DDRop-Angriff hebelt Confidential Computing in der Cloud aus

Security · 15.9.2026

Forscher demonstrieren mit der DDRop-Methode, wie sich verschlüsselte RAM-Inhalte aus Cloud-Systemen mit günstiger Hardware entwenden lassen.

IT-Sicherheitsforschern ist es gelungen, die Hardware-Verschlüsselung von Arbeitsspeichern in Cloud-Infrastrukturen zu umgehen. Mit der als „DDRop“ bezeichneten Angriffsmethode können Angreifer mithilfe eines kostengünstigen Hardware-Tools sensible Daten aus fremden virtuellen Maschinen extrahieren, obwohl diese durch sogenanntes Confidential Computing geschützt sein sollten. Da das Problem auf der Hardware-Ebene liegt, existiert derzeit kein einfacher Software-Patch.

Warum ist das wichtig?

Confidential Computing gilt in modernen Cloud-Szenarien als Goldstandard für den Schutz von Daten während der Verarbeitung (Data in Use). Viele Unternehmen in der DACH-Region vertrauen darauf, dass sensible Workloads, personenbezogene Daten und geschäftskritische Algorithmen selbst vor dem Cloud-Anbieter und anderen Mietern auf derselben Hardware geschützt sind. Der DDRop-Angriff zeigt jedoch, dass diese Isolationsbarriere durch gezielte Störungen der RAM-Spannung über ein preiswertes Zusatzgerät physisch durchbrochen werden kann. Da betroffene Cloud-Anbieter dieselbe physische Infrastruktur für verschiedene Kunden nutzen (Multi-Tenancy), stellt diese Schwachstelle ein ernstzunehmendes Risiko für hochsensible Daten dar. Betroffen sind potenziell virtualisierte Umgebungen, die auf gängige hardwarebasierte Speicherverschlüsselungen von AMD oder Intel setzen.

Was Nutzer jetzt tun sollten

Da es für diese Schwachstelle auf absehbare Zeit keinen direkten Patch gibt, müssen IT-Verantwortliche und Administratoren risikobasierte Gegenmaßnahmen ergreifen:

• Risikoanalyse durchführen: Überprüfen Sie, welche Ihrer Cloud-Workloads zwingend auf Confidential Computing angewiesen sind und bewerten Sie das reale Bedrohungsszenario für diese Instanzen.
• Abhängigkeiten minimieren: Speichern Sie hochgradig vertrauliche Daten oder kryptografische Schlüssel nicht ungeschützt im RAM, falls die darunterliegende Hardware physisch zugänglich sein könnte (etwa bei Edge-Cloud-Szenarien).
• Cloud-Anbieter kontaktieren: Erkundigen Sie sich bei Ihren Infrastruktur-Providern aktiv nach spezifischen Schutzmaßnahmen gegen physische Manipulationen und Spannungsangriffe in deren Rechenzentren.
• Zusätzliche Sicherheitslayer etablieren: Setzen Sie verstärkt auf anwendungsspezifische Verschlüsselungsmethoden, die nicht rein auf der Hardware-Ebene des Cloud-Betreibers basieren.

Quelle: Golem Security