Der Kern des Problems: unbeabsichtigte Abstrahlung
Jede arbeitende elektronische Schaltung — Monitor, Tastatur, Netzwerkkabel, Drucker — gibt die elektromagnetische Spur des verarbeiteten Signals an die Umgebung ab. Ein Lauscher mit der richtigen Ausrüstung kann aus diesen Spuren die Originaldaten rekonstruieren: das Bildschirmbild, die gedrückten Tasten, den Verkehr auf der Leitung.
Der Codename dieses Risikofelds in der NATO/US-Literatur lautet TEMPEST. Dass Wim van Eck 1985 mit handelsüblicher Ausrüstung ein Monitorbild aus der Ferne rekonstruierte, ist die klassische Demonstration, die das Thema an die Öffentlichkeit brachte; die heutige Angriffsfläche ist erheblich größer.
Standards und Stufen
Die NATO steuert die Abstrahlsicherheit über die drei Gerätestufen des Standards SDIP-27 (Level A/B/C) und über das Zoning, das das Umgebungsrisiko einer Liegenschaft beschreibt: Wie nah ein Lauscher herankommen kann, bestimmt die erforderliche Stufe.
Zertifizierte TEMPEST-Geräte sind teuer; die praktische Architektur ist deshalb in den meisten Organisationen gemischt: ein geschirmter Raum für kritische Vorgänge (bauliche Abschirmung), darin Standardgeräte, dazu Filterung an Leitungs- und Stromeinführungen.
Die Schutzschichten
- Bauliche Abschirmung: Belegung der Raumflächen mit Materialien der Klasse 80-100+ dB (A300-HEMP, A190, HNG100)
- Abstand und Zoning: kritische Geräte weg von Außenfassade, Parkplatz und Nachbarflächen
- Verkabelung: geschirmte bzw. Glasfaserleitungen, korrekte Erdung, Leitungsfilter
- Geräteauswahl: zertifizierte Hardware am kritischsten Ende
- Verifikation: Abnahmemessungen auf Basis von IEEE 299 und regelmäßige Kontrolle
Häufig gestellte Fragen
Ist TEMPEST nur ein Thema für Behörden?
Nein. F&E-Zentren, Finanzinstitute, Kanzleien und Institutionen, die Auswahl- und Prüfungsunterlagen erstellen — wer geistiges Eigentum über Bildschirm und Tastatur laufen lässt, unterliegt derselben Physik.
Aus welcher Entfernung kann ich abgehört werden?
Das hängt vom Gerät, vom Umgebungsrauschen und von der Ausrüstung des Lauschers ab; die Literatur dokumentiert Demonstrationen über Dutzende, unter günstigen Bedingungen Hunderte von Metern. Ein Sicherheitsplan wird auf die 'Worst-Case'-Entfernung ausgelegt.
Schließt Softwareverschlüsselung dieses Risiko nicht?
Nein — das Leck entsteht, während die Daten noch auf Bildschirm und Tastatur, also unverschlüsselt vorliegen. TEMPEST ist die Ergänzung der Kryptografie, nicht ihre Alternative.