Was ist ein Hardware-Implantat?

Der Seitenkanal ist eine unbewusste Selbstoffenbarung: Ein Informationssystem kann nicht anders, als über seinen Strombedarf oder seine elektromagnetische Abstrahlung preiszugeben, was es gerade verarbeitet. (Mehr dazu im Beitrag zur Seitenkanalanalyse). Ein Hardware-Implantat ist das genaue Gegenteil davon. Es ist beispielsweise ein zusätzliches Bauteil, das jemand absichtlich in ein Gerät bringt und das möglichst nichts von sich verraten darf. Es soll auch nicht unbeabsichtigt etwas abstrahlen, sondern im richtigen Moment genau die eine Information liefern, die einem Angreifer das System öffnet – oder genau die eine Handlung ausführen, die ihm den Zugriff verschafft.

Ein Alltagsbeispiel: Man kauft ein neues Schloss für die Haustür, offenkundig originalverpackt und unversehrt. Niemand jedoch bemerkte, dass zuvor jemand das Schlossgehäuse geöffnet, den Schließzylinder mit zusätzlichen Elementen versehen, das Gehäuse wieder geschlossen und die Verpackung neu versiegelt hat. Man selbst benutzt immer sein eigenes Schloss und ahnt nicht, dass ein Fremder mit einem Generalschlüssel Zugang hat.

Entscheidend an einem Implantat ist nicht zuerst, was es kann, sondern dass es auffällig unauffällig ist. Der Angreifer muss niemals das Gerät besitzen, das man später selbst in der Hand hält. Es genügt, auf dem Weg des Geräts vom Hersteller zum Käufer – in der Fertigung, im Lager, beim Händler, auf dem Postweg – eines von vielen baugleichen Geräten kurz in die Finger zu bekommen. Man spricht deshalb von einem Angriff auf die Lieferkette, auf die Supply Chain. Der Angreifer hat dabei zwei Dinge, die der Käufer nicht hat: Zeit, und die Möglichkeit, mehrfach an ein und demselben Gerät zu arbeiten, bis die Manipulation unsichtbar ist.

Aus diesem Zwang zur Unsichtbarkeit ergibt sich die technische Entwicklung fast von selbst. Ein Implantat muss winzig sein, weil im Gerät kein Platz ist. Es muss ohne sichtbare Verkabelung auskommen, weil Drähte auffallen. Es muss sich in Farbe und Beschriftung an das anpassen, was ohnehin schon auf der Platine liegt. Und es muss unauffällig bleiben, wenn es z. B. per Funk Daten nach außen überträgt, denn eine Antenne wäre das auffälligste Bauteil, das man in ein solches Gerät einbauen kann.

Anfang Oktober 2026 machte der Krypto-Wallet-Hersteller Ledger darauf aufmerksam, dass in einer begrenzten Zahl von Geräten der Serie Nano X ein Backdoor-Implantat gefunden wurde (Quelle). Über diese Geräte wurden nach Angaben von Ledger rund 102 Millionen Dollar an Kryptowährungen gestohlen. Nach Auswertung der Blockchain durch die Firma Bitquery waren davon etwa 315 Konten betroffen. Gestohlen wurden Bitcoin, Ethereum, Tron und andere Kryptowährungen. Die betroffenen Geräte stammten zunächst aus dem Verkauf eines autorisierten Ledger-Händlers namens CryptoBilis mit Sitz in Malaysia. Kurz darauf berichteten Käufer in Deutschland, in Nano-X-Geräten, die sie im August und wenig später in Filialen derselben europäischen Elektronik-Kette gekauft hatten, ebenfalls Implantate gefunden zu haben; auch für die neueren Modelle Ledger Flex und Ledger Stax wurden Implantate gemeldet.

Nach einer Analyse kann die Funktionsweise wie folgt beschrieben werden: Im Gerät fanden sich eine zusätzliche Platine, eine Antenne, ein LTE-Modul und eine eSIM. Das Implantat bleibt völlig passiv, bis der Besitzer sein Gerät zum ersten Mal in Betrieb nimmt und eine zufällige Seed-Phrase erzeugt – die kennwortartige Folge von Wörtern, mit der man später das Konto wiederherstellen kann. In dem Augenblick, in dem das Wallet jedes Zeichen dieser Phrase an sein eigenes kleines Display schickt, kopiert das Implantat das Zeichen und speichert es. Über die eSIM und ein in Reichweite liegendes Funkzellennetz sendet es die Phrase danach an die Angreifer.

