Wenn ein Computer eingeschaltet wird, beginnt eine erstaunlich komplexe Kette von Vorgängen. Noch bevor Windows oder ein anderes Betriebssystem sichtbar wird, wurden bereits Firmware-Komponenten ausgeführt, Hardware initialisiert, UEFI-Treiber geladen und der Bootloader gestartet. Genau diese frühe Phase ist aus Sicherheitssicht besonders interessant. Gelingt es einem Angreifer, Schadcode bereits dort unterzubringen, kann dieser aktiv werden, bevor klassische Sicherheitssoftware überhaupt gestartet wurde. Bootkits und Firmware-Manipulationen zielen deshalb auf Bereiche, die besonders tief im System liegen und sich mit normalen Dateiprüfungen nur eingeschränkt kontrollieren lassen.
Eine mögliche Antwort darauf ist Measured Boot. Dabei versucht der Rechner nicht lediglich, bestimmte Komponenten zuzulassen oder abzulehnen. Stattdessen werden wichtige Bestandteile des Startvorgangs kryptografisch vermessen. Aus Firmware, Konfigurationen, Bootloadern und weiteren Komponenten entstehen Hashwerte, die während des Bootvorgangs in einer geschützten Struktur gesammelt werden. Dadurch entsteht eine Art kryptografisches Protokoll darüber, in welchem Zustand ein Rechner gestartet wurde.
Secure Boot und Measured Boot lösen unterschiedliche Aufgaben
Secure Boot und Measured Boot werden häufig miteinander verwechselt, verfolgen jedoch unterschiedliche Ziele. Secure Boot soll verhindern, dass nicht vertrauenswürdiger Code während des Startvorgangs ausgeführt wird. UEFI überprüft dazu digitale Signaturen bestimmter Komponenten. Ist beispielsweise ein Bootloader nicht mit einem akzeptierten Schlüssel signiert oder wurde er verändert, kann dessen Ausführung verhindert werden. Secure Boot funktioniert damit wie ein Türsteher: Bestimmte Software darf passieren, andere wird zurückgewiesen.
Measured Boot arbeitet anders. Es dokumentiert Eigenschaften der Komponenten, die während des Startvorgangs beteiligt sind. Vereinfacht ausgedrückt lautet die Frage nicht nur: „Darf dieses Programm gestartet werden?“, sondern zusätzlich: „Was wurde tatsächlich gestartet und in welchem Zustand befand sich das System dabei?“ Gerade diese Unterscheidung ist wichtig. Eine Messung verhindert eine Manipulation nicht automatisch. Sie kann jedoch dazu beitragen, Abweichungen vom erwarteten Systemzustand später nachweisbar zu machen.
Das TPM ist mehr als ein Chip für Windows 11
Das Trusted Platform Module, kurz TPM, wurde vielen Anwendern vor allem durch die Hardwareanforderungen von Windows 11 bekannt. Tatsächlich reicht seine Aufgabe wesentlich weiter. Ein TPM stellt geschützte kryptografische Funktionen bereit, kann Schlüssel verwalten und besitzt spezielle Register, die unter anderem für Messungen des Plattformzustands vorgesehen sind. Diese sogenannten Platform Configuration Registers, kurz PCR, spielen bei Measured Boot eine entscheidende Rolle.
PCRs funktionieren nicht wie gewöhnliche Speicherzellen, in die ein beliebiger Wert geschrieben und später wieder überschrieben wird. Neue Messwerte werden über eine spezielle Extend-Operation mit dem bisherigen Registerinhalt verknüpft. Vereinfacht entsteht aus dem alten PCR-Wert und einem neuen Messwert wiederum ein neuer Hashwert. Dadurch bildet sich eine kryptografische Kette. Wird an einer relevanten Stelle der Startsequenz etwas verändert, kann sich am Ende auch der resultierende PCR-Wert unterscheiden.
Aus einzelnen Messungen entsteht eine Startgeschichte
Ein einzelner Hashwert sagt zunächst wenig darüber aus, was während des Startvorgangs passiert ist. Deshalb existiert zusätzlich ein Ereignisprotokoll, in dem die einzelnen Messvorgänge beschrieben werden. Die PCRs können gewissermaßen bestätigen, dass die Reihenfolge und die enthaltenen Messungen zusammengehören, während das Event Log Informationen darüber liefert, welche Komponenten und Ereignisse zu diesen Messungen geführt haben.
