Intel® Active-Management-Technik: Datenschutzerklärung (Stand: September 2023)
Intel achtet auf den Schutz Ihrer Daten. Diese Beschreibung erläutert die datenschutzbezogenen Funktionen und Merkmale der Intel® Active-Management-Technik (Intel® AMT), was die Intel AMT IT-Administratoren gestattet beziehungswiese verwehrt und die Datentypen, die die Intel AMT auf dem System des Benutzers speichert. Diese Beschreibung wird als Ergänzung zur Online-Datenschutzerklärung von Intel bereitgestellt und bezieht sich nur auf die Intel AMT.
Was ist die Intel® AMT?
Die Intel AMT ermöglicht autorisierten IT-Administratoren die Out-of-Band-Fernwartung und -Fernverwaltung (OOB) vernetzter Computersysteme in großen Unternehmen.
Welche potenziellen Datenschutzprobleme können eventuell durch die Intel AMT entstehen?
Fernverwaltungsfunktionen werden seit jeher von Softwareanbietern bereitgestellt und seit geraumer Zeit von den IT-Abteilungen vieler Unternehmen verwendet.
Die Intel AMT stellt IT-Administratoren jedoch Fernsteuerungsfunktionen für die Wartung und Verwaltung von Computern bereit, selbst wenn der Benutzer nicht vor Ort oder der Computer ausgeschaltet ist.
Wie kann ein Benutzer feststellen, ob die Intel AMT auf seinem System aktiviert ist?
Intel hat ein Taskleistensymbol entwickelt, das Transparenz bietet und den Endbenutzer über den aktuellen Status der Intel AMT informiert. Die aktuelle Standard-Software der Intel AMT beinhaltet die Anwendung Intel® Management and Security Status (IMSS), die gemeinsam mit Treibern und Diensten installiert wird, sowie ein entsprechendes Taskleistensymbol. Das IMSS-Taskleistensymbol informiert über den aktuellen Status der Intel AMT auf dem System (aktiviert oder deaktiviert) und verweist auch auf eine Anleitung, wie die Funktionalität der Intel AMT aktiviert/deaktiviert werden kann. Intel empfiehlt, dass jeder OEM (Original Equipment Manufacturer) die IMSS-Anwendung lädt. OEMs können jedoch entscheiden, dieser Empfehlung von Intel nicht nachzukommen. Darüber hinaus können IT-Manager im Endkundenbereich beschließen, die IMSS-Anwendung zu entfernen, bevor sie Endbenutzern ein für die Intel AMT geeignetes System übergeben. Je nach dem vom OEM gewählten Implementierungsansatz können Benutzer den Status der Intel AMT auch im System-BIOS ihres Computers überprüfen. Allerdings gilt es zu beachten, dass die IT-Abteilungen einiger Unternehmen Benutzern möglicherweise nicht die erforderlichen System-BIOS-Zugangsrechte gewähren, die für die Aktivierung/Deaktivierung der Intel AMT oder die Statusüberprüfung nötig sind.
Welche persönlichen Informationen sammelt die Intel AMT vom Benutzer?
Die Intel AMT sammelt keine persönlichen Informationen über den Benutzer (z. B. Name, Adresse, Telefonnummer).
Welche Art von Informationen sendet die Intel AMT an Intel und wie werden diese Informationen verwendet?
Die Intel AMT sendet keine Daten an Intel.
Welche Art von Informationen speichert die Intel AMT?
Die Intel AMT speichert Informationen im Flash-Speicher auf dem System-Mainboard. Die Informationen umfassen: Firmware-Code, Hardwarebestandsdaten (z. B. RAM-Größe, CPU-Typ, Festplattentyp), ein Ereignisprotokoll, das Plattformereignisse aufzeichnet (z. B. CPU-Überhitzung, Lüfterausfälle, BIOS-POST-Mitteilungen), von der Intel AMT erkannte Sicherheitsvorfälle (z. B. Warnungen der Intel AMT über Passwortangriffe oder Auslösen der Systemschutzfilter) sowie von der Intel AMT erfasste Konfigurationsdaten (z. B. Netzwerkeinstellungen, Listen für die Zugangskontrolle und UUIDs (Universally Unique Identifier), einschließlich Bereitstellungsdaten, LAN-MAC-Adresse, Schlüssel, KVM-Passwörter (Keyboard/Video/Mouse), TLS-Zertifikate (Transport Layer Security) und von der IT-Abteilung konfigurierte Funknetzwerkprofile). Alle als sensibel eingestuften Konfigurationsdaten werden im Flashspeicher in verschlüsselter Form gespeichert. Weitere Informationen über UUIDs finden Sie im Abschnitt unten.
