Wie gefährlich ist Riots Anti-Cheat-Software in «Valorant» wirklich?

Cheater sind eine Plage. Besonders gravierend ist es bei kompetitiven Spielen wie «Counter-Strike GO» oder Riots neuem Online-Shooter «Valorant». Denn wenn ein Spiel eine Chance im E-Sport haben will, muss gewährleistet werden können, dass die Teilnehmer nicht bescheissen. Weil Riot mit «Valorant» genau dort durchstarten will, hat das Unternehmen einen starken Fokus auf die eigene Anti-Cheat-Software namens Vanguard gelegt. Die ist nun nicht wegen ihrer Effizient im Umgang mit Cheatern, sondern auf Grund ihrer Zugriffsrechte auf das System in die Schlagzeilen geraten. Sie verlangt für die korrekte Ausführung einen Neustart und läuft auch im Hintergrund, wenn «Valorant» nicht gespielt wird. Und weil Riot, die Firma hinter «League of Legends», vor knapp zehn Jahren vom chinesischen Megakonzern Tencent aufgekauft wurde, sorgen sich viele Spieler um ihre Privatsphäre und die Sicherheit ihres PCs.

Ob diese Bedenken berechtigt sind, habe ich den IT-Sicherheitsexperten Tobias Ospelt gefragt. Seine Firma Pentagrid kümmert sich um Sicherheitsberatungen und -analysen von Unternehmen. Tobias ist ausserdem Dozent für Informationssicherheit an der Fachhochschule ZHAW in Winterthur. Wir kennen uns auch privat.

Was kannst du zu Riots Anti-Cheat-Software sagen? Was macht sie so anders, dass sich die Gamer aufregen?
Tobias Ospelt, IT-Sicherheitsanalyst: Riots Anti-Cheat-Software Vanguard verschafft sich höhere Rechte mittels eines Windows-Kernelmoduls, das beim Computerstart geladen wird und ohne welches das Spiel nicht läuft. Ich denke, Vanguard ist auf Grund des erzwungenen Neustarts des Computers nach der Installation für Gamer sichtbarer als andere Anti-Cheats, die im Hintergrund agieren. Zusätzlich gibt es noch ein paar unschöne Berichte, bei denen ich mich frage, ob dies nur Probleme der ersten Version sind. Beispielsweise deinstallierte sich Vanguard nicht, wenn man das Spiel deinstalliert oder der Anti-Cheat-Mechanismus sprang an, weil jemand sein Smartphone mit dem Computer verbunden hat. Vielleicht heizen auch die Cheater die Diskussion an.

Was für Möglichkeiten hat die Software, dein System zu beeinflussen?
Mit einem Kernelmodul stehen alle Möglichkeiten offen. Man kann beispielsweise versuchen herauszufinden, ob der Kernel manipuliert wurde oder eine angeschlossene Hardware zu cheaten versucht. Wobei die Aufgabe des Kernelmoduls eher in der Beobachtung anstelle der Beeinflussung liegt. Die Frage ist, für welche Zwecke diese Möglichkeiten von Vanguard genutzt werden.

Wird der PC angreifbarer?
Die sogenannte Angriffsfläche erhöht sich mit zusätzlicher Software. In jeder Software kann es ausnutzbare Sicherheitslücken geben. In diesem Fall wäre die Auswirkung eines Angriffs aufgrund des höher privilegierten Kernelmoduls kritischer. Die Situation ist sehr ähnlich zu Antivirus-Programmen. 2016 hatte beispielsweise Symantecs Norton Antivirus eine schwerwiegende Sicherheitslücke, die ebenfalls den Kernel betraf. Wegen solcher Ereignisse sind Antivirus-Lösungen umstritten,
genauso wie Anti-Cheating. Riot beteuert, dass es ihnen darum geht, die Sicherheit zu erhöhen. Sie belohnen auch Personen, welche eine Sicherheitslücke im Kernelmodul finden – mit einem Bug Bounty von 100 000 US-Dollar. Mit diesem hohen Finderlohn für Sicherheitsprobleme suggeriert Riot ein gewisses Grundvertrauen in die Sicherheit ihrer eigenen Lösung.

Was für Software gibt es, die ähnliches macht?
Nebst dem Antivirus-Beispiel benutzen auch Virtualisierungslösungen wie Virtualbox, VMWare oder spezielle Software für Hardware Kernelrechte. Selbst der
Easy Anti-Cheat, der in «Fortnite»,
«Rust» oder «War Thunder» verwendet wird, arbeitet nach diesem Prinzip. BattleEye, das unter anderem in «Rainbow Six Siege», «Escape From Tarkov» und «PUBG» eingesetzt wird, ebenfalls.

