Regelmäßig erscheinen neue Nachrichtenberichte über „klassische“ Cyberangriffe auf IT-Systeme großer Unternehmen wie Apple, JP Morgan Chase, Sony und viele weitere [1]. Angriffsziele sind meist sensible Informationen über neue Entwicklungen, Kundendaten oder strategisch wichtige Dokumente. Ergebnisse solcher Angriffe sind oftmals Imageschäden und Kosten bis in den Millionen Bereich. Trotz der schwerwiegenden Schäden bei klassischen IT-Systemen, sind die Auswirkungen im Internet of Things-Bereich weitaus tiefgreifender. Bei der Erweiterung einer IT-Landschaft um IoT-Komponenten, wird der Nutzer und dessen physische Umgebung durch die direkte Vernetzung Teil des IoT-Systems und damit Teil der Angriffsoberfläche. So kann in Zukunft ein Angreifer die Kontrolle über ein Auto erhalten [2] oder Gesundheitssysteme in einem Krankenhaus stören [3], was zu Verletzungen der Privatsphäre und darüber hinaus zu schwerwiegenden Personenschäden führen kann.

Unter Internet of Things (IoT) oder zu Deutsch dem Internet der Dinge wird allgemein die enorme Vernetzung von intelligenten Objekten mittels eingebetteten Systemen verstanden, wodurch fortgeschrittene Anwendungen und Dienstleistungen realisiert werden können (siehe auch Definition des DigitalWikis [4]).

Der Hype um die Integration von IoT hat mittlerweile sein Ende gefunden [5]. Gemäß dem Gartner Hype Cycle sind neben der IoT Integration auch weitere zentrale Themen von IoT auf dem Weg in das „Tal der Ernüchterung“ (vgl. Gartner Hypecycle: Through of Disillusionment [5]). Der langjährige Hype führte zu überspitzen Erwartungen und Hoffnungen, die das Geschäftsfeld IoT nie hätte erfüllen können. Dennoch hat die Vergangenheit bereits bewiesen, dass mittels dem IoT nachhaltige Geschäftsmodelle realisierbar sind, welche einen enormen Nutzen bei geringen Aufwänden aufweisen. So wird IoT bereits erfolgreich in traditionellen Branchen wie Logistik [6], Umwelt [7] oder Infrastruktur [8] genutzt. Zudem sind im Zuge der ersten IoT-Welle neue Geschäftsideen und Marktnischen wie Smart Home, eHealth, Building Technologie, Connected Car (Car IT) oder Smart Energy entstanden (neue Hype-Themen vgl. Gartner Hypecycle). Trotz des Endes der ersten Hype-Welle ist und wird die Integration von IoT als eines der bedeutungsvollsten Geschäftsfelder bestehen.

Technologievielfalt

Eine der großen Herausforderungen bei der Realisierung von IoT sind die heterogenen Anforderungskonstellationen und Technologie-Eigenschaften. Nur sehr schwer lassen sich anwendungsübergreifende Best Practices oder Standards für IoT etablieren (siehe Beispiel „Vernetzung im IoT-Umfeld“).

IoT Security im Einklang mit Geschäftsmodellen

Einer der aufsteigenden Trends im Kontext von IoT ist IT-Sicherheit – gerne betitelt als IoT Security. Bei kaum einem anderen Innovationstrend ist das Thema Sicherheit und Datenschutz so umstritten, wie bei IoT. Hierfür gibt es zwei Begründungen, welche eng zusammenspielen:

(A1) Die Wechselwirkungen von IoT, IT-Sicherheit und dem Geschäft

(A2) Das kritische Risikoprofil von IoT

Um die Problematik der beiden Aussagen besser zu verstehen und das Optimierungsproblem zu schildern, werden zunächst die Ziele von IT-Sicherheit und IoT sowie das Risikoprofil beschrieben.