Darüber hinaus gestatten die Version 11.0 und ältere Versionen der Intel AMT registrierten unabhängigen Softwareherstellern (ISVs) das Speichern von Daten in einem Flash-Speicherbereich, der als Third Party Data Store (3PDS) bezeichnet wird. Ab Version 11.6 der Intel AMT wird diese Funktion durch Web Application Hosting ersetzt. Infolge dieser Änderung kann die Intel AMT Webanwendungen im nichtflüchtigen Speicher, den die Intel AMT lokal auf der Client-Plattform verwaltet, hosten.
Intel informiert zwar seine ISVs über die laut Ansicht des Unternehmens besten Datenschutzpraktiken für verantwortungsvolle Datenverwaltung, legt aber letztendlich nicht fest, welche Daten in diesem Flash-Speicherbereich gespeichert werden und unterstützt auch keine Verschlüsselungsmethoden für ISV-Daten. ISVs wird daher empfohlen, Daten, die sie als sensibel erachten, vor der Speicherung im Flash zu verschlüsseln. Falls Sie im Zusammenhang mit den hier gespeicherten Daten Bedenken zu potenziellen Datenschutzrisiken haben, wenden Sie sich bitte an den entsprechenden Software-Entwickler, um weitere Informationen über den Typ der Informationen und die Webanwendungen, die im nichtflüchtigen Speicher gespeichert sind, und deren Schutz zu erhalten.
Wie verwendet die Intel AMT UUIDs? Welche Funktionalität unterstützen UUIDs auf Plattformen, die für die Intel AMT geeignet sind?
UUIDs (Universal Unique Identifiers) sind Identifikatoren, die von der Intel AMT für unterschiedliche Zwecke verwendet werden – zum Beispiel für den Bereitstellungsprozess und die Systemsicherheit (z. B. Passwörter, Schlüssel und TLS-Zertifikate) – und um sicherzustellen, dass IT-Administratoren in der Lage sind, zu Wartungszwecken eine einwandfreie Verbindung zum System eines bestimmten Benutzers innerhalb eines Unternehmens herzustellen.
Intel VPRO-Plattformen werden mit einer persistenten UUID, Intel Unique Platform ID (UPID), geliefert, um Anwendungsfälle zu ermöglichen, die eine persistente UUID erfordern, wie z. B. die Zero-Touch-Bereitstellung. Die UPID-Funktionalität ist von der OEM-Implementierung abhängig. UUIDs gibt es auf nahezu allen modernen PCs, und sie werden von OEMs häufig auf allen Plattformen installiert, ohne Zusammenhang mit der Intel AMT. UUIDs werden heute von Anwendungen, die auf vielen PCs zu finden sind, verwendet, um eindeutige Systeminformationen zu isolieren und erforderliche Funktionalität bereitzustellen, etwa Betriebssystem- oder Virenschutz-Updates. Die Intel AMT nutzt Plattform-UUIDs in ähnlicher Weise. Der Hauptunterschied besteht darin, dass die UUID in den Flash-Speicherbereich kopiert wird, damit die Intel AMT beim OOB-Management auf die UUID zugreifen kann.