Die Implantate wurden in mehreren Generationen ganz offensichtlich verbessert. Wo zunächst ein Bündel von Hand aufgelöteter Drähte zwischen Zusatzplatine und Display verliefen, folgten Varianten mit eigens gefertigter, flach auf die Originalplatine auflaminierte Flex-Leiterplatte. Letztere wurde dabei schwarz beschichtet, nur punktuell verlötet, mit kleinerem Akku und abgeschliffenen Bauteilnummern, um sich optimal in die vorhandene Elektronik einzubetten. Die passende Antenne trägt die Siebdruckkennung AC-A2016-NANO-V1.1; offensichtlich ein in Serie gefertigtes Bauteil. Auch der kriminelle Vertriebsweg wurde deutlich optimiert: Kamen die ersten Geräte fast nur von unseriösen Online-Händlern in Südostasien, so stammten die jüngeren Funde aus dem Verkauf autorisierter Fachhändler und Filialketten.

Kurz nachdem Ledger sich öffentlich äußerte, teilte der Wettbewerber Trezor mit, vorsorglich die Zahl seiner autorisierten Händler zu verkleinern – betonte dabei aber zugleich, es gebe keine Hinweise auf eigene kompromittierte Geräte. Allerdings wurden bei Trezor bereits im August 2026 Implantate in zwei Geräten gemeldet, einem Trezor Model T (2025 über Facebook Marketplace in Kanada gekauft) und einem Trezor One (im August 2026 in einem TikTok-Shop erworben). Beide Geräte stammten von nicht autorisierten Dritthändlern, und beide Modelle verkauft Trezor selbst nicht mehr.

Technisch ist es ein anderer Eingriff. Bei Ledger saß ein zusätzliches Bauteil neben der Originalschaltung, am Gerät selbst änderte sich nichts. Bei Trezor tauschten die Angreifer dagegen den Sicherheitschip komplett gegen einen eigenen Chip und spielten eine veränderte falsche Version der Trezor-Software darauf. Dies war möglich, weil die original Trezor-Software open-source ist. Die falsche Software erzeugt nun keine Zufalls-Phrase mehr, sie wählt eine von etwa einem Dutzend vorher berechneter Phrasen, die dem Angreifer alle bekannt sind. Weil nun das Gerät selbst fehlerhaft arbeitet, muss die falsche Software die Integritätsprüfung aushebeln. Beim Model T liegt eine Kopie der originalen Software auf einer micro-SD-Karte, die innen an den Kartenstecker gelötet ist, beim Trezor One liegt sie im Speicher des falschen Chips. Zunächst läuft die Prüfung erfolgreich gegen die saubere originale Software, dann erst übernimmt die falsche.

Statt der rund 102 Millionen Dollar bei Ledger wurden beim Trezor One zunächst gut 50 Dollar abgebucht, was den Besitzer misstrauisch machte. Die aktuelle Trezor Suite erkennt zwar inzwischen diese Art von Implantaten, der Nutzer kann den Vorgang aber trotzdem fortsetzen, weshalb auch hier Geld abfloss.

Anders als bei den Ledger Wallets sendete das Implantat überhaupt nichts: kein Abhören, kein Funken, nur ein Bauteil, das das Gerät gehorchen lässt (Quelle). Auslöser der Debatte war die bis heute unbestätigte Behauptung von Bloomberg Businessweek, auf Supermicro-Mainboards großer Technologiekonzerne sei ein reiskorngroßer Spionagechip eingeschleust worden. Apple, Amazon und Supermicro widersprachen, die NSA hielt die Meldung für einen Fehlalarm. Was daran praktisch möglich ist, zeigte der Sicherheitsforscher Monta Elkins (FoxGuard) auf der Konferenz CS3sthlm. Mit einem 150-Dollar-Lötkolben, einem 40-Dollar-Mikroskop und zwei Dollar teuren Chips veränderte er eine Cisco-Firewall ASA 5505 so, dass ein Angreifer von außen tiefgreifende Kontrolle bekam.

