Wer ein robustes Notebook oder Tablet für Behörden, Einsatzkräfte oder die Industrie beschafft, stößt fast immer auf zwei Begriffe: Smartcard-Leser und TPM. Beide tauchen in den Sicherheitsangaben robuster Geräte regelmäßig gemeinsam auf, erfüllen aber unterschiedliche Aufgaben. Dieser Beitrag erklärt, wofür TPM und Smartcard stehen, wie sich die Anmeldung per Karte von Passwort oder Fingerabdruck unterscheidet, warum viele Ausschreibungen im öffentlichen Bereich und in der Industrie genau diese Kombination verlangen, wie Laufwerksverschlüsselung und TPM zusammenspielen und was bei Verlust des Geräts passiert. Eine Übersicht über die weiteren gängigen Sicherheitsmechanismen an robusten Laptops – darunter SSD-Verschlüsselung nach OPAL 2.0, das Kensington-Schloss, NIST-BIOS-Konformität und Fingerabdruck-Scanner – liefert der Beitrag Idealer Laptop-Schutz: 5 Sicherheits-Funktionen und Schutzmechanismen im Vergleich. Der vorliegende Artikel konzentriert sich auf die beiden Bausteine, die in Feldeinsätzen mit Zugangskontrolle am häufigsten gefordert werden.
Was ist ein TPM-Chip?
TPM steht für „Trusted Platform Module“ und bezeichnet ein kleines physisches Chip-Modul, das fest auf dem Mainboard verbaut ist und als zusätzlicher Sicherheitsmechanismus zum eigentlichen Prozessor fungiert. Der Chip übernimmt mehrere Aufgaben gleichzeitig: Er ist zuständig für die Festplattenverschlüsselung, den Schutz vor Firmware-Manipulation durch BIOS-Rootkits, die biometrische Authentifizierung sowie die Übermittlung des Systemzustands beim Zugriff auf Cloud-Dienste. Damit ist TPM kein einzelnes Login-Verfahren, sondern eine Art abgesicherter Tresor auf der Platine, in dem kryptografische Schlüssel gespeichert und verarbeitet werden, ohne dass sie das Chip-Modul jemals im Klartext verlassen.
Die aktuelle Version TPM 2.0 ist inzwischen bei praktisch allen robusten Geräten im RobustBook-Sortiment Standard. In der Vergleichstabelle Laptops ist TPM 2.0 als eigene Zeile aufgeführt und bei allen verglichenen Modellen mit einem Häkchen versehen, ebenso in der Vergleichstabelle Tablets. Auch bei den Getac-Geräten ist TPM 2.0 fester Bestandteil der Sicherheitsausstattung, etwa beim Getac X500, beim Getac K120 und beim für Ex-Zonen ausgelegten Getac ATEX EX80. Beim Durabook S14I ist die Kombination aus Smartcard-Leser und TPM sogar explizit als gemeinsames Sicherheitsmerkmal gelistet.
Was ist ein Smartcard-Leser und wofür wird er eingesetzt?
Ein Smartcard-Leser liest eine physische Chipkarte aus – etwa einen Dienstausweis, eine Signaturkarte oder eine Gesundheitskarte – und übergibt die darauf gespeicherten Daten oder Zertifikate an das Betriebssystem oder eine Fachanwendung. Anders als ein reiner Passwortschutz erfordert die Anmeldung damit den Besitz eines physischen Gegenstands, nicht nur das Wissen einer Zeichenfolge.
Im RobustBook-Sortiment ist der Smartcard-Leser bei mehreren Modellen als Erweiterungsmodul oder Werksoption verfügbar. Beim Durabook R8 lässt sich ein Erweiterungsmodul mit Smartcard-Leser wählen – wahlweise als reiner Kartenleser, in Kombination mit LF/HF-RFID (NFC), mit UHF-RFID (NFC) oder zusammen mit RS-232/RJ-45- und USB3.2-Anschlüssen. Die gleiche Erweiterungsoption steht auch beim Durabook R11 und beim Durabook R11L zur Verfügung. Beim Durabook S14I ist der Smartcard-Leser als Werksoption bestellbar, wahlweise auch als rückseitig verbaute Variante, und wird dort explizit gemeinsam mit TPM als Sicherheitsmerkmal genannt.
Auch mehrere Getac-Modelle führen den Smartcard-Leser in ihrer Sicherheitsausstattung: Der Getac X500 nennt TPM 2.0, Kensington-Schloss, Smart-Card-Reader und Fingerabdruckscanner in einem Zug. Beim Getac B360 G3 ist ein Smartcard-Leser Teil der Grundausstattung, beim Getac K120 und beim Getac UX10 ist der Kartenleser als Option neben einem Fingerabdruckleser wählbar. Auch das Getac V110 G3 und das Getac X600 führen TPM 2.0 zusammen mit einem optionalen Fingerabdruckleser oder Smartcard-Leser. In den Vergleichstabellen für Laptops und Tablets ist der Smartcard-Leser als eigene Zeile gelistet – bei einem Teil der verglichenen Modelle serienmäßig, bei anderen als Option.