Dabei ist zu beachten, dass Intel die UUIDs (einschließlich UPID) auf Systemen, die für Intel AMT geeignet sind, nicht verwenden kann, um Benutzer oder deren PCs zu tracken. Zudem ermöglichen sie Intel weder den Zugang zum Benutzersystem über eine Hintertür in die Plattform noch Firmware-Installationen auf der Plattform, denen der Benutzer nicht zugestimmt hat. Der Zugriff auf die von der Intel AMT im Flash gespeicherten UUIDs ist nur IT-Administratoren gestattet, die für eine bestimmte für die Intel AMT geeignete Plattform autorisiert sind. Die Liste der autorisierten IT-Administratoren wird während eines geschützten Vorgangs von der IT-Abteilung des Endkunden entweder mit Unternehmenszertifikaten oder physischer Anwesenheit beim Intel-AMT-System (über das BIOS-Menü oder einen Speicherstick) konfiguriert, um eine vertrauenswürdige Konstellation zu schaffen und erfolgt daher zur Gänze mit Konsolen, die sich auf Servern, welche von der IT-Abteilung des Endkunden als vertrauenswürdig eingestuft wurden, befinden. Mit anderen Worten, weder UUIDs noch andere Informationen können an oder von externe(n) Parteien über die Intel AMT weitergegeben werden, sofern dies vom Endkunden nicht ausdrücklich so konfiguriert wurde. Informationen zur Identifizierung der für ein bestimmtes System autorisierten Administratoren finden Sie in der Dokumentation zum Intel AMT Software Developer Kit (SDK), die unter https://www.intel.com/content/www/us/en/developer/topic-technology/client/business.html verfügbar ist. Das Kit stellt eine API bereit, mit der sich die ACLs oder durch Kerberos autorisierten Accounts abrufen lassen.
Welche Art von Informationen sendet die Intel® Active-Management-Technik (Intel® AMT) über das Netzwerk?
Die Intel AMT sendet und empfängt Daten über vordefinierte IANA-Netzwerkports: Port 16992 für SOAP/HTTP, Port 16993 für SOAP/HTTPS, Port 16994 für Redirection/TCP und Port 16995 für Redirection/TLS. Mit DASH kompatible Systeme senden und empfangen Daten über den Port 623 für HTTP und den Port 664 für HTTPS. KVM-Sitzungen (Keyboard/Video/Mouse) können entweder über die oben genannten Weiterleitungs-Ports (16994 oder 16995) oder den üblichen RFB-Port (VNC-Server) 5900 ausgeführt werden. Die über das Netzwerk gesendeten Informationen umfassen Befehls- und Rückmeldungen der Intel AMT, Umleitungsdatenverkehr und Systemwarnungen. Die über die Ports 16993 und 16995 übertragenen Daten werden durch das TLS- Protokoll (Transport-Layer Security) geschützt, insofern diese Option auf dem System des Benutzers aktiviert ist.
Die Intel AMT kann Daten entweder über ein IPV4- oder IPV6-Netzwerk senden und ist mit den RFC-3041-Datenschutz-Extensions kompatibel.
Welche identifizierbaren Informationen sendet die Intel® Active-Management-Technik (Intel® AMT) über das Netzwerk?
Während die Intel® AMT aktiviert ist, zeigen offene Ports Informationen, die verwendet werden können, um den Computer gegenüber anderen im Netzwerk zu identifizieren. Hierzu gehören das HTTPS-Zertifikat, HTTP Digest Realm, die Version der Intel AMT und andere Informationen, die verwendet werden können, um den Computer zu identifizieren. Diese Informationen werden im Rahmen des normalen Betriebs der von der Intel® AMT unterstützten Protokolle bereitgestellt. Eine Betriebssystem-Firewall wird den Zugang zu den Intel® AMT-Ports nicht blockieren, aber Administratoren können die Funktionen „Environment Detection“ und die „Fast Call for Help“ (CIRA) verwenden, um die lokalen Intel® AMT-Ports zu schließen und den Zugang zu dieser Information einzuschränken.
Was können authentifizierte IT-Administratoren mithilfe der Intel AMT durchführen?
- Das System per Fernzugriff für Fehlerbehebungs- und Wartungsaufgaben einschalten, ausschalten oder neu starten.
- Fehler per Fernzugriff auf dem System beheben, selbst wenn das Host-Betriebssystem ausgeschaltet oder beschädigt ist.
- BIOS-Konfigurationseinstellungen auf dem System per Fernzugriff überprüfen und ändern. Die Intel AMT bietet eine Funktion, die es einem IT-Administrator gestattet, das BIOS-Passwort zu umgehen. Sie wird allerdings nicht von allen OEMs implementiert.
- Filter für den Netzwerkdatenverkehr konfigurieren, um das System zu schützen.
