--- id: CP-089 slug: evil-maid-laptop-hotel lang: de title: "Evil Maid: der Laptop im Hotelzimmer" description: Wie jemand, der ein paar Minuten allein mit einem im Hotelzimmer liegenden Laptop ist, ihn kompromittieren kann, und was Sie tun können. canonical_url: https://startbrain.io/cyberpedia/de/articles/evil-maid-laptop-hotel/ markdown_url: https://startbrain.io/cyberpedia/de/articles/evil-maid-laptop-hotel.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: "Brain, „Evil Maid: der Laptop im Hotelzimmer“, Cyberpedia, 2026. https://startbrain.io/cyberpedia/de/articles/evil-maid-laptop-hotel/ (CC BY 4.0)" wing: 1 theme: secure_devices reflex: cr-056 schema: G3 updated: "2026-11-03" translations: de: https://startbrain.io/cyberpedia/de/articles/evil-maid-laptop-hotel/ fr: https://startbrain.io/cyberpedia/fr/articles/evil-maid-ordinateur-hotel/ en: https://startbrain.io/cyberpedia/en/articles/evil-maid-laptop-hotel-attack/ es: https://startbrain.io/cyberpedia/es/articles/evil-maid-ordenador-hotel/ sources: - "n": 1 title: Secure the Windows boot process publisher: Microsoft url: https://learn.microsoft.com/en-us/windows/security/operating-system-security/system-security/secure-the-windows-10-boot-process accessed: "2026-11-03" - "n": 2 title: BitLocker countermeasures publisher: Microsoft url: https://learn.microsoft.com/en-us/windows/security/operating-system-security/data-protection/bitlocker/countermeasures accessed: "2026-11-03" - "n": 3 title: "Pre-OS Boot: Bootkit, Sub-technique T1542.003 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1542/003/ accessed: "2026-11-03" - "n": 4 title: BitLocker Overview publisher: Microsoft url: https://learn.microsoft.com/en-us/windows/security/operating-system-security/data-protection/bitlocker/ accessed: "2026-11-03" - "n": 5 title: "Pre-OS Boot: System Firmware, Sub-technique T1542.001 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1542/001/ accessed: "2026-11-03" - "n": 6 title: Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1200/ accessed: "2026-11-03" - "n": 7 title: SP 800-147B, BIOS Protection Guidelines for Servers publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/147/b/final published: "2014-08-28" accessed: "2026-11-03" --- # Evil Maid: der Laptop im Hotelzimmer Der Name „Evil Maid“ (das böswillige Zimmermädchen) steht für eine einfache Situation: Ein Laptop bleibt allein in einem Hotelzimmer, und jemand hat ein paar Minuten Zugriff darauf. Das Gerät ist ausgeschaltet oder gesperrt, nichts scheint verändert. Dennoch entgeht eine Änderung, die vor dem Start von Windows vorgenommen wird, den Schutzmaßnahmen, die das System erst nach seinem Start anwendet [1]. Schadsoftware für den Startvorgang, sogenannte „Bootkits“, kann nämlich vor Windows starten, die Systemsicherheit umgehen und verborgen bleiben [1]. Dieser Artikel erklärt das Prinzip, was Sie auf dem Bildschirm sehen und welche Reflexe das Risiko senken. Die hier zitierten Quellen beschreiben keinen konkreten Hotelfall: Die unten datierten Fälle sind reale Angriffe derselben Art (Manipulation des Startvorgangs oder der Firmware, angeschlossene Hardware), keine Hotelszenen. ## In 30 Sekunden - Wo es passiert: bei einem unbeaufsichtigten Laptop (Hotelzimmer, Besprechungsraum, Auto), auch wenn er ausgeschaltet oder gesperrt ist. - Was der Angreifer will: Code platzieren, der vor dem System läuft, um Daten, Passwörter oder den Schlüssel der