Das Ziel von IoT kann abstrakt als Optimierung von Geschäftsprozessen und -abläufen beschrieben werden. Konkret bedeutet das entweder die umfangreiche Generierung von Daten zu Analysezwecken oder die standortunabhängige Steuerung von Objekten. Hierfür bilden eine vielseitige Sensorik, unterschiedliche Technologien, eine großflächige Vernetzung, eine hohe Abtastfrequenz (Echtzeit-Fähigkeit) sowie eine dynamische Umwelt sogenannte (IoT-) Multiplikatoren (siehe Abbildung 1). Multiplikatoren werden in diesem Zusammenhang als Elemente, Konfigurationen und Eigenschaften einer Geschäfts- oder IT-Landschaft verstanden, welche den Nutzen dieser verstärken. Eine Übersicht über unterschiedliche Sensoren bietet [9], verschiedene Technologien zur Datenübertragung listet [10].

Das Ziel von IT-Sicherheit kann als Verminderung von Schaden, gemessen in Schadenersatz, Reputation oder Kundennutzen beschrieben werden. Konkret bedeutet das, dass Bedrohungen abgeschwächt oder Schwachstellen eines Systems geschlossen werden, sodass diese Schwachstellen von potentiellen Bedrohungen nicht mehr ausgenutzt werden können. Mögliche (IT-Sicherheits-) Multiplikatoren zur Erreichung dieses Ziels bilden jegliche Maßnahmen, welche zur Gewährleistung der Schutzziele beitragen. Die drei verbreitetsten Schutzziele sind Vertraulichkeit, Integrität und Verfügbarkeit (siehe hierzu [11]).

Das Ziel des Geschäfts kann abstrakt als größtmöglicher Nutzen bei geringer Time-to-Market und niedrigen Aufwänden definiert werden (siehe beispielsweise „Magisches Dreieck“ [12]).

Wie bereits mit Aussage A1 beschrieben, verbirgt sich eine grundlegende Problematik hinter den Wechselwirkungen von IoT, IT-Sicherheit und dem Geschäft, welche Abbildung 1 visualisiert. Diese wird nachfolgend näher erläutert.

Abbildung 1 - IoT Security Auswirkungen Big Picture

Die IoT-Multiplikatoren sind das Fundament des Geschäftsnutzens, stellen jedoch auch Komponenten des Angriffsvektors dar. Ein Angriffsvektor beschreibt das Vorgehen eines Angreifers, mit dem er ein oder mehrere Schutzziele verletzt, um eine bösartige Handlung durchzuführen. Eine Komponente eines Angriffsvektors kann dabei die Ausführungen der Möglichkeiten erleichtern oder vervielfachen. Das bedeutet: Je stärker ein IoT-Multiplikator ausfällt, desto leichter ist es, damit das System anzugreifen. Mit jedem weiteren Sensortyp oder Technologie (Angriffsoberfläche) besitzt der Angreifer zusätzliche Einstiegsmöglichkeiten (Angriffsvektor) in das System. Die schwächste Komponente bildet den Bottleneck des Angriffsvektors. 

Andersherum vermindern IT-Sicherheitsmaßnahmen die Effektivität von IoT:

1. Der Einsatz von Standards und Sicherheitsroutinen schränkt die Umsetzung von anwendungsspezifischen Anforderungen ein. Das hat Auswirkungen auf Eigenschaften wie Anwendungsperformanz oder Funktionalität einer Lösung und kann damit zum Beispiel das Kaufverhalten der Abnehmer negativ beeinflussen.
2. Die Verwendung von Verschlüsselungsalgorithmen, Hashwerten und weiteren Funktionen vermindern die Performanz und verletzen somit die Echtzeitfähigkeit des Systems.
3. Zusätzliche Sicherheitskomponenten erhöhen die Komplexität des Systems, was Betriebs- und Änderungsprozesse umfangreicher und dadurch aufwändiger gestalten kann.