Zwei-Faktor-Anmeldung mit Smartcard im Vergleich zu Passwort und Fingerabdruck
Bei der Anmeldung an einem Gerät lassen sich grundsätzlich drei Arten von Nachweisen unterscheiden: etwas, das jemand weiß (ein Passwort oder eine PIN), etwas, das jemand besitzt (eine Chipkarte oder ein Token), und etwas, das jemand ist (ein biometrisches Merkmal wie ein Fingerabdruck). Ein reines Passwort deckt nur den Wissensfaktor ab und lässt sich erraten, abfangen oder weitergeben. Ein Fingerabdruck-Scanner bietet zwar hohen Komfort, weil kein Code gemerkt werden muss, hat aber nach eigener Einordnung im Beitrag zu den Laptop-Sicherheitsfunktionen auch Schwächen: Beim Auslesen kommt es gelegentlich zu Fehlern, und Fingerabdrücke lassen sich grundsätzlich nachbilden. Damit bietet ein Fingerabdruck-Scanner allein keinen umfassenden Schutz im professionellen Einsatz.
Eine Smartcard adressiert dagegen den Besitzfaktor: Ohne die physische Karte kommt niemand an das Konto, selbst wenn ein Passwort bekannt wäre. Wird die Karte zusätzlich mit einer PIN oder einem biometrischen Merkmal kombiniert, entsteht eine echte Zwei-Faktor-Anmeldung aus Besitz und Wissen beziehungsweise Besitz und Biometrie. Genau diese Kombination findet sich in mehreren Geräten des Sortiments wieder: Der Getac K120 kombiniert TPM 2.0, Windows-Hello-Gesichtserkennung und optionale Smartcard- oder Fingerabdruckleser, das Getac UX10 setzt auf Windows-Hello-Gesichtserkennung, TPM 2.0 und einen optionalen Fingerabdruckscanner oder Smartcard-Leser. Ein Passwort allein bleibt bei all diesen Geräten weiterhin Teil der Anmeldung – die Karte oder das biometrische Merkmal kommt als zweiter, unabhängiger Faktor hinzu, nicht als Ersatz.
Warum Behörden, Einsatzkräfte und Industrie auf Smartcard und TPM setzen
Im öffentlichen Bereich und bei Einsatzkräften ist die Kombination aus Smartcard und TPM häufig keine freie Wahl, sondern Vorgabe. Auf der Seite Militär Tablets und Militär Laptops wird das knapp zusammengefasst: klare Schutzklassen je nach Einsatz, optionale Security-Features wie Smart Card oder RFID je nach Modell und definierte Konfigurationen. Auf der Seite Öffentliche Sicherheit wird der Kartenleser zudem als konkreter Anwendungsfall in der Datenerfassung genannt: das Einlesen von Gesundheitskarten über den optionalen Kartenleser, etwa bei Polizei, Feuerwehr oder Rettungsdiensten im Einsatz.
Der Grund dafür liegt in der Natur dieser Einsätze: Geräte werden im Fahrzeug, am Einsatzort oder von wechselnden Schichten genutzt, oft unter Zeitdruck. Ein Passwort allein lässt sich nicht zuverlässig kontrollieren, wer sich gerade anmeldet – eine Chipkarte dagegen ist an eine Person gebunden und kann beim Schichtwechsel unkompliziert entnommen werden, wodurch das Gerät sofort gesperrt ist. In der Industrie gilt Ähnliches, etwa in explosionsgefährdeten Bereichen: Der Getac ATEX EX80 für Ex-Zonen führt TPM 2.0 zusammen mit einem integrierten HF-RFID-Reader als Sicherheitsfeatures, sodass Zugangskontrolle und Zonenzertifizierung im selben Gerät zusammenkommen.
Laufwerksverschlüsselung im Zusammenspiel mit TPM
TPM ist laut den eigenen Sicherheitsangaben unter anderem für die Festplattenverschlüsselung zuständig. Konkret bedeutet das: Der Schlüssel, mit dem die Daten auf dem Laufwerk verschlüsselt sind, wird nicht einfach auf der Festplatte selbst oder im Betriebssystem abgelegt, sondern im geschützten Speicherbereich des TPM-Chips gehalten. Ein Angreifer, der die Festplatte physisch ausbaut und in ein anderes Gerät einsetzt, kommt damit nicht ohne Weiteres an den Schlüssel – dieser ist an das jeweilige TPM-Modul und damit an das ursprüngliche Gerät gebunden.