- Das Ausführen registrierter Anwendungen auf dem System überwachen (z. B. ob Virenschutz-Software ausgeführt wird).
- Von der Intel-AMT-Firmware generierte Warnungen zu Ereignissen auf dem System des Benutzers, welche möglicherweise technische Unterstützung erfordern, erhalten (z. B. CPU-Überhitzung, Lüfterausfälle oder Auslösen der Systemschutzfilter). Weitere Beispiele sind öffentlich abrufbar unter https://www.intel.com/content/www/us/en/developer/topic-technology/client/business.html.
- Ferngesteuerte Fehlerbehebung auf dem System des Benutzers durch Umleiten des Boot-Prozesses auf eine Diskette, eine CD-ROM oder ein auf dem System des IT-Administrators gespeichertes Image.
- Ferngesteuerte Fehlerbehebung auf dem System des Benutzers durch Umleiten der Tastatureingabe und Bildschirmanzeige (Textmodus) zum System des IT-Administrators.
- Ferngesteuerte Fehlerbehebung auf dem System des Benutzers durch KVM-Umleitung (Keyboard/Video/Maus) zum System des IT-Administrators.
- Konfiguration, in welchen Netzwerkumgebungen die Verwaltungsfunktionen der Intel AMT verfügbar sein sollen (z. B. durch die Definition vertrauenswürdiger Domänen).
- Verwenden der Anwendung eines registrierten ISV, um Daten in den Flash-Speicher (3PDS-Bereich) zu schreiben oder dort zu löschen.
- Hosten von Webanwendungen im nichtflüchtigen Speicher, den die Intel AMT lokal auf der Client-Plattform verwaltet (Intel AMT 11.6 und neuer).
- Das System eines Benutzers im Unternehmensnetzwerk über eine UUID identifizieren.
- Entfernen der Intel AMT und Löschen der Daten im Flashspeicher.
- Mithilfe vorkonfigurierter CIRA-Profile (Client-Initiated-Remote-Access) sogar zu Systemen außerhalb des Firmennetzwerks eine Verbindung herstellen.
Gestattet die Intel AMT authentifizierten IT-Administratoren den Zugang zu lokalen Festplatten eines Benutzers?
Während einer Fernverwaltungssitzung hat der IT-Administrator Zugang zu den lokalen Festplatten des Benutzers. Dies bedeutet, dass der IT-Administrator auf der Festplatte des Benutzers Dateien lesen/schreiben könnte, um zum Beispiel das System instand zu setzen, indem eine fehlerhafte Anwendung oder ein fehlerhaftes Betriebssystem wiederhergestellt oder neu installiert wird. Die Intel AMT unterstützt zwei Funktionen, die helfen, potenzielle Datenschutzrisiken zu minimieren, die dadurch entstehen, dass IT-Administratoren auf diese Art von Informationen zugreifen können: IMSS und Audit Logging. Die Audit-Logging-Funktionalität stellt eine Administrator- Verantwortlichkeitsebene bereit, indem sie protokolliert, wann ein IT-Administrator über die Intel AMT Zugang zum System des Benutzers hatte. Allerdings definiert der Auditor, der in großen Unternehmen normalerweise nicht der Benutzer ist, welche Ereignisse tatsächlich protokolliert werden. Während Intel seinen Kunden empfiehlt, dass der Fernzugriff auf Systeme mit Intel AMT zu den Informationen gehören sollte, die protokolliert werden, ist es möglich, dass diese Informationen in einigen Unternehmensumgebungen dem Benutzer nicht zur Verfügung stehen. Informationen darüber, wie IMSS Benutzern Benachrichtigungen zu Zugriffen von IT-Administratoren auf ihr System bereitstellen kann, finden Sie direkt unterhalb.
Gestattet es die KVM-Umleitungsfunktionalität der Intel AMT einem authentifizierten IT-Administrator, die Kontrolle über den PC eines Benutzers per Fernzugriff zu übernehmen, als ob der Administrator selbst vor dem PC sitzen würde?