Festplattenverschlüsselung zu stehlen [1][2]. - Der Reflex: Das Gerät nicht allein lassen, es vor dem Weggehen vollständig ausschalten und eine PIN beim Start verwenden, wenn die IT-Abteilung sie anbietet [2]. - Wenn es schon passiert ist: Verlangt das Gerät ohne bekannten Grund einen Wiederherstellungsschlüssel, informieren Sie die IT-Abteilung, bevor Sie es wieder benutzen. ## Direkte Fragen ### Kann ein ausgeschaltetes Gerät wirklich angegriffen werden? Ja, wenn sein Startvorgang nicht geschützt ist. Ein Angreifer mit Rohzugriff auf die Startfestplatte kann den Bereich überschreiben, in dem der Bootloader liegt, und die Ausführung auf seinen eigenen Code umleiten [3]. Auf einem UEFI-Gerät kann er Dateien der EFI-Systempartition anlegen oder ändern, um Schadcode auf Kernel-Ebene auszuführen [3]. ### Was will er damit erreichen? Rootkits, zu denen Bootkits gehören, kommen oft zusammen mit anderer Schadsoftware, die lokale Anmeldungen umgehen, Passwörter und Tastatureingaben aufzeichnen, private Dateien übertragen und kryptografische Daten erfassen kann [1]. ### Reicht die Festplattenverschlüsselung aus? Sie schützt die Daten eines verlorenen oder gestohlenen Geräts, auch gegen ein softwarebasiertes Angriffswerkzeug oder den Ausbau der Festplatte in einen anderen Rechner [4]. Microsoft stellt klar, dass BitLocker standardmäßig davor schützt, dass jemand mit physischem Zugriff ein Bootkit installiert: Das TPM bemerkt die Änderung, und der Schlüssel wird nicht freigegeben [2]. Dasselbe Dokument hält fest, dass der Modus „nur TPM“ bequemer, aber weniger sicher ist als die Optionen, die einen zweiten Faktor verlangen [2]. ### Was ist ein TPM? Es ist ein Chip, der grundlegende Sicherheitsfunktionen bereitstellen soll, vor allem rund um Verschlüsselungsschlüssel. BitLocker bindet seine Schlüssel daran, um zu prüfen, dass das Gerät nicht verändert wurde, während das System offline war [2]. ## In der Haut des Angreifers Der Angreifer hat wenig Zeit und physischen Zugriff. Microsoft unterscheidet zwei Profile. Das erste ist der Gelegenheitsangreifer: Er setzt weder eine zerstörerische Methode noch ein aufwendiges Analysewerkzeug ein, und die Bauform des Geräts (kein externer Anschluss mit direktem Speicherzugriff, keine sichtbare Schraube, aufgelöteter Speicher) schränkt seine Möglichkeiten ein [2]. Das zweite Profil verfügt über Fachkenntnisse und längeren Zugriff: Er öffnet das Gehäuse, lötet und nutzt spezialisierte Hardware oder Software [2]. Bei manchen Systemen kann das Umgehen des Modus „nur TPM“ das Öffnen des Gehäuses und Löten erfordern, bei vertretbaren Kosten; das Umgehen eines TPM, das durch eine PIN geschützt ist, kostet mehr und zwingt dazu, die PIN zu erraten [2]. Es gibt mehrere Wege. Der erste verändert den Startsektor oder die EFI-Partition, sodass feindlicher Code vor dem System läuft [3]. Der zweite zielt auf die Firmware (BIOS oder UEFI): Es gibt Möglichkeiten, sie zu überschreiben, was ausgefeilten Angreifern eine schwer zu erkennende Persistenz verschaffen kann [5]. Der dritte fügt Hardware hinzu. MITRE weist darauf hin, dass viele Teams für Penetrationstests Zubehör einsetzen, das Tastatureingaben einschleusen oder den Kernel-Speicher per direktem Speicherzugriff (DMA) auslesen kann, und dass öffentliche Belege für den Einsatz durch echte Angreifer selten sind [6]. ## Was Sie auf dem Bildschirm sehen Etwas Bestimmtes wird nicht beschrieben. Die hier zitierten