Aus wettbewerbsstrategischer Sicht ist das Ziel einer IoT-Dienstleistung oder eines IoT-Produkts, den höchsten Nutzen (z.B. umfangreiche Funktionalität) zu einem geringen Preis anbieten zu können. Oftmals und irrationaler Weise wird aus Sicht des Geschäfts die IT-Sicherheit als zweitrangig eingestuft. IT-Sicherheit benötigt Zeit, Kapital und Wissen, jedoch bringt die Risikoabschwächung keinen unmittelbar sichtbaren Nutzen (Stichwort: Return of Investment). So ist in vielen Geschäftsbereichen der Verzicht auf IT-Sicherheit die Reaktion auf die Unmittelbarkeit von Risikoprävention und kurzfristiger Return of Investment. Dieses Entscheidungsmuster führt zu der zweiten Seite des Problems: Dem kritischen Risikoprofil von IoT (Aussage A2).

Mit IoT steigt die Fähigkeit persönliche Informationen, wie Name, Alter, Anschrift, Nationalität, Mailadresse, IP-Adresse, Identität bis hin zu den Einkaufsgewohnheiten zu sammeln und Zugriff auf Elemente der unmittelbaren, physischen und virtuellen Welt des Nutzers zu erhalten. Während demnach bei Angriffen auf klassische Systeme die physische Umgebung unberührt bleibt, erhält ein Angreifer von IoT die Möglichkeit, der physischen Umgebung und der Gesundheit des Menschen in direkter Weise zu schaden. Die Kritikalität des Risikoprofils steigt somit immens.

Durch die eben beschriebenen Wechselwirkungen der verschiedenen Ziele, wird die Entwicklung von neuen IoT-Systemen zunehmend zum Balanceakt zwischen sicherer Systemgestaltung, Wirtschaftlichkeit und Anwendungsperformance (siehe Abbildung 2). Dieser Balanceakt kann als Optimierungsproblem betrachtet werden.

Abbildung 2 - Visualisierung der Wechselwirkung

Da die IT-Sicherheit einen großen Kostenfaktor darstellt, der zudem einen negativen Einfluss auf den Nutzen von IoT haben kann, sieht die Geschäftsseite selten einen direkten Nutzen bei der Investition in IT-Sicherheit. Lediglich das kritische Risikoprofil erzwingt die Wahrnehmung und Investition. Ohne IT-Sicherheit können die Konsequenzen von Angriffen verheerend sein, was sich letztlich auf das Image des Produkts und des Unternehmens auswirkt. Genauso wenig darf der Versuch unternommen werden, eine absolute Sicherheit zu erreichen, da diese zum einen nicht wirtschaftlich ist und zum anderen der Effektivität des IoT-Systems schadet (zudem auch praktisch unmöglich). Eine ausgewogene Planung und Realisierung von IoT und IT-Sicherheit ist hierbei der Schlüssel zum Erfolg. Im Vorhinein muss der Schutzbedarf und der gewünschte Nutzen definiert werden. Nur wenn beides erreicht wird, sollte die IoT-Lösung eingesetzt werden.

IoT-Projekte in der Realität

In der Wirtschaft sieht die Situation jedoch oft anders aus: Bei vielen Initiativen ist unklar, wie das Ergebnis aussehen soll und Rahmenbedingungen werden anfangs nicht ausreichend analysiert. Zu Beginn der jeweiligen Initiative wird diese unzureichende Vorbereitung dann durch Einsatz agiler Methoden gerechtfertigt, das Vorhaben abgenickt und mit der Realisierung begonnen – selbstverständlich hat dies nichts mit der eigentlichen Doktrin hinter agiler Entwicklung zu tun.

