- Anzeigen -


Sie sind hier: Home » Fachbeiträge » Grundlagen

Eine sichere Zukunft für das Internet der Dinge


IoT-Sicherheit: Die enorme Anzahl vernetzter Dinge und damit verbundener Prozesse bringt naturgemäß mehr Schwachstellen mit sich
Erfolgreiche IoT-Anwendungen beschränken sich längst nicht auf Geräte für Endverbraucher - Mit der starken Automatisierung in der produzierenden Industrie und im Maschinenbau hat das Industrielle Internet der Dinge (Industrial Internet of Things - IIoT) Einzug gehalten.

- Anzeigen -





John Grimm, Senior Director of IoT Security Strategy bei Thales eSecurity

Mittlerweile kontrollieren wir die Steuerung von Licht und Heizung über Amazon Echo, lassen die Leistung des PKW remote analysieren und potenzielle Fehler diagnostizieren, und wir verlassen uns auf die automatisierte Verwaltung von Systemen in betrieblichen Umgebungen. Das Internet der Dinge (Internet of Things - IoT) bestimmt bereits viele Aspekte dessen wie wir arbeiten und leben. Ein Ende des Booms ist nicht abzusehen. In immer neuen Studien gehen die prognostizierten Zahlen weiter nach oben. Inzwischen gehen Schätzungen davon aus, dass die Zahl der vernetzten Geräte innerhalb der nächsten drei Jahre auf 30 Milliarden anwachsen wird, bereits im Jahr 2025 soll sie sogar bei 80 Milliarden Dingen liegen.

Diese enorme Anzahl vernetzter Dinge und damit verbundener Prozesse bringt naturgemäß mehr Schwachstellen mit sich. Schon jetzt zeichnet sich ab, dass wir in Zukunft nicht nur mehr Angriffe zu erwarten haben, sondern auch eine größere Bandbreite an Attacken. Bei einer derart riesigen Angriffsfläche sind die potenziellen Schäden kaum absehbar.

Dass die Gefahr inzwischen real ist, haben wir in der jüngeren Vergangenheit schon mehrfach beobachten dürfen. So konnte etwa eine Schwachstelle in dem Netzwerk-Controller identifiziert werden, den die meisten aktuellen Fahrzeugtypen verwenden. Über diese Schwachstelle haben Angreifer beispielsweise die Möglichkeit, die Sicherheitsfunktionen des betreffenden PKW auszuhebeln wie etwa das ABS-Bremssystem, die Servolenkung oder die Air Bags. Bekannt auch der in den USA aufgetretene Fall, als die "Food and Drug Administration" 465.000 Patienten, Träger eines bestimmten Typs vernetzter Herzschrittmacher, aufforderte, ihren Arzt aufzusuchen um ein Update der Firmware einzuspielen. Der Grund für die Aufsehen erregende Aktion waren Schwachstellen, über die ein Hacker die Geräte übernehmen und die Patienten einem gesundheitlichen Risiko aussetzen könnte.

Das ist nur die Spitze des Eisbergs. Etliche solcher Schwachstellen existieren vermutlich seit Jahren im Verborgenen. Bisher hat sie nur noch niemand gefunden. Mit der Zahl der für unterschiedliche Bereiche eingesetzten Geräte, werden die Ziele für Hacker zunehmend interessanter. Ein Trend, der uns sicherlich noch eine Weile begleiten wird.

Betriebssicherheit und IT-Sicherheit zusammen denken
Erfolgreiche IoT-Anwendungen beschränken sich längst nicht auf Geräte für Endverbraucher. Mit der starken Automatisierung in der produzierenden Industrie und im Maschinenbau hat das Industrielle Internet der Dinge (Industrial Internet of Things - IIoT) Einzug gehalten. Ein Paradigmenwechsel. Denn hier bringt die Technologie zwei bisher mehr oder weniger getrennt voneinander existierende Ebenen näher zusammen: die der betrieblichen Prozesse, die Operational Technology (OT), und die IT. Sicherheitsüberlegungen in der produzierenden Industrie beschränkten sich traditionell auf die physische Sicherheit und die Sicherheit der Mitarbeitenden.

