Cloud-Risiko bei BitLocker: Microsoft bestätigt Herausgabe von BitLocker-Schlüsseln an FBI

Apple und Google betonen regelmäßig, dass sie technisch nicht in der Lage sind, verschlüsselte Smartphones oder Tablets ihrer Kunden zu entsperren, selbst wenn Behörden dies fordern. Bei Microsoft und der Windows-Verschlüsselung BitLocker stellt sich die Situation differenzierter dar. Sofern der Nutzer den Wiederherstellungsschlüssel in der Cloud speichert, kann der Konzern diesen an Strafverfolgungsbehörden übermitteln.

BitLocker ist die in Windows integrierte Funktion zur Laufwerksverschlüsselung, die Daten auf Festplatten vor unbefugtem Zugriff schützt, etwa bei Diebstahl des Geräts. Um im Notfall wieder Zugriff auf das System zu erhalten, wird bei der Einrichtung ein Wiederherstellungsschlüssel generiert. Windows bietet hierfür verschiedene Sicherungsmethoden an: Der Code kann ausgedruckt, auf einem USB-Stick gespeichert oder direkt im Microsoft-Konto in der Cloud hinterlegt werden.

Entscheidet man sich für die Speicherung im Microsoft-Konto, liegen die sensiblen Daten auf den Servern des Redmonder Konzerns. Wie Microsoft gegenüber Forbes bestätigte, werden diese BitLocker-Schlüssel herausgegeben, wenn eine gültige richterliche Anordnung vorliegt. Das FBI stellt jährlich etwa 20 solcher Anfragen. Dies impliziert, dass Microsoft Zugriff auf die Schlüsseldaten hat, wobei unklar bleibt, ob diese auf den Servern im Klartext oder verschlüsselt vorliegen.

Die Speicherung in der Cloud müsste aber nicht zwingend bedeuten, dass der Anbieter Lesezugriff auf die Daten haben muss. Technisch ließen sich die Wiederherstellungsschlüssel auf den Servern sehr wohl so ablegen, dass sie beispielsweise mit einem separaten Passwort oder Hash des Nutzers verschlüsselt sind. In diesem Szenario könnte Microsoft die Daten zwar hosten, hätte aber selbst keine Möglichkeit, diese im Klartext einzusehen oder an Behörden weiterzugeben. Da der Konzern die Schlüssel jedoch auf richterliche Anordnung übermitteln kann, findet eine solche Absicherung hier offensichtlich keine Anwendung. Dies wirft auch Fragen nach der allgemeinen Sicherheit der in der Cloud gespeicherten Wiederherstellungsschlüssel auf.

Microsoft-Sprecher Charles Chamberlayne merkte an, dass die Cloud-Wiederherstellung zwar Komfort biete, aber eben auch das Risiko eines ungewollten Zugriffs beinhalte. Nutzer müssen daher abwägen, ob sie diesen Komfort nutzen oder den Schlüssel ausschließlich lokal aufbewahren.