Drei Ryzen-Schwachstellen in zwei Monaten drosseln Leistung

Jeder Sicherheits-Patch für Ihre CPU kostet Leistung – und es ist nicht der letzte

Zwei Sicherheitshinweise in zwei Monaten und drei kumulierte Schwachstellen über drei Jahre hinweg auf demselben Prozessor. Diese Bilanz führt kein Labor: Sie spürt jeder, der einen Ryzen zu Hause hat. Jeder Alarm wird gleich geschlossen: mit einem neuen BIOS, frischem AGESA und einer Leistungsabnahme, die nie zurückkommt. Die letzte Serie betrifft Zen 3 und Zen 4 und kommt genau dann, wenn AMD klargestellt hat, dass Desktop-Zen-2-Chips keine Entschärfung mehr erhalten.

Welche Schwachstellen plagen Ryzen-Prozessoren

Seit Spectre und Meltdown reißt der Strom nicht ab. Zu Retbleed, das Linux zwang, den Schutz von Windows (seit 2018) nachzuahmen, gesellte sich Inception, das die gesamte Pueblerino von Zen 1 bis Zen 4 betreffen kann. Dann folgten TSA und Vmscape, die die Leistung bei Zen 3 und Zen 4 reduzieren, sowie ein weiterer Fehler: Ein Gast in qemu/kvm kann das Host-System durch spekulative Ausführung kompromittieren; alle Ryzen- und Intel-Coffee-Lake-CPUs sind betroffen. Erste Berichte deuten darauf hin, dass dieser Angriff Verschlüsselungsschlüssel der Festplatten des Hosts innerhalb weniger Minuten extrahieren könnte. Auch DDR5-Speicher ist nicht vor Rowhammer-Angriffen sicher.

Die Schwere hängt davon ab, wen man fragt. Eine Enthüllung erhielt eine CVSS-Bewertung von 6,5 von 10, was sie als mittelschwer einstuft. Eine andere Sache ist die Fernausnutzung ohne Privilegien, die laut ersten Analysen sogar über JavaScript möglich sein soll. Dieser Aspekt wurde durch keinen echten Angriff bestätigt. Man sollte daran denken, dass Spectre oder Meltdown nachweislich nie aus der Ferne ausgenutzt wurden.

Wie viel Leistung geht pro Patch verloren

Jede Entschärfung bedeutet zusätzliche Anweisungen, die der Prozessor vor der Spekulation ausführt. Das Ergebnis ist messbar. Ein Jetstream2-Test ergab 7 % weniger Punkte im Vergleich zu einem Jahr zuvor, auf einem System, auf dem zudem der Meltdown-Schutz aktiviert und der Speculative-Store-Bypass deaktiviert war. AMD behauptet, die Verluste seien in den neuesten Fällen minimal, nennt aber keine Zahlen vor Veröffentlichung der Firmware.

Auf einem vor drei Sommern gekauften 5950X haben sich drei leistungsreduzierende Schwachstellen angesammelt — Inception, TSA und Vmscape —, wobei zwei zusätzlich Microcode-Updates erforderten. Manche argumentieren, Hyper-Threading abzuschalten helfe eher wegen der Temperatur als der Sicherheit. Andere erinnern daran, dass der Fehler im Design liegt: Spekulatives Ausführen ist die Wurzel fast aller Probleme, und darauf zu verzichten wäre ein Verzicht auf halbe Dekaden an Leistungsgewinnen.

Zen 2 bleibt fünf Jahre später ohne Patches

Das Detail, das am meisten ärgert, ist nicht die Schwachstelle, sondern die Reaktion. AMD plant nicht, den letzten schweren Fehler bei Desktop-Zen-2-Prozessoren zu beheben, die vor genau fünf Jahren auf den Markt kamen. Besitzer können Updates für neuere Generationen installieren, aber es wartet keine neue Firmware auf sie. EPYC-Chips haben Microcode erhalten. Obsoleszenz ist keine Metapher mehr, sondern eine Support-Mitteilung.

Unter Linux deckt Software mit dem neuesten Kernel einen Teil der Lücke ab, aber die CPU-Firmware im Desktop-Bereich kann vom Betriebssystem nicht geändert werden: Es braucht BIOS oder AGESA. Wenn der Mainboard-Hersteller nichts veröffentlicht, gibt es keine Möglichkeit. Auch die Steam Deck ist betroffen und wird Leistungseinbußen sehen.

Schwachstellen, die Software nicht behebt

Manche Fehler lassen sich nicht durch Updates lösen. Ein Rootkit, das vor dem Betriebssystem lädt und Formatierungen übersteht, erfordert das Hardware-Umprogrammieren des BIOS-Chips oder den Austausch des Mainboards. Warnungen zu UEFI häufen sich, und korrekt aktivierte Secure Boot ist die einzige sinnvolle Barriere dagegen.

Hinzu kommt eine in MSI-Boards entdeckte Schwachstelle, sowohl bei Intel als auch AMD. Der einzige Ausweg führt über einen Flash-Programmierer per Hardware. Die Marke veröffentlichte nach über einem Jahr ohne Updates vermeintlich veralteter Modelle ein neues BIOS, was auf die Ernsthaftigkeit hinweist.

Kosten für AM4 vs. Wechsel zu AM5

Die Paradoxie besteht darin, dass die alte Plattform preislich noch Sinn ergibt. Der 5900X kostet rund 344 Euro, der 5800X3D 325 Euro und der 5800X sinkt auf 212 Euro. 32 GB DDR5 gibt es bereits unter 100 Euro, ein gebrauchter Ryzen 3600 für 60–70 Euro. DDR4 ist günstig. Ein neuer AM4-Rechner lohnt sich nur, wenn Board und Speicher weiter genutzt werden, doch mit Nuancen: Mainboards bleiben teuer.

Die vollständige Preisaufstellung pro Modell und der Vergleich mit den Kosten eines Plattformwechsels zeichnen eine unbequeme Leiter, wobei der 5800X die Budget-Option ist und der Rest für den X3Namen oder das High-End-Etikett zahlt.

---

Mit diesen Zahlen ist Upgraden billig, Patchen teuer. Niemand hat bisher veröffentlicht, wie viel Leistung exakt durch die letzte Runde verloren geht, noch wann die Firmware zur Entschärfung boardweise eintrifft. Wer den Prozessor gekauft hat, starrt auf die CVE-Liste, das ungepatchte BIOS und eine unbeantwortete Frage: Wenn das Silizium am Kaufdatum sicher war, warum hört es alle paar Monate auf, sicher zu sein?