Erste Cheater wurden bereits gebannt, nützen die zusätzlichen Berechtigungen also gar nichts?
Im Kernel oder mit externer Hardware zu cheaten, ist im Normalfall ein grösserer Aufwand und komplexer, als einen herkömmlichen Cheat zu schreiben. Mit Vanguard versucht Riot nun aber, gegen diese Cheater vorzugehen. Das hat zur Folge, dass die Einstiegshürden für Hersteller und Benutzer von Cheats weiter steigen. Kein Anti-Cheat wird jedoch perfekt sein. Am Ende handelt es sich um ein Katz-und-Maus-Spiel von Cheatern und Anti-Cheats. Es scheint wohl darum zu gehen, die Masse an Cheatern zu verringern, indem Cheaten schwieriger und somit teurer gemacht wird. Langfristig wird es Cheater geben, die auch dieses System umgehen. Ich denke, für Riot ist eine solche Lösung befriedigend, solange viele Cheater aufgeben. Wie wirksam die Massnahmen tatsächlich sind, weiss nur Riot.

Kann Riot mit Vanguard deine privaten Daten auslesen?
Ja, aber grundsätzlich auch ohne Kernelmodul. Jeder Software, die du auf Windows installierst, erteilst du indirekt auch Leserechte deiner Dokumente.

Glaubst du, es ist gerechtfertigt, dass eine Anti-Cheat-Software solche Rechte verlangt?
Das ist für mich schwierig einzuschätzen, weil ich nicht beurteilen kann, wie gross das Problem mit Kernel-Cheatern ist und ob der Zweck die Mittel heiligt. Ich spiele online gerne ohne Cheater und ich denke, Riot hätte diesen Schritt nicht getan, wenn sie nicht verzweifelt gegen Cheater ankämpfen. Ich erinnere mich daran, dass das ein Problem bei «PUBG» war. Da ich meinen Game-Computer lediglich zum Gamen einschalte und keine weiteren Daten dort aufbewahre, ist für mich persönlich der Nutzen einer solchen Anti-Cheat Software höher als das potenzielle Sicherheitsrisiko. Ich verstehe aber auch, wenn das nicht jeder so sieht. Insbesondere, wenn Nutzerinnen und Nutzer keine getrennten Systeme für Spiele und Computerarbeit verwenden. Ich hoffe, dass es detaillierte unabhängige Analysen des Kernelmoduls geben wird, die mehr Transparenz herstellen und damit eine fundiertere Entscheidung zur Nutzung oder Ablehnung erlauben.

Dass es keine 100 prozentige Sicherheit gibt, zeigt auch der aktuelle Fall bei Valve. Dort wurde diese Woche bekannt, dass der Source Code von «Counter-Strike GO» und «Team Fortress 2» geleaked ist. Valve selbst behauptet, es bestehe kein Risiko. Wie siehst du das?
Laut Valve handelt es sich dabei um einen älteren Code aus 2017 oder 2018. Geleaked hat ihn eine Third Party, die den Code wahrscheinlich zum Modden oder ähnlichem erhalten hat. Ich vemute, in diesem Code gab es eine Sicherheitslücke, über die man sich relativ einfach Malware einfangen konnte. Die Frage ist, ob es immer noch Bugs im Code gibt, welche nicht gepatched wurden. Einige Spieler befürchten jetzt, dass es noch einfacher geworden ist, zu cheaten. Das ist durchaus möglich, da man durch diesen Einblick eine bessere Vorstellung hat, wie der Code aufgebaut ist. Am Ende bleibt Code aber Code. Programmierer stehen unter Stress. Sie sind auch nur Menschen und Menschen machen Fehler. Code ist etwas sehr Komplexes, da kann sowas passieren.

Wie beurteilst du die Spionagebedenken, die Spieler an Riot äussern?
Grundsätzlich ist das ein chinesisches Unternehmen und das will primär Geld machen, vermute ich. Aber genauso wie bei den Amerikanern, wenn die NSA anklopft, wird auch Riot spuren, wenn die Partei vor der Tür steht. Wenn Daten nach China transferiert werden, kannst du sicher sein, dass die auch ausgewertet werden. Wenn du Bedenken hast, solltest du das Spiel generell nicht installieren. Die Kernelrechte spielen nämlich eine untergeordnete Rolle, wenn du ihre Software auf deinem PC installierst.

Dann würdest du also nur wegen Vanguard nicht von der Installation «Valorants» abraten?
Ich denke, es ist wichtig, über dieses Vorgehen zu diskutieren. Die Relevanz ist aber individuell. Daten wie beispielsweise Word-Dokumente oder gespeicherte Passwörter in Browsern auf dem gleichen System wären im Prinzip für jede installierte Software angreifbar — auch ohne Kernelmodul. Die Privatsphäre könnte ebenfalls ohne Kernelmodul ausgespäht werden. Das Kernelmodul ist nur ein weiterer Schritt. Die Frage ist, welche Angriffsszenarien auf den Benutzer übrig bleiben. Ich denke, viele sollten sich zuerst die Frage stellen, wie man sich momentan schützt. Beispielsweise, indem man vertrauliche Daten nicht auf dem Gamer-Computer speichert, sondern auf einem besser gesicherten separaten Arbeitscomputer. Am Ende ist es eine Vertrauensfrage, da die Komplexität installierter Software für Nutzerinnen und Nutzer kaum zu überblicken ist.