Windows 10: Die Anatomie der Telemetrie

Microsoft sammelt in Windows 10 an etlichen Stellen sogenannte Telemetrie-Daten - und kann sogar weitere anfordern. Forscher haben auf der Sicherheitskonferenz Troopers gezeigt, wie das System funktioniert, und wie es sich trotz fehlender Option deaktivieren lässt.

Artikel von veröffentlicht am
Das Telemetrie-System in Windows 10 sammelt allerhand Daten.
Das Telemetrie-System in Windows 10 sammelt allerhand Daten. (Bild: manseok/Pixabay)

Wie E.T. in Steven Spielbergs Kinofilm aus den 1980ern will auch Windows nach Hause telefonieren. Doch weder der Außerirdische E.T. noch Microsoft erklären, welche Daten auf welche Art und Weise übertragen würden. Das will das Bundesamt für Sicherheit in der Informationstechnik (BSI) gemeinsam mit der Sicherheitsfirma ERNW in dem Forschungsprojekt Sisyphus herausfinden. Auf der Sicherheitskonferenz Troopers stellten die drei Sicherheitsforscher Maximilian Winkler, Dominik Phillips und Aleksandar Milenkoski vor, wie das Telemetrie-System funktioniert, und wie es sich deaktivieren lässt. Auch ihre weiteren Forschungsvorhaben sowie das aktuelle Windows 10 1809 waren Thema.

Inhalt:
  1. Windows 10: Die Anatomie der Telemetrie
  2. "Wir bauen eine Telemetrie, um die Telemetrie zu überwachen"

"Es gibt einen Trend zur Telemetrie," sagte Winkler. Diese finde sich in immer mehr Programmen. Mit ihr sammeln die Hersteller der Software Daten über den Zustand von Geräten oder Software. "Telemetrie ist nicht per se böse." Allerdings stelle sich die Frage, wer das Verhalten der Telemetrie steuere, und wo die Daten landeten. Aus diesem Grund untersuchen die Sicherheitsforscher das Telemetrie-Verhalten von Windows 10 seit zwei Jahren und können mittlerweile recht genau nachvollziehen, was dort passiert.

Viele Messpunkte im System

In ihrer Analyse der Windows-Telemetrie setzen sie auf die Windows 10 Version 1607, die von Microsoft länger supportet wird und bei der keine strukturellen Veränderungen vorgenommen werden (Long Term Service Branch). Alle Daten werden durch das Betriebssystem eingesammelt. Die Sicherheitsforscher unterscheiden zwischen einer primären Datensammlung und einer sekundären. Erstere ist in das System intergriert und sammelt die Daten an verschiedenen Messpunkten, die von den Entwicklern in verschiedene Programme und Dienste integriert wurden. Anschließend überträgt sie diese an Microsoft-Server. In einer Standardinstallation waren über 1.000 solcher Messpunkte aktiv - an denen wiederum verschiedene Daten ermittelt und an Microsoft gesendet werden.

Das System dahinter heißt Event Tracing for Windows oder kurz ETW. Ursprünglich wurde es für das Debugging von Software entwickelt, also für die Fehlersuche in Software. Entsprechend ausführlich und weitreichend sind die Informationen. Der USB-Messpunkt könne letztlich sogar als eine Art Keylogger missbraucht werden und die Tastatureingaben mitlesen, sagte Phillips.

Microsoft kann weitere Daten anfordern

Stellenmarkt
  1. IT-Systemadministrator (m/w/d) Production IT (all genders)
    Kendrion (Villingen) GmbH, Villingen-Schwenningen
  2. IT-Systemarchitekt*in (m/w/d) Virtualisierung
    Kreisausschuss Wetteraukreis, Friedberg
Detailsuche