Für die eigentliche Verschlüsselung der SSD kommt bei vielen robusten Geräten zusätzlich der Standard OPAL 2.0 zum Einsatz, bei dem die Verschlüsselungslast auf die SSD selbst ausgelagert wird statt auf die CPU. Wie OPAL 2.0 im Detail funktioniert und wo die Grenzen der softwarebasierten Verschlüsselung liegen, ist ausführlich im Beitrag Idealer Laptop-Schutz beschrieben. Im Zusammenspiel mit TPM ergibt sich daraus ein mehrstufiger Schutz: TPM sichert die Schlüsselverwaltung und die Integrität der Firmware beim Systemstart, die SSD-Verschlüsselung sichert die eigentlichen Daten auf dem Laufwerk. Der Smartcard-Leser kommt als dritte Ebene hinzu, indem er festlegt, wer überhaupt Zugriff auf das entschlüsselte System erhält.
Was passiert bei Geräteverlust?
Geht ein robustes Notebook oder Tablet im Feldeinsatz verloren oder wird es gestohlen, greifen die beschriebenen Mechanismen ineinander. Ohne die passende Smartcard und die zugehörige PIN oder das biometrische Merkmal kommt niemand an das Nutzerkonto – der Besitzfaktor lässt sich anders als ein Passwort nicht einfach erraten oder abschreiben. Die auf dem Laufwerk gespeicherten Daten bleiben zusätzlich durch die Verschlüsselung geschützt, deren Schlüssel im TPM-Chip gebunden ist. Wird versucht, die Firmware zu manipulieren, um die Schutzmechanismen zu umgehen, greift der im TPM verankerte Schutz vor Firmware-Manipulation durch BIOS-Rootkits.
Ergänzend dazu kann ein Kensington-Schloss den unbeaufsichtigten Diebstahl im Vorfeld erschweren – Details zu diesem Mechanismus, seinen Vorteilen und Grenzen finden sich ebenfalls im Beitrag Idealer Laptop-Schutz. Für Organisationen, die Geräte mit dienstlicher Chipkarte betreiben, bedeutet Geräteverlust in der Praxis vor allem organisatorischen Aufwand: Die verlorene Karte muss gesperrt und ersetzt werden, während das Gerät selbst dank TPM-gebundener Verschlüsselung ohne die Karte keinen Zugriff auf die gespeicherten Daten erlaubt.
Welche Modelle bieten Smartcard-Leser und TPM?
TPM 2.0 ist bei den robusten Geräten im Sortiment durchgängig vorhanden, wie die Vergleichstabelle Laptops und die Vergleichstabelle Tablets zeigen. Einen Smartcard-Leser als Erweiterungsmodul oder Werksoption bieten unter anderem das Durabook R8, das Durabook R11, das Durabook R11L und das Durabook S14I. Bei Getac führen unter anderem der Getac X500 und der Getac K120 Smartcard-Leser in ihrer Sicherheitsausstattung, für den Einsatz in Ex-Zonen kommt der Getac ATEX EX80 mit TPM 2.0 und RFID-Reader infrage. Welches Modell im Detail passt, hängt neben der Zugangskontrolle auch von Einsatzumgebung, Displaygröße und den übrigen Anschlüssen ab – ein vollständiger Überblick über alle technischen Daten findet sich in den beiden Vergleichstabellen.
Fazit
TPM und Smartcard-Leser lösen zwei unterschiedliche Aufgaben, die im Feldeinsatz zusammenwirken: Der TPM-Chip verwaltet Schlüssel, sichert die Firmware und ist an der Festplattenverschlüsselung beteiligt, während der Smartcard-Leser den Besitzfaktor für eine echte Zwei-Faktor-Anmeldung liefert – eine Absicherung, die weder ein reines Passwort noch ein Fingerabdruck-Scanner allein bietet. Genau deshalb ist diese Kombination bei Behörden, Einsatzkräften und in Teilen der Industrie oft Vorgabe statt Kür. Für die konkrete Modellwahl liefern die Vergleichstabelle Laptops und die Vergleichstabelle Tablets den vollständigen Überblick über TPM- und Smartcard-Ausstattung je Modell, während der Beitrag Idealer Laptop-Schutz die übrigen Sicherheitsmechanismen wie OPAL 2.0, Kensington-Schloss, NIST-BIOS und Fingerabdruck-Scanner im Detail einordnet.
Bei Fragen zur passenden Zugangskontrolle für Ihren Einsatzbereich unterstützt Sie das RobustBook-Team gerne bei der Auswahl des geeigneten Modells.