Technisch ist der Eingriff deutlich simpler als bei Ledger Wallets. Ein fünf Millimeter großer Mikrocontroller kommt auf eine unauffällige Stelle der Firewall-Platine, von der aus er die serielle Schnittstelle erreicht; nach Elkins Angaben hätte er ihn sogar auch unter einem der HF-Abschirmungsbleche verschwinden lassen können. Beim ersten Start der Firewall meldet sich der Chip dort als Administrator, der gerade vor Ort arbeitet an, woraufhin die Firewall ihre Passwort-Wiederherstellung öffnet, einen neuen Admin-Account anlegt und über diesen Einstellungen, Sicherheitsfunktionen und Verbindungsprotokolle zugänglich werden.

Wie leicht sich so etwas in der Praxis zeigen lässt, haben wir auf dem TÜVIT Industry Meeting – IoT Cyber Security am 07. Oktober 2026 mit einer Live-Demo vorgemacht: ein handelsüblicher Mikrocontroller (STM32F303), der Befehle nur nach einem Passwort ausführt, dazu in seiner Stromversorgung ein Transistor als Schalter. Ein kurzer Spannungseinbruch im richtigen Augenblick – gesetzt über ein Puls-Signal – bringt den Prozessor dazu, die Verweigerung der Befehlsausführung nach einem falsch eingegebenen Passwort schlicht auszulassen. Link zu den Folien des Live-Demo.

Die Parallele zu Ledger, Trezor und Cisco liegt auf der Hand. In allen drei Fällen sitzt der Eingriff dauerhaft im gekauften Produkt und wartet – bei Ledger und Cisco als zusätzliches Bauteil auf der Platine, bei Trezor als getauschter Mikrocontroller mit eigener Software. Während aber für die Live-Demo noch Oszilloskop, Trigger- und Puls-Signal nötig sind, weil der Angreifer von außen den richtigen Moment für den Angriff erkennen muss, erkennt ein echtes Implantat diesen Moment von sich aus.

Allein der Kauf bei einem autorisierten Händler schützt nicht vor Angriffen. Wer Platinen, Module oder Geräte einkauft, kauft damit deren Lieferkette mit ein, und jede Stufe von der Bestückung bis zum Handel erlaubt Austausch oder Veränderung. Prüfen lässt sich das nur gegen eine Soll-Vorgabe. Die freigegebenen Bauteile und die Konfiguration einer Produktversion, festgehalten als Stückliste für Software (SBOM) und Hardware (HBOM), mit Referenzbild der Platine und Rückverfolgbarkeit über Charge und Seriennummer. Beim Wareneingang wird verglichen. Mikroskop oder Röntgenbild gegen die Referenz, dazu ein Funktionstest auf ungewöhnliche Kommunikation und verändertes Boot-Verhalten.

Was das Gerät selbst meldet, ergänzt das, reicht aber nicht als Nachweis: Secure Boot prüft beim Start die Software, die Geräte-Attestation weist Baustein-Identität und Software-Zustand nach – Ledger hält zum Beispiel fest, dass sein Echtheitscheck physische Veränderungen nicht sieht, solange der Sicherheitschip integer bleibt. Attestation beweist also das Bauteil, nicht das Gerät. Umgekehrt zeigt der Trezor-Fall, dass selbst ein gelungener Software-Check nicht schützt. Die aktuelle Trezor Suite erkennt das manipulierte Modell One zwar als gefälscht, der Nutzer kann das Gerät danach aber einfach weiterverwenden. Das eigene Softwaredesign sollte den Zugriff auf kritische Funktionen deshalb nicht auf eine einzige Code-Verzweigung, Software-Check oder Annahme stützen. Unsere Live-Demo hat gezeigt, wie ein kurzer Spannungseinbruch genügt Code zu überspringen.

Während Anforderungen an Hersteller und Produkte in der BSI TR-03183 gebündelt werden, können Prüfungen nach Common Criteria (CC) oder IEC 62443 bei denen auch die Lieferketten im Fokus stehen, entscheidend sein – Stichwort CRA Konformität. Wie tief geprüft wird, entscheidet Letzten Endes über das Risiko.