Diese Kombination ist besonders interessant, wenn nach einem Sicherheitsvorfall geklärt werden muss, ob sich Veränderungen bereits auf Firmware-, UEFI- oder Bootebene abgespielt haben könnten. Bei einer professionellen IT-Forensik können deshalb neben Dateien, Benutzeraktivitäten und Betriebssystemprotokollen auch Informationen über den Startzustand eines Systems relevant sein. Gerade bei Verdacht auf tieferliegende Manipulationen reicht es nicht immer aus, ausschließlich das laufende Betriebssystem zu betrachten.
Ein Hashwert ist kein Fingerabdruck im klassischen Sinn
Bei der Beschreibung von Measured Boot wird häufig vom digitalen Fingerabdruck einer Komponente gesprochen. Das ist anschaulich, kann aber zu Missverständnissen führen. Ein kryptografischer Hash ist kein gespeichertes Abbild einer Datei und ermöglicht normalerweise auch nicht, deren ursprünglichen Inhalt wiederherzustellen. Eine Hashfunktion verarbeitet Daten beliebiger Länge und erzeugt daraus einen Wert definierter Länge.
Verändert sich der Eingang, entsteht mit sehr hoher Wahrscheinlichkeit ein anderer Hashwert. Genau diese Eigenschaft macht Hashfunktionen für Integritätsprüfungen geeignet. Wird beispielsweise ein Bootloader verändert, sollte sich auch dessen Messwert verändern. Damit lässt sich eine Abweichung erkennen, ohne den vollständigen Inhalt der Komponente innerhalb des TPM speichern zu müssen.
PCR-Werte werden nicht einfach überschrieben
Eine der technisch interessantesten Eigenschaften der Platform Configuration Registers ist ihre Verkettung. Angenommen, ein PCR besitzt bereits einen bestimmten Wert und eine weitere Komponente wird gemessen. Das TPM kombiniert den bestehenden Registerwert mit dem neuen Messwert und berechnet daraus wiederum einen Hash. Dieser neue Wert ersetzt den bisherigen Registerinhalt.
Dadurch spielt auch die Reihenfolge der Messungen eine Rolle. Werden dieselben Komponenten in einer anderen Reihenfolge verarbeitet oder verändert sich eine einzelne Messung innerhalb der Kette, kann ein anderer Endzustand entstehen. Ein Angreifer kann deshalb nicht einfach den letzten erwarteten Hashwert in das Register schreiben. Die vorgesehenen PCR-Operationen sind gerade darauf ausgelegt, eine nachvollziehbare Messkette aufzubauen.
Das Ereignisprotokoll erklärt die PCR-Werte
Die PCR-Werte allein reichen für eine detaillierte Analyse meist nicht aus. Man könnte feststellen, dass sich ein Wert gegenüber einem bekannten Zustand verändert hat, wüsste dadurch jedoch noch nicht zwangsläufig, welches Ereignis dafür verantwortlich war. Das zugehörige Measured-Boot- beziehungsweise TCG-Event-Log enthält deshalb wesentlich detailliertere Angaben zu den vorgenommenen Messungen.
Windows legt entsprechende Measured-Boot-Protokolle an, die sich mit geeigneten Werkzeugen auswerten lassen. Dadurch kann nachvollzogen werden, welche Messungen während des Startvorgangs vorgenommen wurden und welche Veränderungen bestimmte PCR-Zustände verursacht haben. Gerade bei komplexen Systemen ist das wichtig, denn nicht jede Veränderung bedeutet automatisch einen Angriff. Firmwareupdates, geänderte UEFI-Einstellungen oder legitime Änderungen am Bootprozess können ebenfalls neue Messwerte erzeugen.
BitLocker nutzt den Plattformzustand für die Laufwerksentschlüsselung
Eine besonders verbreitete praktische Anwendung der PCRs findet sich bei BitLocker. Wird die Laufwerksverschlüsselung zusammen mit einem TPM verwendet, kann die Freigabe des benötigten Schlüssels an bestimmte Plattformzustände gebunden werden. Der Computer erhält dadurch den Entschlüsselungsschlüssel nicht einfach nur deshalb, weil ein TPM vorhanden ist. Das TPM kann zusätzlich berücksichtigen, ob relevante Messwerte dem erwarteten Zustand entsprechen.
