Der Secure-Boot Sündenfall

Microsoft hat es getan. Der Kill-Switch ist mit KB5041580¹ bzw. KB5041571² umgelegt und alle anderen Betriebssysteme “ausgeknipst”. Ein PC mit aktiviertem Secure-Boot kann keine anderen Betriebssysteme mehr booten als das von Microsoft. Das schließt auch sämtliche Rettungs- und Image-Sicherungssysteme ein. Damit ist die seit vielen Jahren andauernde Kritik an Secure-Boot³ eingetreten.

Zum technischen Hintergrund haben andere die Details bereits sehr gut zusammen getragen.⁴ Bitte den “Hannoveraner Pressemitteilungs-Abdruckdienst”⁵ und “Microsoft-Seminar-Verkäufer” mit seiner “Hofberichterstattung” ignorieren. Dort wird die Problematik mit Secure-Boot nicht erkannt und das Microsoft’sche Narrativ ohne Einordnung wiedergekäut: Alle anderen sind Schuld.⁶

Ich konzentriere mich auf die Frage, ob Microsoft das darf. Einfach so auf die Hardware des Anwenders zugreifen und diese nicht nur einschränken, sondern auch im Wert zu mindern. Im Falle eines Wiederverkaufes ein Makel, wenn keine anderen Systeme mehr installiert werden können. Die natürliche Reaktion lautet: Nein! Doch die Tücke steckt wie so oft in den vertraglichen Details zwischen Lizenzgeber und -nehmer.

Ich habe im Wechsel geheult und gelacht bei dem Versuch, mir die aktuelle Microsoft EULA für Windows zu ziehen. Wir schreiben das Jahr 2024 und Microsoft kann noch immer kein Unicode, was im nachfolgenden Screenshot deutlich wird.⁷

Es ist ein Statement, wenn Microsoft es nicht für notwendig erachtet, Lizenzbedingungen für seine Kunden hinreichend lesbar zu machen. Kann man nichts machen, ist bestimmt eine KI, die für die Qualitätssicherung zuständig ist.

Was sagt der Lizenzvertrag

Das Lesen von Lizenzverträgen ist langweilig. Voller Herrschaftsfloskeln und verschränkter Sätze. Deswegen schauen wir uns das gemeinsam an. Im Absatz 1 a) der vorliegenden Lizenzbedingungen vom April 2024 steht zur Anwendbarkeit (Hervorhebungen von mir):

Dieser Vertrag gilt für die Windows-Software, die auf Ihrem Gerät vorinstalliert ist oder bei einem Einzelhändler erworben und von Ihnen installiert wurde, die Medien, auf denen Sie die Software erhalten haben (sofern zutreffend), jegliche in der Software enthaltenen (…) sowie für jegliche Microsoft-Updates, -Upgrades, -Ergänzungen oder -Dienste für die Software, sofern mit diesen keine anderen Bestimmungen bereitgestellt werden.

Im Absatz 2 b) wird der Begriff der Hardware, das “Gerät” beleuchtet:

In diesem Vertrag ist “Gerät” ein lokales Hardwaresystem (sowohl physisch als auch virtuell) mit einer internen Speichervorrichtung, das fähig ist, die Software auszuführen.

Soweit so gut, im nachfolgenden Absatz c) folgen die Einschränkungen des zuvor Gesagten:

Der Gerätehersteller bzw. das Installationsunternehmen und Microsoft behalten sich alle Rechte vor (…), die in diesem Vertrag nicht ausdrücklich gewährt werden (…)

Das ist die ultimative, juristische Hintertür, mit der sich Microsoft “alle Rechte” über das nicht ausdrücklich gewährte hinaus sichert. Solche verschachtelten Formulierungen mit inkludierten Generalklauseln sind der Stinkefinger in Richtung des Endkunden. Diese gehen über das Normalmaß, was Menschen lesen und verstehen können, sofern solche Verträge überhaupt durchgelesen werden.

Nur unter dieser Prämisse ergibt Absatz 6 erst Sinn:

Die Software sucht in regelmäßigen Abständen nach System- und App-Updates und lädt sie herunter und installiert sie (…) Durch die Annahme dieses Vertrags oder durch Nutzung der Software, erklären Sie sich mit dem Erhalt dieser Arten von automatischen Updates ohne zusätzliche Benachrichtigung einverstanden.

