Secure Exclave

In einem Smartphone steckt nicht nur ein einziger Rechenkern. Moderne Chips enthalten mehrere kleine Teilbereiche, die jeweils eine eigene Aufgabe haben. Ein Secure Exclave ist so ein Teilbereich, und zwar ein besonders streng abgeriegelter. Er läuft getrennt vom Hauptprogramm des Geräts und hat seinen eigenen kleinen Speicher. Nur ganz bestimmte, fest verdrahtete Aufgaben werden ihm überhaupt anvertraut. Der Rest des Systems kann ihm keine beliebigen Befehle geben, sondern nur eng definierte Anfragen stellen. Apple hat diese Bauteile in seinen eigenen Chips eingeführt und nutzt sie zum Beispiel dafür, Kamera und Mikrofon zuverlässig stillzulegen.

Was passiert, wenn das Betriebssystem fällt

Sicherheit auf Handys wurde lange so gedacht: Das Betriebssystem passt auf alle Programme auf. Ein Betriebssystem ist die Software, die den ganzen Rechner verwaltet, bei Apple heißt sie iOS. Das Problem an dieser Denkweise ist einfach. Wenn ein Angreifer das Betriebssystem selbst übernimmt, hat er auch alle Kontrollen übernommen.

Genau das ist in der Praxis passiert. Überwachungssoftware wie Pegasus hat es geschafft, bis in den innersten Kern von iOS vorzudringen. Danach konnte sie mitlesen, mithören und die Kamera nutzen. Für die Betroffenen war von außen nichts zu erkennen.

Ein Secure Exclave dreht diese Logik um. Bestimmte Entscheidungen trifft nicht mehr das Betriebssystem, sondern ein Bauteil, das dem Betriebssystem gar nicht gehorcht. Ein Angreifer müsste dieses Bauteil zusätzlich und getrennt knacken. Fachleute nennen das eine Verkleinerung der Angriffsfläche: Es gibt weniger Stellen, an denen ein einziger Fehler alles zusammenbrechen lässt.

Abgeriegelt statt nur verwaltet

Der Trick ist die räumliche Trennung im Chip. Das Secure Exclave hat eigene Rechenlogik, eigenen Speicher und eigene Leitungen zu den Bauteilen, die es kontrolliert. Der Hauptprozessor kann diesen Speicher nicht auslesen und nicht verändern. Kommunikation läuft nur über ein schmales, festgelegtes Nachrichtenformat. Man kann sich das wie eine Durchreiche in einem Tresorraum vorstellen: Man darf Zettel hineinschieben, aber nicht selbst hinein.

Ein gutes Beispiel ist die Kamerasperre. Wenn du Kamera und Mikrofon abschaltest, wird nicht bloß eine Software-Einstellung gesetzt. Das Exclave trennt die Datenverbindung zur Kamera tatsächlich. Es steuert auch die kleine Leuchte, die anzeigt, dass die Kamera aktiv ist. Diese Anzeige lässt sich per Software nicht fälschen, weil kein Programm im Betriebssystem sie ansprechen kann.

Wichtig ist die Abgrenzung zur Secure Enclave, die es bei Apple schon länger gibt. Die Secure Enclave verwahrt Geheimnisse: Fingerabdruck-Daten, Gesichtsdaten, Schlüssel. Ein Secure Exclave verwahrt keine Geheimnisse, sondern setzt Regeln durch. Die Namen ähneln sich stark, die Aufgaben sind verschieden.

Sperrmodus, iPhones und Chip-Marketing

Am deutlichsten begegnet dir die Technik im Sperrmodus von iPhones, auf Englisch Lockdown Mode. Dieser Modus ist für Journalisten, Aktivisten und Politiker gedacht, die mit gezielten Angriffen rechnen müssen. Er schaltet viele Funktionen ab, die Angreifer ausnutzen könnten. Seit Apple Secure Exclaves nutzt, werden diese Abschaltungen in der Hardware verankert und nicht mehr nur in der Software.

In Fachnachrichten tauchen Secure Exclaves meist auf, wenn Apple neue Chips vorstellt. Dort stehen sie neben Begriffen wie Speichersicherheit oder Pointer-Schutz. Solche Ankündigungen sind auch wirtschaftlich interessant. Wer Chips selbst entwirft, kann Sicherheitsfunktionen einbauen, die Konkurrenten mit zugekauften Chips so nicht anbieten können.

Ein häufiger Irrtum ist, ein Secure Exclave mache ein Gerät unhackbar. Das stimmt nicht. Es begrenzt nur, was ein erfolgreicher Angriff anrichten kann. Phishing, schwache Passwörter oder freiwillig erteilte App-Rechte bleiben davon völlig unberührt.