Verändert sich beispielsweise die Bootumgebung erheblich, kann BitLocker deshalb in den Wiederherstellungsmodus wechseln. Für Anwender wirkt das gelegentlich wie ein unerklärlicher Fehler nach einer Änderung an BIOS oder UEFI. Tatsächlich kann genau dieses Verhalten Teil des Sicherheitskonzeptes sein: Das System stellt fest, dass der aktuelle Startzustand nicht mehr mit dem Zustand übereinstimmt, unter dem der Schlüssel normalerweise freigegeben wird.
Firmwareupdates können legitime Messwerte verändern
Measured Boot besitzt keine eingebaute Fähigkeit, jede Abweichung automatisch als gut oder böse zu klassifizieren. Wird eine UEFI-Firmware ordnungsgemäß aktualisiert, verändern sich zwangsläufig bestimmte Bestandteile des Systems. Neue Komponenten erzeugen andere Hashwerte und können damit auch andere PCR-Zustände zur Folge haben. Ähnliches gilt für Änderungen an Bootloadern, Sicherheitsrichtlinien oder bestimmten Hardwarekonfigurationen.
Die eigentliche Herausforderung besteht deshalb darin, einen gemessenen Zustand zu bewerten. Ein unbekannter Messwert ist zunächst lediglich anders. Erst durch den Vergleich mit bekannten vertrauenswürdigen Zuständen oder durch die Auswertung der zugrunde liegenden Ereignisse lässt sich beurteilen, ob die Veränderung erwartet war. Measured Boot liefert also Beweise über einen Zustand, aber nicht automatisch dessen vollständige Interpretation.
Remote Attestation verlagert die Vertrauensentscheidung nach außen
Besonders interessant wird Measured Boot in Verbindung mit Remote Attestation. Dabei beurteilt nicht ausschließlich der betreffende Rechner selbst seinen Zustand. Ein externer vertrauenswürdiger Dienst kann Informationen über die Bootmessungen erhalten und anhand festgelegter Regeln entscheiden, ob das Gerät als vertrauenswürdig gelten soll.
Das löst ein grundsätzliches Sicherheitsproblem. Ein vollständig kompromittierter Rechner könnte theoretisch versuchen, seiner eigenen Sicherheitssoftware einen normalen Zustand vorzutäuschen. Werden kryptografisch abgesicherte TPM-Informationen dagegen von einer unabhängigen Instanz geprüft, wird diese Täuschung schwieriger. In Unternehmensnetzwerken kann eine solche Prüfung beispielsweise Bestandteil einer Entscheidung darüber sein, ob ein Gerät Zugriff auf bestimmte Ressourcen erhält.
Das TPM unterschreibt nicht einfach beliebige Behauptungen
Für eine vertrauenswürdige Attestation muss verhindert werden, dass ein Rechner lediglich behauptet, bestimmte PCR-Werte zu besitzen. Das TPM kann deshalb kryptografische Schlüssel verwenden, um Informationen über seinen Zustand nachweisbar mit dem konkreten Sicherheitsmodul zu verbinden. Ein prüfendes System kann dadurch feststellen, dass die übermittelten Angaben tatsächlich aus einem entsprechenden TPM stammen.
Eine wichtige Rolle spielt dabei auch die Verwendung einer sogenannten Nonce, also eines einmal verwendeten Zufallswertes. Ein Prüfserver kann einen solchen Wert an das Gerät senden und verlangen, dass er in die kryptografische Antwort einbezogen wird. Dadurch lässt sich verhindern, dass ein Angreifer einfach eine alte gültige Attestation aufzeichnet und später erneut übermittelt.
Bootkits greifen besonders früh in das System ein
Die Motivation für Verfahren wie Measured Boot wird verständlicher, wenn man betrachtet, weshalb Bootkits so problematisch sind. Schadsoftware, die erst nach dem vollständigen Start des Betriebssystems ausgeführt wird, muss sich gegen bereits aktive Sicherheitsmechanismen behaupten. Ein Bootkit versucht dagegen, früher Kontrolle zu erlangen.