Allerdings sind Fabrikhallen heute zunehmend vernetzt. Ganze Produktionsanlagen und Fertigungsstraßen können aus vernetzten Geräten bestehen. Das bringt traditionelle Sicherheitskonzepte mit solchen für die IT-Sicherheit näher zusammen, stellt aber auch hohe Anforderungen an die Cybersicherheit. Denn es gilt sowohl Fabrikationsgebäude als auch Produktionsanlagen vor Bedrohungen von Außen zu schützen. Ebenso wie die Mitarbeitenden.

Sicherheit von Anfang an
Mit der steigenden Zahl von Angriffen und Datenschutzverletzungen, die es mittlerweile routinemäßig in die Nachrichtensendungen und Schlagzeilen schaffen, sind die Konsumenten in Sachen Sicherheit deutlich aufmerksamer geworden (um nicht zu sagen misstrauischer). Wir sind derzeit noch nicht an einem Punkt an dem Datenschutzverletzungen und potenziell auszunutzende Schwachstellen die Kaufentscheidungen der Verbraucher signifikant beeinflussen.

Aber das Blatt beginnt sich zu wenden. Um sich das Vertrauen der zunehmend sicherheitsaffineren Konsumenten zu erhalten, müssen die Hersteller selbst die Initiative ergreifen. Es gilt existierende Schwachstellen aufzudecken und zu adressieren. Wenn Anbieter es nicht schaffen potenzielle Datenlecks effizient und sicher zu beseitigen, wird das dem Absatz der Produkte definitiv schaden. Die Folgen eines Vertrauensverlustes sind noch weitreichender. Sie betreffen nicht nur die Zahl der verkauften Produkte, meistens nimmt die gesamte Marke Schaden. Und dieser Vertrauensverlust betrifft mittelbar sämtliche IoT-Anwendungen.

Die Hersteller sind gefragt, auch im eigenen Interesse. Anbieter und Hersteller vernetzungsfähiger Geräte müssen stärker als bisher bewährten Empfehlungen folgen und das Sicherheitsdesign ihrer Produkte von Anfang an strenger beachten. Geräte für Endverbraucher zeichnen sich leider nach wie vor eher durch angesagte Features und einen erschwinglichen Preis aus. Bei diesen Geräten sind die Standardsicherheitsmaßnahmen keinesfalls ausreichend. Ein Beispiel dafür sind fest programmierte Passwörter, die der Benutzer nicht selbst verändern kann. Das öffnet einem unerwünschten administrativen Login eines remote agierenden Hackers Tür und Tor.

Um das zu verhindern, werden Hersteller nicht umhin kommen, der Softwaresicherheit mehr Aufmerksamkeit zu widmen. Das fängt schon bei der Entwicklung an. Sie folgt bisher nur selten den Best Practices der IT-Sicherheit. Die Software sollte, wie sonst auch, Schwachstellentests unterzogen werden, und vor allem sollte es Mechanismen geben, die über den gesamten Lebenszyklus hinweg Authentizität und Integrität absichern. Nur dann ist gewährleistet, dass sich Patches und Updates zukünftig einspielen lassen.

IoT-Sicherheit ist für existierende und zukünftige Anwendungen unumgänglich. Die Anbieter haben es in der Hand die Voraussetzungen dafür zu schaffen. An dieser Stelle sollten sich alle Beteiligten endlich davon verabschieden Sicherheit als Hürde zu betrachten statt als Eckpfeiler für geschäftsunterstützende Prozesse. Die Unternehmen, die Sicherheit richtig verstehen verfügen über einen immensen Wettbewerbsvorteil gegenüber denen, die sich an dieser Stelle schwer tun. Und das nicht zuletzt aus kommerziellen Überlegungen heraus. Verbraucher werden sich bei ihren Kaufentscheidungen zunehmend von Aspekten wie Betriebs- und IT-Sicherheit bei vernetzten Geräten leiten lassen. Das wird langfristig allen Anwendungen und Nutzern im IoT gut tun und die Entwicklung befördern.
(Thales eSecurity: ra)

eingetragen: 19.07.18
Newsletterlauf: 24.07.18

Thales: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Grundlagen

  • IoT-Geräte kompromittieren

    Sei es der Kühlschrank, der meldet, wenn die Milch alle ist, oder der Thermostat, der Nutzungsstatistiken aufs Smartphone sendet - verschiedenste Produkte, die traditionell nicht über eine Netzwerkverbindung verfügten, werden mittlerweile damit ausgestattet. Abgesehen von Computer, Telefon, Tablet oder Router gilt grundsätzlich jedes Endanwender-Gerät, das sich mit einem Netzwerk verbinden kann, als IoT-Device. Zu den größten Problemen dieser Entwicklung zählen jedoch immer noch die vielen Sicherheitslücken der Geräte. Zwar bemühen sich Hersteller mittlerweile um Verbesserungen, zugleich zeigen sich neue Bedrohungen wie die Kompromittierung von Anmeldeinformationen durch Schwachstellen in Web- und Mobil-Applikationen bestimmter IoT-Devices.