Stattdessen sollte initial die aktuelle Situation analysiert werden. Allen Beteiligten muss der Ist-Zustand (A) klar sein. Anschließend soll sich über den Ziel-Zustand (B) Gedanken gemacht werden. Im dritten Schritt ist die Planung an der Reihe, in welcher grob definiert wird, wie man von A nach B kommt. Die starke Konzentration auf Kostensenkung und eine möglichst geringe Time-to-Market führt zur Vernachlässigung zentraler Fragestellungen. Dadurch fällt in der Realität der oben beschriebene Balanceakt meist zulasten der IT-Sicherheit, des Schutzes der Privatsphäre und zulasten einer stabilen IT-Architekturentwicklung aus. Das mangelnde Bewusstsein für IT-Sicherheit verschlimmert die Situation. Das Ergebnis sind unausgereifte IoT-Systeme, IoT-Produkte und IoT-Services, bei denen erst nach der Markteinführung das Ausmaß der Sicherheitslücken deutlich wird. Mit unzureichenden Update- und Patch-Prozesse schließt sich der Teufelskreis, denn die Lücken können im Nachhinein nur mit hohen finanziellen und zeitlichen Aufwänden geschlossen werden. Diese Herausforderung war ebenfalls Thema bei der Veranstaltung IoTcamp der Cassini Consulting GmbH im Jahr 2016 [13], auf der die Auswirkungen von IoT auf die Prozesslandschaft diskutiert wurden.

Kritische Reflexion

Die Architekturen und Prozesse derzeitiger IoT-Lösungen sind nicht zu Ende gedacht. Ein kritischer Bereich sind beispielsweise die eben genannten Release-, Update- und Patch-Prozesse. Diese sind für vielen IoT-Produkte nicht vorhanden oder schlecht realisiert. Das führt dazu, dass entsprechende Produkte bei der Feststellung von Mängeln oder bei der Markteinführung von Nachfolgeprodukten quasi entsorgt werden können oder ungeschützt weiter betrieben werden, da das Risiko eines Angriffes unterschätzt wird (fehlendes Bewusstsein). Hier sollte über ein ganz neues Konzept nachgedacht werden. Einige IoT-Experten argumentieren mit „ausgeklügeltem Geschäftsmodell“, aber auch davon sind wir meiner Meinung nach weit entfernt. Vor der Arbeit mit neuartigen Technologien oder Konzepten sollte eine Vorstudie, gefolgt von einer umfangreichen Anforderungsanalyse durchgeführt werden. Der Druck auf eine möglichst geringe Time-to-Market sowie das zusätzlich benötigte Kapital und Know-how verhindern dies in vielen Fällen. In den Initiativen, in denen die notwendige Zeit, Kapital und Know-how zur Verfügung gestellt werden, haben eine wesentlich höhere und nachhaltige Erfolgschance.

Quellen

[1] https://www.heise.de/thema/Sony_Pictures_Hack

[2] http://www.car-it.com/gefaehrliche-schwachstellen/id-0048095

[3] http://e-health-com.de/newsletter-2016-2/it-sicherheit-in-krankenhaeusern/

[4] http://www.digitalwiki.de/internet-of-things/

[5] http://www.gartner.com/smarterwithgartner/7-technologies-underpin-the-hype-cycle-for-the-internet-of-things-2016/

[6] https://www.mittelstandswiki.de/wissen/Gastbeitrag:IoT-L%C3%B6sungen_f%C3%BCr_die_Logistik

[7] http://www.gemalto.com/deutschland/iot/inspiration/wie-hilft-das-iot-der-umwelt

[8] http://www.businessinsider.de/internet-of-things-infrastructure-architecture-management-2016-10?r=US&IR=T

[9]http://www.postscapes.com/trackers/video/the-internet-of-things-and-sensors-and-actuators/

[10] https://www.efxkits.us/different-types-of-wireless-communication-technologies/

[11] http://www.kryptowissen.de/schutzziele.php

[12] https://www.gbcc.eu/3709/magisches-dreieck-kosten-zeit-qualitaet/

[13] http://www.iotbarcamp.de/