Secure Elements sind überall zu finden. Sie stecken in Smartphones, Hardware-Wallets, e-Pässen, Zahlungskarten, Autoschlüsseln und SIM-Karten. Diese winzigen Chips schützen einige der sensibelsten Daten, die Menschen mit sich führen. Meist sind sie zertifiziert und mit Sicherheitsstufen versehen, die beinahe Unverwundbarkeit suggerieren. Doch eine wachsende Zahl an Studien zu Fault-Injection-Angriffen zeigt ein komplexeres Bild.
Wir haben mit Sergei Skorobogatov gesprochen, einem ehemaligen Mitglied der Security Group der University of Cambridge (gegründet vom verstorbenen Ross Anderson). Er erforscht seit Jahren die physischen Grenzen solcher Chips. Heute leitet er Cambridge Research and Engineering, spezialisiert auf Datenrettung aus beschädigten ICs und die Analyse von Halbleiterbausteinen auf Backdoors.
Außerdem haben wir Shivam Bhasin interviewt, Forscher an der Nanyang Technological University in Singapur. Bhasin ist Experte für Hardwaresicherheit und Fault Injection – die Kunst, mit gezielten physischen Störungen Secure Chips zu Manipulationen zu bringen, die ihre Entwickler nie vorgesehen haben.
Was Secure Elements leisten
Bevor wir erklären, wie sie angegriffen werden, schauen wir uns an, wogegen Secure Elements eigentlich schützen sollen.
Ein Standard-Mikrocontroller, wie er in günstigen IoT-Sensoren oder einfachen Arduino-Boards steckt, speichert Firmware und Daten in Speicherbereichen, die mit handelsüblichen Tools ausgelesen werden können. Mit einem Debug-Adapter lässt sich oft der komplette Inhalt des Chips auslesen.
Manche Mikrocontroller bieten guten Schutz, während andere mit besserer Hardware-Sicherheit dennoch Backdoors in Debug-Schnittstellen haben. Spezielle Mikrocontroller in Autos sind oft schwerer angreifbar – wegen fehlender Dokumentation, einzigartigem Design und dem Fehlen von Leermustern. Das Sicherheitsniveau variiert also je nach Hersteller und Gerät.
Ein Secure Element ist von Grund auf so konzipiert, dass es sowohl logischen Angriffen (bösartige Software und Protokoll-Exploits) als auch physischen Angriffen (Sonden, Bildgebung, Manipulation) widersteht.
Zu den Schutzmechanismen gehören verschlüsselte Speicherbusse, aktive Shield-Meshes zur Erkennung physischer Eingriffe, zufällige Ausführungszeiten zur Abwehr von Side-Channel-Analysen und Sensoren, die sensible Daten löschen, wenn der Chip ungewöhnliche Spannung, Temperatur oder Lichteinwirkung erkennt.
Zertifizierungssysteme wie Common Criteria bewerten Secure-Element-Chips auf einer Skala von EAL1 bis EAL7 – je nach Tiefe der Sicherheitsprüfung.
Bhasin erkennt die Stärke dieser Basis an. Secure Elements, sagt er, „werden in der Regel von etablierten Anbietern mit jahrzehntelanger Erfahrung entwickelt und durchlaufen vor der Markteinführung strenge Penetrationstests und formale Zertifizierungsprozesse.“ Doch er schränkt ein: „Kein System ist vollkommen narrensicher.“
Warum perfekte Hardwaresicherheit nicht existiert
Skorobogatov spricht offen über die Grenzen der Hardwaresicherheit: „Es ist nicht möglich, ein vollkommen sicheres Gerät zu entwerfen“, sagt er. „Jeder Chip wird zwangsläufig Schwachstellen aufweisen, weil er von Menschen entwickelt wird, die nie alle potenziellen Angriffe kennen können. Selbst spezielle Hardware-Implementierungen wie Flash-Speicher können Schwachstellen einführen, die beim Design nicht vorhersehbar waren.“
Auch Bhasin betont, dass Sicherheit nie auf einem einzigen Mechanismus beruht.
