IoT-Security Der Fehlerteufel steckt im Detail

Anbieter zum Thema

DigiCert

Schneider Electric GmbH

Telefonica Germany GmbH & Co. OHG

NetModule AG

Auch das Internet der Dinge gefährdet durch seine sehr schnelle Verbreitung den eigenen Erfolg. Gerade in der Anfangsphase wurden smart vernetzte Geräte noch ohne Sicherheitsvorkehrungen entwickelt, produziert und verkauft — ein riesiges Problem bei milliardenfach eingesetzten Sensoren und intelligenten Devices.

In Deutschland arbeiten immer mehr Unternehmen mit vernetzten Systemen im Internet der Dinge. Nach Zahlen des Statistischen Bundesamts nutzen mittlerweile 36 Prozent der Betriebe mit mindestens zehn Beschäftigten intelligente Geräte oder Systeme. Untersuchungen von Cisco zeigen, dass es im vergangenen Jahr 27,1 Milliarden vernetzte IoT-Geräte gab — darunter medizinische Geräte, speicherprogrammierbare Steuerungen (SPS) und Motorsteuerungen (ECUs). Für 2035 prognostizieren die Experten und Expertinnen von Gallup sogar 75 Milliarden IoT-Geräte.

Sicherheit auf Endnutzerebene

Mit Digital Employee Experience einfacher zu Zero-Trust

Millionen, wenn nicht sogar Milliarden smarter Lösungen kamen so auf den Markt, ohne dass IT-Sicherheitsanforderungen bedacht wurden. Bevor diese großflächig verbreitet wurden, war der Schutz und sichere Einsatz von IoT-Geräten kein großes Thema. Als Folge gibt es eine gigantische Zahl an IoT-Geräten mit Sicherheitsproblemen.

Das Internet der unsicheren Dinge

Jetzt ist die Liste bekannter Probleme lang: Einige Geräte werden mit Standardpasswörtern ausgeliefert, die in den online abrufbaren Bedienungsanleitungen von jedem und jeder nachgeschlagen werden können. Andere Geräte verfügen über Firmware, die sich nicht aktualisieren lässt. Weitere IoT-Technologien greifen auf unsichere Update-Protokolle zurück. Nicht nur die Datenverarbeitung ist dabei unsicher, sondern auch die Netzwerkkommunikation insgesamt.

Und selbst, wenn Sicherheitsfunktionen auf einem Gerät abrufbar sind, werden sie häufig trotzdem nicht eingesetzt. Viele IT-Entwickelnde verwenden einen Prozessor auf ihrem Gerät, von dem sie nicht einmal wissen, dass er starke Algorithmen wie AES unterstützen kann. Dabei hätte ein Blick ins Datenblatt des Gerätes ausgereicht, um diese wertvolle Information einzuholen.

Security-Fehler an der Wurzel gepackt

In der Regel beginnen die Probleme bereits auf der Herstellerebene. Bei der Entwicklung von IoT-Produkten haben zu wenig Anbietende grundlegende Sicherheitsüberlegungen berücksichtigt. Die Kombination von IT-Rechnern und Operational Technology (OT)-Systemen ist für viele Herstellende noch Neuland — mitunter fehlt das erforderliche Fachwissen oder Bewusstsein. Hinzu kommt, dass die Go-to-Market-Strategien der Anbietenden unverzichtbare Sicherheitskriterien häufig hintenanstellen.

Cybersicherheit

IT-Experten geben Security-Prognosen für 2023 ab

Für manche Herstellende ist es das erste Mal, dass sie sich mit Fragen der Informationssicherheit zu ihren Produkten auseinandersetzen müssen. Umso wichtiger sind deshalb Prozessabläufe und Anleitungen, wie sich IoT-Geräte bestmöglich schützen lassen. So unterstützen moderne Hardware-Geräte hochsichere Public Key Infrastructure (PKI)-Sicherheitsprotokolle. Dennoch verwenden viele Entwickler und Entwicklerinnen aber standardmäßig weiterhin simple Kombinationen aus Benutzername und Kennwort für die Anmeldung.

Manipulierbare Insulinpumpen

Die fatalen Konsequenzen solcher Schwachstellen reichen von der Gefahr, dass vertrauliche Informationen von Benutzenden gestohlen werden können, bis hin zur unerkannten Einbindung von IoT-Geräten in ein DDoS-Botnet. Durch neue Reglementierungen und Vorgaben sollen klaffende Sicherheitslücken vermieden werden, aber die Branche insgesamt kommt hier viel zu langsam voran. Ohnehin können selbst größte Anstrengungen nicht alle gefährdeten Drahtlos-Devices, die über Monate und Jahre hinweg verkauft wurden, im Nachhinein entschärfen.

Eine BSI-Studie förderte zutage, dass bei zehn Medizinprodukten (von der Insulinpumpe bis zum Herzschrittmacher) insgesamt 150 Sicherheitslücken gefunden wurden. Diese Fälle sind anschauliche Beispiele dafür, wie sich IoT-Fehler sogar auf die persönliche Gesundheit auswirken können. Bei einer der geprüften Insulinpumpen ermöglichte eine Schwachstelle, dass das Gerät durch Angreifende übernommen wird. Als betroffene Person mit Typ1-Diabetes besorgt es mich verständlicherweise, wenn sich die Abgabe der Insulinmenge unbemerkt senken oder erhöhen lässt.