Während einer Fernverwaltungssitzung mittels KVM-Umleitung kann der IT-Administrator den PC eines Benutzers in gleicher Weise bedienen, als ob er direkt davor sitzen würde. Die Intel AMT unterstützt, dass KVM-Umleitungssitzungen erst nach expliziter Zustimmung des Benutzers („KVM User Consent“) erfolgen können. Um die Zustimmung des Benutzers zu einer Umleitungssitzung zu forcieren, wird auf dem Bildschirm des Benutzers – oberhalb anderer Fenster – ein sicheres Ausgabefenster („Sprite“) eingeblendet und der Benutzer wird aufgefordert, dem IT-Administrator eine zufällig erstellte Zahl vorzulesen. Erst nachdem der IT-Administrator die korrekte Sitzungsnummer eingegeben hat, kann die KVM-Sitzung beginnen. Sobald eine gültige KVM-Sitzung gestartet wurde, wird der gesamte Bildschirm des Benutzers von einem in Rot und Gelb blinkenden Rahmen umgeben. Das weist darauf hin, dass ein IT-Administrator eine KVM-Problembehebungssitzung durchführt. Die in Rot und Gelb blinkende Umrandung wird angezeigt, solange die Sitzung aktiv ist. Bitte beachten Sie, dass die Zustimmung des Benutzers zur KVM-Sitzung verpflichtend ist, wenn sich das System mit Intel AMT im Client-Control-Modus befindet, aber optional, wenn der Admin-Control-Modus aktiv ist.
Je nach OEM-Einstellungen sind die SOL/IDER- oder KVM-Funktionen der Intel AMT im BIOS oder der Intel® Management Engine BIOS Extension (Intel® MEBX) aktiviert oder deaktiviert. Die Voraussetzung, dass ein Benutzer KVM-Sitzungen bewusst zustimmen muss, kann vom IT-Administrator in den BIOS-Einstellungen oder in den Konfigurationseinstellungen der Intel AMT geändert werden. Intel empfiehlt, die obligatorische Zustimmung des Benutzers zu aktivieren, um seine Privatsphäre zu schützen.
Wie kann ein Benutzer feststellen, ob ein IT-Administrator über die Intel AMT auf das System zugegriffen hat?
Das IMSS-Taskleistensymbol ermöglicht und unterstützt die Benachrichtigung des Benutzers über verschiedene Ereignisse, etwa ob ein IT-Administrator durch das Öffnen/Schließen einer per Fernzugriff durchgeführten Umleitungssitzung auf das System zugreift oder zugegriffen hat (z. B. SOL/IDER) sowie die Aktivierung des Systemschutzes und das ferngesteuerte Booten des Systems durch einen IT-Administrator. Darüber hinaus wird in der rechten oberen Bildschirmecke ein blinkendes Symbol angezeigt, während eine Umleitungssitzung aktiv ist. Allerdings werden die Ereignisse, die tatsächlich durch das IMSS unterstützt werden, in Unternehmensumgebungen nicht vom Benutzer, sondern von einem IT-Administrator definiert. Während Intel empfiehlt, dass Unternehmen, die Systeme mit Intel AMT einsetzen, die in diesem Absatz erwähnten IMSS-Benachrichtigungsfunktion aktivieren, ist es möglich, dass Informationen zu Fernverwaltungsverbindungen möglicherweise nicht allen Benutzern zur Verfügung stehen.
Wie kann ein Benutzer alle durch die Intel AMT angelegten Konfigurations- und persönlichen Daten löschen?
Die Intel AMT stellt BIOS-Optionen bereit, um die Bereitstellung der Intel AMT auf einem System teilweise/vollständig zu entfernen. Intel empfiehlt Endbenutzern, ihr System vor dem Verkauf oder Recycling vollständig zu bereinigen und anderseits nach dem Kauf eines für die Intel AMT geeigneten Systems zu überprüfen, ob die Intel AMT vollständig entfernt wurde.
Aktualisierungen der Datenschutzerklärung
Diese Datenschutzerklärung wird bei Bedarf aktualisiert. Wenn wir Änderungen an dieser Datenschutzerklärung vornehmen, wird das am Anfang dieser Datenschutzerklärung angeführte Datum („Stand:“) entsprechend geändert.
Weitere Informationen
Wenn Sie Fragen zu dieser Datenschutzergänzung haben oder weitere Informationen benötigen, verwenden Sie bitte dieses Formular, um Kontakt zu uns aufzunehmen.