Die Fragestellung ist somit hinreichend beantwortet. Mit Zustimmung des Lizenzvertrages gewährt der Anwender Microsoft seine Erlaubnis, alles tun und lassen zu können.

Sittenwidrige Vertragsgestaltung

Wenn ein Gegenüber einen geschlossenen Vertrag beliebig und opportun zu seinem Gunsten auslegen kann, dann kann dieses angefochten werden. Gegen überraschende oder mehrdeutige Klauseln gibt es §305c BGB⁸, die in diesem Fall eher nicht zutreffend sind. Nach meinem Dafürhalten sind Lizenzverträge mit Generalklauseln und einem auffälligen Missverhältnis der Parteien gem. §138 BGB⁹ sittenwidrig.¹⁰ Vertraglichen Generalklauseln können nur juristische Generalklauseln¹¹ entgegen gehalten werden.

Hinzu kommt, dass Microsoft die gegenständlichen Hardware-Updates regelrecht in seinen Windows-Updates “versteckt”. Kein Hinweis darauf, keine Möglichkeit einer informierten Entscheidung. Keine Möglichkeit eines Rollbacks bei Problemen. Alles technisch möglich. Einer intakten Kundenbeziehung angemessen und auf persönlicher Ebene freundlich zuvorkommend, wenn derartiger Hinweis kommt. Bei größeren Feature Updates erfolgt das doch auch.

Das ist meine persönliche rechtliche Einschätzung ohne Anspruch auf Richtigkeit und Allgemeingültigkeit. Es bleibt abzuwarten, ob andere das auch so sehen. Ich denke da beispielsweise an Leasinggeber und Verkäufer von PC-Hardware, die mit einer erheblichen Wertminderung konfrontiert sind, wenn die Installation anderer Systeme verhindert oder nur mit einem manuellen Eingriff zu bewerkstelligen ist. Microsoft dürfte sich gem. §826 BGB¹² schadensersatzpflichtig machen und wird trotzdem unbehelligt bleiben. Niemand wird das technische Detailwissen und Interesse haben, das einmal exemplarisch auseinander zu nehmen.

Workarounds

Die Updates sind in der Welt und der Umgang mit Ihnen konkret. Zwei Möglichkeiten, mit diesen umzugehen:

• Secure Boot im BIOS deaktivieren. Als Sicherheits-Feature war es von Anfang an fragwürdig und von Hardwareherstellern falsch implementiert¹³. Es hat sich bereits mehrfach als überwindbar herausgestellt und kann in Gänze als “kaputt” betrachtet werden.¹⁴ Besonders schwer wiegt, dass es bei legitimen Zwecken wie z.B. den Start von Rettungsmedien oder Backup-Images mehr schadet als nützt.

• Zur Verhinderung von Schäden an der eigenen Hardware keine Microsoft-Produkte bare-metal nutzen. Ist der Einsatz unvermeidbar, dann nur mit einer kontrollierbaren Schnittstelle für Updates. Das betrifft Bereiche mit Potential zur Störung von Unternehmensprozessen oder der Gefährdung von Menschenleben.

Die Causa Crowdstrike¹⁵ hat hoffentlich den letzten Entscheider wachgerüttelt, dass relevante Geschäftsprozesse auch von vermeintlich unscheinbaren Endgeräten abhängen. Wenn an einem Check-In keine Tickets einlösbar sind, fahren oder fliegen keine Gäste. Gleiches gilt für Produktion, Wareneingang, Warenausgang oder Kassensystem.

Ich muss gestehen, dass ich bisher einen WSUS-Server als ausreichende Schnittstelle für einen sicheren Betreib betrachtet habe. Die jüngsten Unregelmäßigkeiten von unverlangt übermittelten (andere Plattform) Updates mit erratischen Versionssprüngen¹⁶, haben mich aufhorchen lassen. Gegen mögliche nicht reversible Manipulationen an Hardware helfen auch keine digitalen Zwillinge¹⁷ noch ein schrittweises Ausrollen.

Wie war das eigentlich noch mit der “Security above all else”?¹⁸

In diesem Sinne,
Tomas Jakobs