ab und vergleichst ihn selbst, hier übernimmt das Sicherheitsgerät die Prüfung und zeigt das Ergebnis über seine Leuchtanzeige.

Ist Heads dasselbe wie Secure Boot?

Nein. UEFI Secure Boot prüft, ob Startdateien nach der konfigurierten Schlüsselpolitik autorisiert sind. Heads kombiniert gemessenen Start in TPM-Registern, externe Attestierung und die Prüfung wichtiger Boot-Dateien. Bei der Herstellerkonfiguration mit Qubes OS läuft Heads zudem nicht zusätzlich zu Secure Boot, sondern ersetzt die Standard-Startumgebung.

Kann ein Laptop mit Heads trotzdem manipuliert werden?

Ja. Heads überwacht definierte Teile der Firmware- und Boot-Kette. Hardwareimplantate, manipulierte Peripherie und nicht gemessene Bereiche fallen nicht darunter. Außerdem wird beim Aufwachen aus dem Schlafmodus nicht erneut geprüft, und auf einigen Plattformen lässt sich die Attestierung über eine bekannte TPM-Schwachstelle umgehen.

Schützt Festplattenverschlüsselung nicht schon ausreichend?

Eine korrekt konfigurierte Verschlüsselung schützt Daten im ausgeschalteten oder gesperrten Zustand sehr wirksam gegen das Auslesen eines gestohlenen Datenträgers. Sie schützt allein aber nicht gegen eine zuvor manipulierte Startumgebung, die beim nächsten Entsperren die Passphrase abgreift. Beides gehört zusammen.

Weiterlesen

Ein amnesisches System vom USB-Stick als ergänzende Ebene – wichtig zur Einordnung: Ein solches System löst ein anderes Problem als Heads. Es reduziert Datenspuren und dauerhaften Zustand, setzt dafür aber eine vertrauenswürdige Hardware- und Firmwarebasis voraus; gegen manipulierte Firmware bietet es allein keinen Schutz. Genau deshalb beschreibt das Heads-Projekt beide als unterschiedliche, sich ergänzende Schutzebenen. Der Beitrag zeigt, wofür sich der Live-Betrieb im Alltag eignet.

Worauf es beim USB-Stick für sichere Systeme ankommt – sobald Sicherheit an einem Wechseldatenträger hängt, wird dessen Qualität zum Teil des Schutzes. Der Beitrag erklärt, welche Rolle Gehäuse, Haltbarkeit und Schutzklasse spielen und woran billige Sticks scheitern. Das Heads-Projekt empfiehlt zusätzlich einen Stick mit physischem Schreibschutzschalter, damit eine kompromittierte Sitzung das Medium nicht verändern kann. Die günstigste Stelle, an der man nicht sparen sollte.

SecurityTitan V54 und V56: was in der Reihe steckt – das fertig eingerichtete Paket mit genau dieser Firmware – inklusive dem, was im Alltag dafür entfällt.

PrivacyGuard oder SecurityTitan: welche Reihe passt? – die Entscheidung zwischen Boot-Attestierung und einfacher Datensparsamkeit, an der tatsächlichen Nutzung ausgerichtet.

BusKill: Laptop Kill Cord als Diebstahlschutz – die Boot-Attestierung schützt das unbeaufsichtigte Gerät, das Kill-Cord den Moment, in dem es dir entrissen wird. Zwei verschiedene Bedrohungen.