„Moderne Chips setzen auf eine Vertrauenskette, die bei der Hardware als Wurzel beginnt und systematisch jede Komponente prüft – vom Secure Bootloader bis zur verifizierten Anwendungssoftware“, erklärt er. Jede Kette prüft das nächste Glied: Die Hardware prüft den Bootloader, der Bootloader prüft das Betriebssystem oder die Firmware, die Firmware prüft die Anwendung. Hält jede Prüfung stand, läuft nur autorisierter Code auf dem Chip.
Das Problem, so Bhasin, ist: „Jede Manipulation dieser Kette kann das gesamte System kompromittieren und möglicherweise die Ausführung nicht autorisierter oder schädlicher Anwendungen ermöglichen.“
Das ist das Prinzip von Fault Injection. Angreifer müssen nur ein Glied der Kette finden und es im richtigen Moment stören. Überspringt der Bootloader die Signaturprüfung, lädt er beliebige Firmware. Wird ein Sicherheitsflag von „gesperrt“ auf „offen“ gesetzt, sind die Schutzmechanismen des Chips ausgehebelt.
Historische Beispiele
2010 knackte Forscher Christopher Tarnovsky den Infineon SLE 66 CL PE, einen EAL4+-zertifizierten Chip, der in Trusted Platform Modules und Satelliten-TV-Karten eingesetzt wurde. Er kombinierte chemische Entkapselung, Mikrosonden und Focused-Ion-Beam (FIB)-Bearbeitung. Der Angriff dauerte Monate und erforderte Spezialausrüstung, zeigte aber, dass selbst modernste physische Schutzmaßnahmen systematisch überwunden werden können.
Auch neuere Studien belegen, dass selbst aktuelle Chips mit fortschrittlicheren Shields für Angriffe anfällig sein können, die beim Design nicht bedacht wurden. Besonders Flash-Speicher, den Skorobogatov explizit erwähnt, bleibt ein Schwachpunkt: Seine physikalischen Eigenschaften können Informationen über gespeicherte Daten preisgeben, und Schreib-/Löschmechanismen lassen sich auf unvorhergesehene Weise manipulieren.
Strukturelle Schwachstellen in der Fertigung
Ein weiteres Problem ist direkt im Fertigungsprozess angelegt. Die meisten Chips verfügen über Test-Interfaces (JTAG-Ports, Scan-Chains, proprietäre Debug-Modi), die zur Qualitätskontrolle nach der Produktion dienen. Diese Schnittstellen ermöglichen tiefen Zugriff auf den internen Zustand des Chips. Sie sollen nach der Initialisierung im Werk dauerhaft deaktiviert werden – etwa durch das Durchbrennen von One-Time-Programmable (OTP)-Fuses oder das Setzen von Lock-Bits.
In der Praxis bleibt so eine latente Angriffsfläche bestehen. „Findet ein Angreifer einen Weg, diese Funktionen wieder zu aktivieren“, erklärt Skorobogatov, „kann der volle Zugriff auf das Gerät wiederhergestellt werden.“ Forscher haben dies bei verschiedenen Chipfamilien demonstriert – manchmal genügt es, per Laser gezielt das Bit zu kippen, das den Testmodus steuert, und so eine Sicherung auf logischer Ebene quasi wiederherzustellen.
Erst Aufklärung, dann Laser: Die Angriffsphasen
Ein Angriff auf ein Secure Element folgt einer strukturierten Methodik in mehreren Stufen. Skorobogatov beschreibt einen Prozess, der meist lange vor dem ersten Laserimpuls oder der ersten Sonde beginnt.
Phase 1: Informationsbeschaffung
Zuerst steht die Recherche. Skorobogatov erklärt, dass fast alle Angriffe mit Open-Source-Intelligence beginnen: Datenblätter, Entwicklerdokumentation, Patentschriften und sogar Marketingmaterialien. Alles, was die Architektur eingrenzt. Angreifer analysieren auch ähnliche Geräte mit vollständiger Dokumentation oder Vorgängermodelle mit bekannten Schwachstellen – sie arbeiten sich vom Bekannten zum Unbekannten vor.