Quellen beschreiben keinen bestimmten gefälschten Bildschirm. Sie sagen jedoch, dass sich ein Rootkit, das vor dem System startet, vollständig verbergen kann [1]. Der Bildschirm zur Eingabe der BitLocker-PIN ist selbst ein Schritt, der vor Windows liegt [4], also an derselben Stelle, an der schädlicher Startcode laufen würde. Einen Anhaltspunkt gibt es trotzdem: Erkennt BitLocker im Modus „nur TPM“ eine Änderung der BIOS- oder UEFI-Konfiguration, kritischer Startdateien oder der Startkonfiguration, wechselt es in den Wiederherstellungsmodus und verlangt das Wiederherstellungskennwort [2]. Ein unerwarteter Wiederherstellungsbildschirm sollte also gemeldet werden. Ebenso ein unbekanntes Zubehörteil am Gerät, denn ein solches Zubehör kann Tastatureingaben einschleusen [6]. ## Unter der Haube Beim Start findet die Firmware zuerst den Bootloader des Systems. Ohne Secure Boot führt der PC den Bootloader auf der Festplatte aus und kann nicht wissen, ob er zu einem vertrauenswürdigen System oder zu einem Rootkit gehört [1]. Mit Secure Boot prüft die Firmware die Signatur des Bootloaders, bevor sie ihn startet [1]. Bootkits ersetzen oder verändern diesen Bootloader. Bei einem klassischen BIOS greifen sie den Master Boot Record (MBR) oder den Volume Boot Record (VBR) an; bei UEFI legen sie Dateien der EFI-Partition an oder ändern sie [3]. Firmware-Rootkits überschreiben das BIOS oder eine andere Hardware-Firmware, um vor Windows zu starten [1]. Das NIST zählt die unbefugte Änderung des BIOS wegen seiner privilegierten Stellung in der PC-Architektur zu den bedeutenden Bedrohungen [7]. Die Schutzmaßnahmen bilden eine Kette. Secure Boot startet nur vertrauenswürdige Bootloader, Trusted Boot prüft danach jede Komponente des Startvorgangs, und Measured Boot protokolliert den Start, damit ein vertrauenswürdiger Server den Zustand des PCs beurteilen kann [1]. BitLocker stützt sich auf die Messung des TPM: Eine nicht autorisierte EFI-Firmware, Startanwendung oder ein nicht autorisierter Bootloader kann weder ausgeführt werden noch den Schlüssel erhalten [2]. Ändert der Angreifer die Startkonfigurationsdatenbank, damit sie auf ein Scheinsystem verweist, prüft BitLocker kryptografisch, dass der Empfänger des Schlüssels das richtige System ist [2]. Die PIN beim Start ergänzt einen zweiten Faktor. BitLocker lädt die Schlüssel erst in den Speicher, wenn die Authentifizierung vor dem Start abgeschlossen ist, und das TPM begrenzt wiederholte Versuche, um Brute-Force-Angriffe abzuwehren [2]. Die PIN hilft außerdem gegen Angriffe über DMA-Anschlüsse und über die Restdaten im Arbeitsspeicher [2]. ## Fallanalysen Die hier zitierten Quellen nennen keinen datierten Hotelfall. Sie führen reale Angriffe gleicher Art an, mit dem Datum der Referenz, wie es auf der Seite steht. ### Hacking Team, 2015: ein Rootkit im BIOS MITRE nennt ein UEFI-BIOS-Rootkit, das die Firma Hacking Team entwickelt hat, um auf bestimmten Zielsystemen eine Fernzugriffssoftware zu halten [5]. Die zugehörige Referenz ist ein Artikel vom 13. Juli 2015 [5]. ### LoJax: ein in freier Wildbahn beobachtetes UEFI-Rootkit (Referenz vom September 2018) LoJax ist ein UEFI-BIOS-Rootkit, das eingesetzt wurde, um auf bestimmten Zielsystemen eine Fernzugriffssoftware zu halten [5]. Die Referenz von MITRE ist ein Artikel von ESET vom September 2018 mit dem Titel „LOJAX First UEFI rootkit found in the wild, courtesy of the Sednit group“ [5]. ### DarkVishnya: vor Ort angeschlossene Hardware (Referenz vom Dezember 2018) DarkVishnya schloss physisch einen Bash Bunny, einen Raspberry Pi, Netbooks und günstige Laptops in der Umgebung einer Organisation an, um Zugang zu deren lokalem Netz zu erhalten [6]. Die Referenz ist eine Analyse vom 6. Dezember 2018 über Banken, die durch direkte Verbindung mit dem lokalen Netz angegriffen wurden [6]. ### WhisperGate, Januar 2022: ein umgeleiteter Bootloader WhisperGate überschreibt den MBR mit einer Bootloader-Komponente, die Festplatten löscht und beim Start eine gefälschte Lösegeldforderung anzeigt [3]. Die meisten Referenzen von MITRE zu diesem Fall stammen aus dem Januar 2022, eine aus dem Februar 2022 [3]. ## Die richtigen Reflexe - Lassen Sie das Gerät nicht allein. - Schalten Sie es vollständig aus oder versetzen Sie es in den Ruhezustand, bevor Sie sich entfernen. Im einfachen Standby bleiben Programme und Dokumente im Speicher, und die PIN wird beim Aufwecken nicht erneut abgefragt; im Ruhezustand ist die Festplatte gesperrt [2]. - Wenn Ihre Organisation es erlaubt, nutzen Sie die Verschlüsselung mit einer PIN beim Start. Der Modus „nur TPM“ ist die Standardeinstellung und zielt auf den Gelegenheitsangreifer; gegen einen Angreifer mit Fachkenntnissen und Zeit empfiehlt Microsoft ein TPM mit PIN, deaktivierten Standby und ein Herunterfahren oder einen Ruhezustand, bevor das Gerät allein bleibt [2]. - Lassen Sie Secure Boot aktiviert: Es zu deaktivieren schützt nicht vor Bootkits [1]. Microsoft empfiehlt außerdem, für Änderungen an den BIOS-Einstellungen ein Kennwort zu verlangen [2]. - Verhält sich das Gerät nach Ihrer Rückkehr anders (Wiederherstellungsabfrage, unbekanntes Zubehör), melden Sie das der IT-Abteilung, bevor Sie es wieder anschließen. Ein Bootkit sitzt unterhalb des Systems und kann eine vollständige Bereinigung erschweren [3]. ## Quellen 1. Microsoft, „Secure the Windows boot process“. https://learn.microsoft.com/en-us/windows/security/operating-system-security/system-security/secure-the-windows-10-boot-process (abgerufen am 3. November 2026) 2. Microsoft, „BitLocker countermeasures“. https://learn.microsoft.com/en-us/windows/security/operating-system-security/data-protection/bitlocker/countermeasures (abgerufen am 3. November 2026) 3. MITRE ATT&CK, „Pre-OS Boot: Bootkit, Sub-technique T1542.003 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1542/003/ (abgerufen am 3. November 2026) 4. Microsoft, „BitLocker Overview“. https://learn.microsoft.com/en-us/windows/security/operating-system-security/data-protection/bitlocker/ (abgerufen am 3. November 2026) 5. MITRE ATT&CK, „Pre-OS Boot: System Firmware, Sub-technique T1542.001 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1542/001/ (abgerufen am 3. November 2026) 6. MITRE ATT&CK, „Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1200/ (abgerufen am 3. November 2026) 7. NIST, „SP 800-147B, BIOS Protection Guidelines for Servers“, 28. August 2014. https://csrc.nist.gov/pubs/sp/800/147/b/final (abgerufen am 3. November 2026) --- Originalquelle: Cyberpedia, die öffentliche Enzyklopädie zu Cybersicherheit und KI von Brain. Kanonische Version: https://startbrain.io/cyberpedia/de/articles/evil-maid-laptop-hotel/ Sie dürfen diesen Text unter der Lizenz CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) frei weiterverwenden, sofern Sie „Brain, Cyberpedia“ mit einem Link auf die obige Adresse nennen.