Wird Schadcode vor dem eigentlichen Betriebssystem gestartet, kann er theoretisch Einfluss darauf nehmen, wie nachfolgende Komponenten ausgeführt werden. Besonders tiefgreifende Manipulationen können außerdem Neuinstallationen oder den Austausch einzelner Dateien überstehen, wenn sie in Bereichen liegen, die dabei nicht verändert werden. Gerade deshalb versuchen moderne Plattformen, die Vertrauenskette möglichst früh zu beginnen.
Noch tiefer liegen Angriffe auf die Firmware
Eine weitere Ebene unterhalb klassischer Bootloader bilden Firmware-Komponenten. Moderne Computer verfügen nicht über eine einzige Firmware, sondern über zahlreiche Bestandteile. UEFI selbst ist komplex, hinzu kommen Firmware für unterschiedliche Geräte und Controller. Je früher ein manipulierter Bestandteil ausgeführt wird, desto schwieriger kann seine Erkennung durch gewöhnliche Betriebssystemwerkzeuge werden.
Measured Boot kann auch hier wichtige Informationen liefern, sofern die betreffende Komponente Teil der vorgesehenen Messkette ist. Allerdings darf daraus nicht geschlossen werden, dass automatisch jede Firmwaremanipulation erkannt wird. Ein Messsystem kann nur zuverlässig über Komponenten berichten, die tatsächlich korrekt gemessen werden. Ist bereits die Grundlage der Messung selbst kompromittiert, wird die Analyse wesentlich schwieriger.
Die Root of Trust muss irgendwo beginnen
Jede Vertrauenskette besitzt einen Ausgangspunkt. Irgendwo muss eine Komponente existieren, der zunächst vertraut wird, damit sie die nächste Stufe prüfen oder messen kann. Dieses Prinzip wird als Root of Trust bezeichnet. Bei modernen Plattformen werden dafür möglichst kleine, klar definierte und schwer manipulierbare Bestandteile verwendet.
Daraus ergibt sich eine grundlegende Grenze jeder Sicherheitsarchitektur. Ein System kann nicht unbegrenzt jede Ebene durch eine darunterliegende Ebene überprüfen lassen. Irgendwann wird ein technischer Vertrauensanker benötigt. TPM, Firmware-Sicherheitsmechanismen und Hardwarefunktionen bilden deshalb gemeinsam ein Fundament, auf dem weitere Prüfungen aufgebaut werden können.
Secure Boot kann blockieren, Measured Boot kann dokumentieren
Die Kombination verschiedener Boot-Sicherheitsverfahren ist deutlich wirksamer als jede einzelne Technik für sich. Secure Boot versucht, die Ausführung nicht autorisierter Komponenten zu verhindern. Measured Boot zeichnet relevante Zustände auf. Trusted-Boot-Mechanismen prüfen wiederum weitere Komponenten innerhalb des Betriebssystemstarts, während Anti-Malware-Technologien möglichst früh aktiviert werden.
Die Verfahren ersetzen sich nicht gegenseitig. Ein System, das ausschließlich misst, könnte einen unerwünschten Zustand zwar dokumentieren, aber trotzdem starten. Ein System, das ausschließlich Signaturen prüft, besitzt wiederum weniger Möglichkeiten, den tatsächlich durchlaufenen Startvorgang später detailliert zu bewerten. Prävention und Nachweis ergänzen sich deshalb.
Auch ein korrekt signiertes Programm kann problematisch sein
Digitale Signaturen beantworten hauptsächlich die Frage, ob Software von einem bestimmten Herausgeber stammt beziehungsweise nach der Signierung verändert wurde. Sie garantieren nicht automatisch, dass ein Programm frei von Sicherheitslücken oder schädlichem Verhalten ist. Auch legitim signierte Komponenten können Fehler enthalten oder unter bestimmten Umständen missbraucht werden.