Forscher durchforsten öffentlich verfügbare Datenblätter, Patente, Entwicklerdokumentationen, wissenschaftliche Veröffentlichungen und selbst Marketingunterlagen. Ein Produktdatenblatt, das einen bestimmten Prozessorkern oder eine Speicherarchitektur erwähnt, kann die Suche deutlich eingrenzen.
Handelt es sich bei einem Chip um eine neue Revision einer bereits bekannten Familie, kennt der Angreifer oft schon 80 % der Architektur, bevor er das physische Gerät überhaupt untersucht.
Phase 2: Reverse Engineering
Dann folgt das Reverse Engineering auf mehreren Ebenen: Support-Software, interne Firmware, Bootloader und schließlich die Siliziumlogik selbst. Ziel ist eine detaillierte Funktionskarte des Chips – wie Daten fließen, wo Schlüssel gespeichert werden und welche Routinen für Authentifizierung zuständig sind.
Auf Software-Ebene kann Reverse Engineering bedeuten, die Firmware auszulesen und zu disassemblieren (sofern zugänglich), Kommunikationsprotokolle zwischen Chip und Hostgerät zu analysieren oder öffentlich zugänglichen SDK- oder Treibercode zu studieren, um interne Abläufe zu rekonstruieren.
Beim Hardware-Reverse-Engineering wird das Chip-Gehäuse chemisch entfernt, um den Silizium-Die freizulegen. Anschließend wird dieser Schicht für Schicht mit optischer oder elektronenmikroskopischer Bildgebung analysiert.
Spezielle Software kann aus diesen Bildern die Logikgatter des Chips rekonstruieren und so ein Schaltbild der internen Schaltung erstellen. Dieser Prozess, auch Delayering genannt, zeigt die Lage von Speicherbereichen, Kryptoprozessoren, Zufallszahlengeneratoren und Sicherheitssensoren gegen Manipulation.
Phase 3: Aktive Angriffe
Mit der Chip-Karte in der Hand folgt die aktive Ausnutzung. Das Werkzeugset ist breit: Power-Analyse, Überwachung von elektromagnetischen und optischen Emissionen, Laser-Fault-Injection, Spannungsglitching und Manipulation auf Protokollebene. Skorobogatov betont, dass jede Methode eigene Vor- und Nachteile hat, aber „in Kombination liefern sie schneller und effizienter Ergebnisse“. Die eigentliche Stärke liegt im Zusammenspiel.
Power-Analyse überwacht den Stromverbrauch des Chips in Echtzeit während Operationen. Unterschiedliche Befehle und Datenwerte verursachen minimale Schwankungen im Stromverbrauch – statistische Auswertung vieler Messungen kann geheime Schlüssel verraten.
Die Analyse elektromagnetischer Emissionen funktioniert ähnlich, misst aber das vom Chip abgestrahlte elektromagnetische Feld statt des Stromverbrauchs.
Optische Emissionsanalyse nutzt aus, dass Transistoren beim Schalten winzige Mengen Infrarotlicht abstrahlen. Mit einer empfindlichen Nahinfrarotkamera auf der Rückseite des Chips lässt sich beobachten, welche Schaltkreise bei bestimmten Operationen aktiv sind.
Power Glitching stört die Versorgungsspannung des Chips für einen kurzen Moment während der Ausführung. Ist das Timing korrekt, kann der Prozessor einen Befehl überspringen, einen Vergleich verfälschen oder eine Sicherheitsprüfung umgehen.
Manipulation auf Protokollebene zielt auf die Kommunikation zwischen Chip und Hostgerät. Durch das Modifizieren von Befehlen, Wiederholen von Transaktionen oder Einspeisen fehlerhafter Daten können Angreifer Fehlerzustände provozieren, die Informationen preisgeben oder Schutzmechanismen umgehen.
