Microsoft übergab BitLocker-Schlüssel an US-Behörden – neue Debatte um Verschlüsselung

Der US-Softwarekonzern Microsoft sieht sich erneut mit Fragen zur Sicherheit seiner Verschlüsselungstechnologie konfrontiert. Hintergrund sind Berichte, wonach das Unternehmen US-Bundesbehörden Wiederherstellungsschlüssel für mit BitLocker verschlüsselte Laptops übermittelt hat, um den Zugriff auf Daten im Rahmen eines Ermittlungsverfahrens zu ermöglichen.

Betroffen waren demnach drei sichergestellte Geräte aus einem Betrugsfall im Zusammenhang mit staatlichen Unterstützungsleistungen während der Corona-Pandemie auf Guam. Die Rechner waren durch BitLocker geschützt, ein auf vielen Windows-Systemen voreingestelltes Verfahren zur vollständigen Festplattenverschlüsselung.

Nach Angaben aus Gerichtsunterlagen hatten Ermittler die Geräte zunächst beschlagnahmt und später einen richterlichen Beschluss erwirkt. In der Folge wandten sie sich an Microsoft, um die benötigten Wiederherstellungsschlüssel zu erhalten. Diese Schlüssel werden üblicherweise automatisch im Cloud-Konto der Nutzer hinterlegt, sofern die entsprechende Funktion nicht deaktiviert wird.

Microsoft verweist darauf, dass der Konzern nur in begrenztem Umfang mit derartigen Anfragen konfrontiert sei und diese ausschließlich bei Vorliegen einer rechtlichen Grundlage bediene. Gleichwohl hat der Vorgang erneut Zweifel daran geweckt, ob die zentrale Speicherung sensibler Schlüssel den Anspruch einer umfassenden Datensicherheit ausreichend erfüllt.

In Fachkreisen wird insbesondere auf mögliche Risiken hingewiesen, die aus der Bündelung großer Mengen solcher Schlüssel in cloudbasierten Systemen entstehen können. Auch wenn ein unbefugter Zugriff allein ohne die entsprechenden Endgeräte keinen unmittelbaren Datenzugang ermöglichen würde, rückt das Modell der Schlüsselverwaltung erneut in den Fokus sicherheitspolitischer Diskussionen.

Die aktuellen Entwicklungen unterstreichen die anhaltende Herausforderung, Datenschutzinteressen von Nutzern mit den Anforderungen der Strafverfolgung in Einklang zu bringen. Zugleich werfen sie Fragen nach der Weiterentwicklung technischer Schutzmechanismen und der Verantwortung von Softwareanbietern im Umgang mit sensiblen Zugangsdaten auf.