Ob Produktion, Gesundheitswesen, Energie oder Transport – das IoT hält derzeit in zahlreichen Branchen Einzug, die zusammen fast zwei Drittel des globalen Bruttoinlandsprodukts erwirtschaften. Unter dem Schlagwort Industrie 4.0 machen sich hierzulande vor allem Unternehmen der Fertigungsindustrie die zunehmende Reife der IoT-Technologien zunutze. Politisch steht die Förderung der Digitalisierung ganz oben auf der Agenda. Im vergangenen Jahr hat das Bundesministerium für Wirtschaft und Energie im Rahmen der „Digitalen Strategie 2025“ mehrere sogenannte Mittelstand 4.0-Kompetenzzentren benannt, die vor allem kleinere und mittlere Unternehmen bei der Digitalisierung ihrer Produktionsprozesse unterstützen.

Hauptknackpunkt: Sicherheit des IoT

Während diese Entwicklung völlig neue Möglichkeiten für Unternehmen und Gesellschaft verspricht, werden jedoch auch zahlreiche Schwachstellen und Sicherheitsrisiken deutlich. Das IoT abzusichern, stellt Unternehmen vor große Herausforderungen. Denn allzu oft wird das Thema Sicherheit erst nachgelagert, als Technologiefolge fokussiert: Zuerst werden die neuen Technologien implementiert und erst im Nachhinein werden die erforderlichen Maßnahmen ergriffen, um sie vor cyberkriminellen Angriffen zu schützen. Hintergrund ist das hohe Innovationstempo und der steigende Wettbewerbsdruck, unter dem die meisten Unternehmen stehen. Die Folge sind Sicherheitslücken und Schwachstellen, die zunehmend professionell organisierte und kommerziell ausgerichtete Cyberkriminelle ausnutzen, um großen wirtschaftlichen Schaden anzurichten.

Bild: HCL Technologies

IoT vergrößert Angriffsfläche um ein Vielfaches

Mit der stark zunehmenden Vernetzung im IoT entstehen für Unternehmen nicht nur neue Chancen, ihre Wettbewerbsfähigkeit zu steigern – sie machen sich dadurch auch angreifbar. Kernziel der Industrie 4.0 ist es, in der Produktion alle Anlagen, Maschinen, Werkstücke, Werkzeuge und Materialien mit Sensoren und eigenen Identitäten auszustatten und diese zu vernetzen, damit sie miteinander kommunizieren und die Produktion auf diese Weise automatisch steuern können. Dadurch entstehen unvorstellbar große Datenströme – die von Cyberkriminellen über die Vielzahl neu vernetzter Endgeräte angezapft werden können. Laut Gartner waren im vergangenen Jahr 4,9 Milliarden Geräte vernetzt. Bis 2020 sind es schätzungsweise 26 Milliarden – 26 Milliarden potenzielle Angriffsziele, über die Hacker Unternehmensnetze infiltrieren können.

Vor internen und externen Gefahren schützen

Daher müssen die ersten Maßnahmen dahin zielen, potenzielle Schwachstellen und Angreifer zu ermitteln. Dabei gibt es grundsätzlich zwei Kategorien:

1. passive Angreifer, die Sicherheitslücken in IoT-Geräten und Netzwerken ausnutzen, um vertrauliche Daten – etwa Geschäftszahlen, Produktentwicklungen oder Ähnliches – zu stehlen. Diese Angriffe sind meist schwer zu erkennen, da sie häufig von internen Quellen ausgehen. Daher sollten Unternehmen ihre Mitarbeiter sensibilisieren und informieren, wie sie zur Sicherheit des gesamten Unternehmens beitragen können.
2. aktive Angreifer, die IoT-Geräte und Netzwerke per Sybil- oder Distributed Denial of Service (DDoS)-Attacken angreifen. Ihr Ziel ist es, den Geschäftsbetrieb zu stören und bestimmte Anlagen oder Maschinen lahm zu legen. Diese Angriffe können schwerwiegende, teilweise sogar lebensgefährliche Folgen haben, wenn es sich beispielsweise um medizinische Geräte im Krankenhaus handelt. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hatte von einem solchen Angriff mit fatalen Folgen berichtet: Hacker verschafften sich mittels ausgefeilter Phishing-Taktiken Zugriff zum Netzwerk eines Stahlwerks. Dadurch konnten sie die Steuerung eines Hochofens manipulieren, sodass sich dieser nicht mehr herunterfahren ließ. Dies führte zu massiven Schäden in der Gießerei.

Sicherheit geht vor

Daher ist es für IoT-Projekte zwingend notwendig, sie von Anfang an auf Basis einer sicheren Infrastruktur aufzubauen. Dazu zählen neben der Einhaltung von Branchenrichtlinien, wie sie beispielsweise auch vom BSI empfohlen werden, auch regelmäßige Penetrationstests, die Unternehmen frühzeitig auf potenzielle Schwachstellen aufmerksam machen. Entscheidend ist dabei, dass die neuen Sicherheitsstrukturen sämtliche virtuellen und physischen Elemente abdecken, von der Authentifizierung auf Geräteebene bis hin zu Anwendungssicherheit und Datenschutz. Die Herausforderung, die jedes Unternehmen für sich lösen muss, ist es, ein individuelles, umfassendes Sicherheitskonzept zu entwickeln. Denn universelle Pauschallösungen für IoT-Sicherheit gibt es nicht.