Laser Fault Injection (LFI): Präzisionswerkzeug für Angreifer
Unter all diesen Methoden nimmt Laser Fault Injection eine besondere Rolle ein.
Was LFI laut Skorobogatov einzigartig macht, ist die doppelte Präzision: Sie kann „einen bestimmten Zeitpunkt und eine exakte Stelle innerhalb der Logik oder des Speichers ansteuern“. Während Power Glitching den gesamten Chip beeinflusst, kann ein fokussierter Laserstrahl gezielt ein einzelnes Gatter oder eine Speicherzelle treffen. Das verschafft Angreifern Kontrolle über zwei Dimensionen: wann der Fehler eintritt und wo er auf dem Chip wirkt.
Bhasin beschreibt die Genauigkeit von LFI so: „In einem gut charakterisierten System kann ein Laser gezielt einzelne Bits mit hoher Präzision manipulieren.“ Die Bit-genaue Steuerung „ermöglicht es, Sicherheitsflags zu adressieren, die den Systemzustand kontrollieren, und so Schutzmechanismen gezielt auszuschalten.“
Ein Sicherheitsflag ist eine Gruppe von Steuerbits, die dem Chip anzeigen, ob er gesperrt oder entsperrt ist, ob Debug-Zugriff erlaubt ist und ob der Bootloader Signaturprüfungen erzwingen oder überspringen soll.
Wird dieses Flag gezielt gestört, kann sich die gesamte Sicherheitslage des Chips ändern – etwa indem das Ergebnis einer kryptografischen Operation verfälscht und so Informationen über den geheimen Schlüssel preisgegeben werden. Wird der Fehler exakt während einer Kryptofunktion ausgelöst, kann die Analyse der fehlerhaften Ausgaben zur Rekonstruktion des geheimen Schlüssels führen.
Ökonomie des Chip-Hackings
Wenn Secure Elements kompromittierbar sind, warum passiert das nicht ständig? Kurzfristig liegt die Antwort in den Kosten.
Das Knacken eines Secure Elements ist kein Wochenendprojekt. Das Gerät muss meist auf Silizium- und Firmware-Ebene reengineered werden, bevor ein Angreifer überhaupt weiß, wo er ansetzen kann. Skorobogatov bringt es auf den Punkt: „Dieser Prozess kann Monate oder sogar Jahre dauern.“
Bhasin beschreibt die Kosten als Spektrum: „Das Equipment für Fault Injection reicht von DIY-Tools für wenige Dollar bis zu High-End-Laser- oder Ionenstrahlsystemen, die über eine Million Dollar kosten.“
Ein einfaches Setup für Spannungsglitching lässt sich mit einem FPGA-Board, einem MOSFET und etwas Lötgeschick für unter 1.000 $ bauen. Eine professionelle Laser-Fault-Injection-Station kostet 150.000 bis 500.000 $. Ein Focused-Ion-Beam-System für fortgeschrittene Schaltungsbearbeitung und Analyse liegt bei über 1 Million $.
Die Praxis bestätigt das: Skorobogatov berichtet, dass selbst Chips mit EAL5- oder EAL6-Zertifizierung kompromittiert wurden – allerdings nur von „großen Expertenteams in spezialisierten Unternehmen oder staatlichen Laboren, mit enormem Aufwand und zu hohen Kosten“.
Nicht-ökonomische Motivation
Bhasin weist darauf hin, dass „nicht-monetäre Motivationen wie nationale Sicherheitsinteressen, gesetzliche Vorgaben oder kriminaltechnische Untersuchungen“ den Einsatz teurer und komplexer Angriffsmethoden rechtfertigen können. Ein staatliches Labor, das ein beschlagnahmtes Gerät analysiert, führt keine klassische Kosten-Nutzen-Rechnung durch.
Auch große Wettbewerber mit ausreichend Ressourcen können das gleiche Equipment beschaffen, hochqualifizierte Forscher einstellen und Zeit investieren, um das Secure Element eines Konkurrenten zu knacken und dessen Ruf zu schwächen.