  • Maschinelles Lernen in der IT-Security

    Artificial Intelligence, zu Deutsch Künstliche Intelligenz (KI), hat sich zum Hypebegriff entwickelt und es scheint fast so, als wären alle IT-Lösungen über Nacht intelligent geworden. KI wird als Antriebsfeder der digitalen Transformation betrachtet, doch steckt sie in ihren Anwendungsbereichen noch in den Kinderschuhen. Im Prinzip geht es darum, menschliche Entscheidungsstrukturen mit Hilfe eines Computers nachzubauen, ihn sozusagen "intelligent" werden zu lassen. Häufig wird die Begrifflichkeit verwendet und dabei absichtlich mit dem Maschinellen Lernen synonym verwendet. Doch Maschinelles Lernen ist eher ein Teilgebiet der KI. Maschinelles Lernen ist im Prinzip auf Algorithmen basierende Software, die darauf spezialisiert ist, sehr große Datenmengen anhand vordefinierter Parameter zu bearbeiten.

  • Geschichte und Zukunft der Ransomware

    Aktuelle Ransomware-Angriffe wie das erneute Aufflammen der GandCrab-Welle oder die Attacke auf den deutschen Maschinenbauer Krauss Maffei, durch den zahlreiche Rechner lahmgelegt und die Produktion wochenlang gedrosselt wurde, zeigen, dass das Geschäftsmodell der Datengeiselnahme für Cyberkriminelle leider nichts an Attraktivität eingebüßt hat. Lösegelderpressung durch Ransomware hat von ihren frühesten Anfängen vor 30 Jahren bis heute eine berüchtigte Karriere hingelegt. Durch die enorme Professionalisierung der Vertriebswege, beispielsweise durch Ransomware-as-a-Service (RaaS), wurden Krypto-Trojaner-Attacken auch für technisch wenig versierte Kriminelle zu einer der lohnenswertesten und erfolgreichsten Angriffsarten.

  • Unterschätzte Bedrohung "Datendiebstahl"

    Datendiebstahl zählt zu den größten Bedrohungen in der Cyberwelt. So wurden im Jahr 2017 rund 2,6 Milliarden Daten gestohlen. Das entspricht einer Zunahme von 88 Prozent im Vergleich zum Vorjahr (1). Trotzdem wird diese Gefahr häufig noch immer unterschätzt. Denn gerade durch das Aufkommen des Internet of Things (IoT) sowie des Industrial Internet of Things (IIoT) können die Folgen solcher ungewollten Datenabflüsse weitaus größere Ausmaße haben als "nur" den reinen Verlust von wichtigen Daten. Dabei haben es die Hacker auf den ersten Blick auf vermeintlich uninteressante Unternehmens- und Mitarbeiterdaten abgesehen.

  • Wer muss die Sicherheitsstrategie mittragen?

    Wir schreiben das Jahr 2019. Daten sind omnipräsent und allein mit unseren Fingerspitzen agieren wir hochgradig transformativ. Das ändert, wie wir unsere Geschäftstätigkeit betrachten, macht uns produktiver und vereinfacht an vielen Stellen unser Leben. Sei es, dass wir sicher nach Hause finden, Lebensmittel online bestellen können oder entscheiden, was wir wann auf welchem Gerät ansehen. Die Möglichkeiten sind schier unendlich sowohl für den privaten als auch für den geschäftlichen Bereich. Und jede Minute kommen neue Optionen dazu. Unglücklicherweise hat jede neue Möglichkeit auch neue Sicherheitsrisiken im Gepäck. Risiken, denen sich Sicherheitsverantwortliche wie CISOs nur allzu bewusst sind. Welche Verhaltensweisen, Methoden und Haltungen sind also besser als andere geeignet das bestmögliche aus unseren Daten herauszuholen und gleichzeitig deren Sicherheit zu gewährleisten?