Risiken durch Vernetzung

Je mehr vernetzte Geräte im privaten und beruflichen Alltag anzutreffen sind, desto größer sind die Risiken durch angreifbare IoT-Technologien. Cyber-Angreifende versuchen, VoIP- und Videokonferenzsysteme als Einfallstor für weitreichende Hacking-Kampagnen auszunutzen. Netzdrucker gelten als IoT-Risiken für Netzwerke, da sie nicht nur in Büros, sondern auch zum Karten- oder Armbanddrucken bei Veranstaltungen eingesetzt werden. Diese Liste reicht bis zu smarten Schließanlagen und industriellen Steuersystemen.

Die Vorgeschichte von schlagzeilenträchtigen Sicherheitsvorfällen ist, dass es auch bei IoT-Standardtechnologien an der erforderlichen Dokumentation fehlt. Häufig fallen entsprechende Sicherheitsvorgaben der Behörden wenig konkret aus, und es fehlen detaillierte Anleitungen für eine bestimmte Produktgruppe. Mit vagen Ausführungen können Herstellende nur wenig anfangen und beschränkten sich daher auf minimale Sicherheitsmaßnahmen. Das ändert sich jetzt. So hat die Europäische Kommission im September 2022 das Gesetz über Cyberresilienz verabschiedet, um den Missbrauch von IoT-Produkten einzuschränken.

Maßnahmen zur Erhöhung der Sicherheit

Die größte Herausforderung bei der Umsetzung höherer Sicherheitsziele ist die Vielzahl von Umgebungen, in denen IoT-Geräte eingesetzt werden. Bei der Menge an Installationen lassen sich technische Konflikte und Security-Lücken nur schwer erkennen und detailliert analysieren, um wirkungsvolle Sicherheitsmaßnahmen auf Geräteebene durchführen zu können. Gesetzesinitiativen wie die oben genannte EU-Richtlinie sind wichtige Schritte, um bessere Lösungen zu entwickeln. Auf der Basis solider Informationen fällt es auch Herstellenden leichter, sichere und praxistaugliche Geräte zu entwickeln.

Sicher surfen

Öffentliches WLAN: Praktisches Angebot oder gefährliche Falle?

Eine weitere Option für Herstellende und Entwickelnde ist es, enger mit Sicherheitsanbietenden zusammenzuarbeiten. IT-Sicherheitsexperten und -expertinnen können eine wertvolle Hilfe bei der Umsetzung moderner Sicherheitskriterien sein, damit Herstellende bereits in der Entwicklungsphase entsprechende Maßnahmen integrieren können. So lassen sich PKI-Zertifikate beispielsweise mithilfe von API-Anforderungen des Sicherheitsanbieters in IoT-Prozessoren integrieren, ohne dass der oder die betreffende Produktentwickelnde sie manuell platzieren oder überprüfen müsste. Voraussetzung dafür ist eine kryptografische Unterstützung, die innerhalb des Prozesses implementiert oder über einen zusätzlichen Prozessor wie Trusted Platform Module (TPM) auf einem Gerät umgesetzt wird.

Sicherheits-Design

Der Schlüssel zur Sicherung von IoT-Prozessen ist, dass grundlegende Security-Anforderungen im Entwicklungsprozess von Anfang an berücksichtigt und dokumentiert werden. Mit dem neuen Kommunikationsstandard „Matter“ geht die Connectivity Standards Alliance diese Aufgabe systematisch an. Der einheitliche Standard für Smart-Home-Geräte, Mobilgeräteanwendungen und Smart-Home-Infrastrukturen gewährleistet, dass nur Matter-zertifizierte Geräteverbindungen möglich sind, um eine sichere Nutzung zu gewährleisten. Die Security-Standards umfassen verschlüsselte Kommunikation, ein geregeltes Zertifizierungsverfahren für neue Produkte und eine eindeutige Identifizierung der IoT-Geräte.

Denn im Alltag zeigt sich, dass IoT-Geräte nicht nur in der Entwicklungsphase, sondern während des gesamten Lebenszyklus gegen unterschiedliche, teils neue Bedrohungen geschützt werden müssen. Angesichts komplexer Probleme in hoch vernetzten IoT-Szenarien müssen Herstellende die erforderlichen Sicherheitskriterien einhalten, um kostspielige Fehler und gefährliche Cyberrisiken beim Design vernetzter Geräte zu vermeiden. Indem Digital Trust aufgebaut und aufrechterhalten wird, können Unternehmen eine sicherere und vertrauenswürdigere vernetzte Erfahrung für ihre Benutzende schaffen. Viele Sicherheitsprobleme beginnen auf Herstellerseite, aber mit der richtigen Herangehensweise enden sie auch dort.

* Mike Nelson ist Vice President IoT Security bei Digi Cert.

(ID:48974463)