Measured Boot darf deshalb ebenfalls nicht als Malware-Scanner verstanden werden. Das Verfahren beurteilt nicht den Programmcode wie eine Antivirenlösung. Stattdessen liefert es Informationen über die während des Startvorgangs beteiligten Komponenten und Konfigurationen. Diese Informationen können anschließend mit Sicherheitsrichtlinien oder bekannten Referenzzuständen verglichen werden.
Manipulation und Fehlkonfiguration sehen zunächst ähnlich aus
Ein veränderter PCR-Wert kann viele Ursachen besitzen. Neben Schadsoftware kommen Firmwareupdates, Änderungen an UEFI-Einstellungen, neue Hardware, veränderte Schlüssel, Bootloaderupdates oder administrative Eingriffe infrage. Für die technische Analyse ist dieser Unterschied entscheidend.
Genau deshalb sind Ereignisprotokolle und Kontextinformationen so wichtig. Ein Messwert ohne zeitliche und technische Einordnung besitzt nur begrenzte Aussagekraft. Erst wenn bekannt ist, wann sich eine Konfiguration geändert hat, welche Updates installiert wurden und welche Ereignisse im System stattgefunden haben, lässt sich ein auffälliger Bootzustand sinnvoll interpretieren.
Measured Boot macht Vertrauen messbarer
Computersecurity basiert häufig auf abstrakten Begriffen wie Vertrauen und Integrität. Measured Boot versucht, zumindest einen Teil davon in technisch überprüfbare Zustände zu übersetzen. Anstatt einfach anzunehmen, dass ein Rechner korrekt gestartet wurde, können kryptografische Messungen Informationen darüber liefern, welche Startumgebung tatsächlich vorlag.
Das ist vor allem bei großen Geräteflotten interessant. Administratoren können nicht jeden Rechner persönlich untersuchen und bei jedem Start kontrollieren, welche Firmware und welche Bootkomponenten verwendet wurden. Automatisierte Attestation kann solche Zustände in eine zentrale Sicherheitsentscheidung einbeziehen und auffällige Systeme anders behandeln als Geräte, deren Startzustand einer freigegebenen Konfiguration entspricht.
Der Startvorgang wird Teil der Sicherheitsarchitektur
Früher wurde der Bootvorgang häufig lediglich als notwendige Vorbereitung betrachtet, bevor die eigentliche Arbeit des Betriebssystems beginnt. Moderne Sicherheitskonzepte behandeln diese Phase dagegen als entscheidenden Bestandteil der gesamten Plattform. Wenn bereits vor dem Start des Kernels unbemerkter Schadcode ausgeführt wird, können spätere Schutzmaßnahmen auf einer manipulierten Grundlage arbeiten.
UEFI, Secure Boot, TPM, PCRs und Measured Boot bilden deshalb zusammen eine Sicherheitsarchitektur, die wesentlich früher ansetzt. Sie kann Angriffe nicht grundsätzlich unmöglich machen, erhöht jedoch die Zahl der Stellen, an denen Manipulationen verhindert oder zumindest sichtbar werden können. Je früher dabei eine verlässliche Vertrauenskette beginnt, desto schwieriger wird es für Schadsoftware, sich dauerhaft unterhalb des Betriebssystems zu verstecken.
Ein kleiner Chip dokumentiert den Zustand eines ganzen Systems
Das TPM selbst versteht weder Windows noch einen Bootloader und entscheidet auch nicht, ob eine bestimmte Software vertrauenswürdig ist. Seine Stärke liegt in wesentlich elementareren Funktionen: Es kann kryptografische Schlüssel schützen, Messwerte sicher verarbeiten und definierte Zustände nachweisbar machen. Erst die Kombination mit Firmware, Betriebssystem und externen Prüfmechanismen macht daraus ein umfassendes Sicherheitskonzept.
Measured Boot zeigt damit exemplarisch, wie moderne Computersicherheit zunehmend funktioniert. Nicht eine einzelne Software soll sämtliche Angriffe erkennen. Stattdessen entstehen mehrere aufeinander aufbauende Schutz- und Messebenen. Die Firmware startet die Vertrauenskette, Komponenten werden vermessen, das TPM schützt kryptografische Zustände und weitere Systeme können diese Informationen auswerten. Aus einem Vorgang, der für den Benutzer meist nur wenige Sekunden dauert, wird dadurch eine detailliert kontrollierbare technische Kette.