Für weitaus kritischer halten die Forscher jedoch die zweite Variante, die sie sekundäre Datensammlung nennen. Wie ein Update-Mechanismus fragt Windows 10 in regelmäßigen Abständen im Microsoft-Backend nach Konfigurationsdateien und lädt diese - sofern vorhanden - herunter. Über diese werden weitere Informationen angefordert, beispielsweise zusätzliche Informationen über die Netzwerkkonfiguration oder ein Memory-Dump einer Software. "Das Ausführen von Tools oder zusätzlichen Funktion ist ein Risiko bezüglich Integrität und Kontrolle," sagte Phillips. Unter welchen Umständen das Backend welche Daten anfordere, sei nicht bekannt. Es ließen sich nur Vermutungen auf Basis der Forschungen anstellen - einen "Educated Guess" fasst Milenkoski zusammen.

Mit der neuen Windows-10-Version mit Langzeitsupport habe sich im Bereich der primären Datensammlung kaum etwas verändert. Die sekundäre Datensammlung sei jedoch ausgeweitet worden, was Umfang und Möglichkeiten angehe, sagte Winkler. Beispielsweise begrüßte die Sicherheitsforscher in 1607 noch die Meldung "Live-Kernel-Dumps sind im Moment noch nicht vorhanden. Das ist ein Platzhalter. Freu Dich". Mit 1809 ist der Platzhalter verschwunden und Live-Kernel-Dumps können von Microsoft angefordert werden. Genaueres könne man noch nicht sagen, die Forschung gehe weiter, erklärte Winkler. Dabei soll ihnen auch ein selbstentwickeltes Tool helfen.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed
"Wir bauen eine Telemetrie, um die Telemetrie zu überwachen" 
  1. 1
  2. 2
  3.  


Tom01 02. Apr 2019

Windows ist mir zu frikelig. Das hat ja nicht mal einen vernünftigen Installer. Da ist...

vollstorno 31. Mär 2019

Folgendes via Powershell ausführen (falls Enterprise oder EDU/Core Edition): Set...

slacki 26. Mär 2019

Und anstatt aufzuklären, schreibst du einfach nur "schade, du hast kein Plan" ? Wie wäre...

Anonymer Nutzer 25. Mär 2019

... wäre somit also die beste Lösung. Da schwirren ja einige Listen durchs Netz. Muss man...



Aktuell auf der Startseite von Golem.de
Nitrophone 2 im Test
Das sicherste Smartphone hat keine Mikrofone

Das Nitrophone 2 von Nitrokey setzt Empfehlungen von Edward Snowden um - entsprechend gibt es das Gerät mit und ohne Mikrofone. Doch das sind längst nicht alle Sicherheitsfunktionen.
Ein Test von Moritz Tremmel

Nitrophone 2 im Test: Das sicherste Smartphone hat keine Mikrofone
Artikel
  1. Truth Social: Holpriger Start für Trumps Twitter-Klon
    Truth Social
    Holpriger Start für Trumps Twitter-Klon

    Mit dem Netzwerk Truth Social will sich Donald Trump wieder Gehör im Internet verschaffen. Zumindest für iPhone-Nutzer gibt es schon die App.

  2. Erste Regionen: ARD will UKW bereits ab 2024 abschalten
    Erste Regionen
    ARD will UKW bereits ab 2024 abschalten

    In Bayern verhandelt die ARD bereits die Umstellung auf rein digitale Verbreitung und das Ende von UKW.

  3. Umfrage: Hoher Ökostromanteil beim Laden von Elektroautos
    Umfrage
    Hoher Ökostromanteil beim Laden von Elektroautos

    Fast alle Besitzer von Elektroautos laden zu Hause mit Ökostrom. Und das häufig aus eigener Produktion.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • RTX 3050 389€ • MindStar (u.a. MSI Mainboard 199€) • Lenovo Tab M10 159€ • Philips Hue E27 Starter Set 44€ • Cyber Week 2022: Riesenrabatte auf Mäuse, Tastaturen, Drucker uvm. • Steuer-Software bis zu 66% günstiger • ASUS Vivobook günstig wie nie (999€) [Werbung]
    •  /