Dieses Szenario spielt sich bereits in der Hardware-Wallet-Branche ab. Ledgers hauseigenes Sicherheitslabor, das Donjon, hat mehrfach Forschung veröffentlicht, die erfolgreiche Fault-Injection-Angriffe auf Trezor-Geräte dokumentiert – als verantwortungsvolle Offenlegung zur Verbesserung der Sicherheit im gesamten Ökosystem.
Was bedeutet das für Krypto auf Hardware-Wallets?
Physische Angriffe auf einzelne Endgeräte lohnen sich für die meisten realen Bedrohungsszenarien wirtschaftlich nicht. Doch Skorobogatov warnt davor, daraus Sorglosigkeit abzuleiten. Ein Secure Element im Gerät „bietet keinen vollständigen Schutz gegen alle Angriffe“. Mit genügend Zeit und Ressourcen findet ein entschlossener Angreifer immer einen Weg.
Die praktische Sicherheit einer Hardware-Wallet hängt vom Gesamtpaket ab: Secure Element, Firmware, Kommunikationsprotokoll zwischen Chip und App, Integrität der Lieferkette und den Entscheidungen des Nutzers.
Eine oft unterschätzte Schutzschicht ist das Schlüsselableitungsverfahren vieler Wallets. Viele Kryptogeräte speichern den eigentlichen Verschlüsselungsschlüssel nicht direkt auf dem Chip, sondern nur einen Hash des Nutzerpassworts oder PINs. Der eigentliche Schlüssel wird erst bei der Signatur aus der Nutzereingabe abgeleitet. Selbst bei vollständigem physischen Zugriff auf den Chip erhält der Angreifer also nicht automatisch den Schlüssel.
Selbst wenn ein Angreifer vollen Zugriff auf den Chip erlangt, ist der Erfolg nicht garantiert. Hat der Nutzer ein starkes Passwort gewählt, bleibt nur Brute-Force – und „das kann selbst auf sehr leistungsstarken Servern viele Jahre dauern“, so Skorobogatov.
Das große Ganze
Kryptografie liefert mathematische Garantien. Doch diese Garantien werden in physischer Hardware umgesetzt, die in der realen Welt betrieben wird – wo Transistoren ausfallen, Photonen Bits kippen und Testmodi reaktiviert werden können.
Für Chip- und Gerätehersteller bedeutet das: Sicherheit ist ein fortlaufender Ingenieursprozess – mit kontinuierlicher Beobachtung der Forschung, Anpassung der Bedrohungsmodelle und Entwicklung von Widerstandsfähigkeit gegen neue und ausgefeilte Angriffsmethoden.
Für Endnutzer gilt: Auch wenn diese Angriffe nur in ressourcenstarken Umgebungen vorkommen, unterstreichen sie die Bedeutung der physischen Eigenverwahrung.
Auch wenn ein Fault-Injection-Angriff spezielles Equipment und viel Know-how erfordert, zeigt er: Hardwaresicherheit bedeutet, die Kosten eines Angriffs höher zu machen als den Wert der geschützten Assets.
Fragen Sie die KI, ob Tangem zu Ihren Bedürfnissen passt
Recherchieren Sie die Tangem Wallet mit KI, um herauszufinden, ob unsere Sicherheit und Benutzerfreundlichkeit zu Ihren individuellen Anwendungsfällen passen
Fragen Sie die KI, ob Tangem zu Ihren Bedürfnissen passt
Recherchieren Sie die Tangem Wallet mit KI, um herauszufinden, ob unsere Sicherheit und Benutzerfreundlichkeit zu Ihren individuellen Anwendungsfällen passen
Oder öffnen Sie es in
Noch unentschlossen?
Entdecken Sie die Grundlagen, vergleichen Sie die verschiedenen Optionen oder sparen Sie Geld, wenn Sie bereit sind, Tangem zu kaufen.
