- Anzeigen -


Sie sind hier: Home » Fachbeiträge » Grundlagen

Eine sichere Zukunft für das Internet der Dinge


IoT-Sicherheit: Die enorme Anzahl vernetzter Dinge und damit verbundener Prozesse bringt naturgemäß mehr Schwachstellen mit sich
Erfolgreiche IoT-Anwendungen beschränken sich längst nicht auf Geräte für Endverbraucher - Mit der starken Automatisierung in der produzierenden Industrie und im Maschinenbau hat das Industrielle Internet der Dinge (Industrial Internet of Things - IIoT) Einzug gehalten.

- Anzeigen -





John Grimm, Senior Director of IoT Security Strategy bei Thales eSecurity

Mittlerweile kontrollieren wir die Steuerung von Licht und Heizung über Amazon Echo, lassen die Leistung des PKW remote analysieren und potenzielle Fehler diagnostizieren, und wir verlassen uns auf die automatisierte Verwaltung von Systemen in betrieblichen Umgebungen. Das Internet der Dinge (Internet of Things - IoT) bestimmt bereits viele Aspekte dessen wie wir arbeiten und leben. Ein Ende des Booms ist nicht abzusehen. In immer neuen Studien gehen die prognostizierten Zahlen weiter nach oben. Inzwischen gehen Schätzungen davon aus, dass die Zahl der vernetzten Geräte innerhalb der nächsten drei Jahre auf 30 Milliarden anwachsen wird, bereits im Jahr 2025 soll sie sogar bei 80 Milliarden Dingen liegen.

Diese enorme Anzahl vernetzter Dinge und damit verbundener Prozesse bringt naturgemäß mehr Schwachstellen mit sich. Schon jetzt zeichnet sich ab, dass wir in Zukunft nicht nur mehr Angriffe zu erwarten haben, sondern auch eine größere Bandbreite an Attacken. Bei einer derart riesigen Angriffsfläche sind die potenziellen Schäden kaum absehbar.

Dass die Gefahr inzwischen real ist, haben wir in der jüngeren Vergangenheit schon mehrfach beobachten dürfen. So konnte etwa eine Schwachstelle in dem Netzwerk-Controller identifiziert werden, den die meisten aktuellen Fahrzeugtypen verwenden. Über diese Schwachstelle haben Angreifer beispielsweise die Möglichkeit, die Sicherheitsfunktionen des betreffenden PKW auszuhebeln wie etwa das ABS-Bremssystem, die Servolenkung oder die Air Bags. Bekannt auch der in den USA aufgetretene Fall, als die "Food and Drug Administration" 465.000 Patienten, Träger eines bestimmten Typs vernetzter Herzschrittmacher, aufforderte, ihren Arzt aufzusuchen um ein Update der Firmware einzuspielen. Der Grund für die Aufsehen erregende Aktion waren Schwachstellen, über die ein Hacker die Geräte übernehmen und die Patienten einem gesundheitlichen Risiko aussetzen könnte.

Das ist nur die Spitze des Eisbergs. Etliche solcher Schwachstellen existieren vermutlich seit Jahren im Verborgenen. Bisher hat sie nur noch niemand gefunden. Mit der Zahl der für unterschiedliche Bereiche eingesetzten Geräte, werden die Ziele für Hacker zunehmend interessanter. Ein Trend, der uns sicherlich noch eine Weile begleiten wird.

Betriebssicherheit und IT-Sicherheit zusammen denken
Erfolgreiche IoT-Anwendungen beschränken sich längst nicht auf Geräte für Endverbraucher. Mit der starken Automatisierung in der produzierenden Industrie und im Maschinenbau hat das Industrielle Internet der Dinge (Industrial Internet of Things - IIoT) Einzug gehalten. Ein Paradigmenwechsel. Denn hier bringt die Technologie zwei bisher mehr oder weniger getrennt voneinander existierende Ebenen näher zusammen: die der betrieblichen Prozesse, die Operational Technology (OT), und die IT. Sicherheitsüberlegungen in der produzierenden Industrie beschränkten sich traditionell auf die physische Sicherheit und die Sicherheit der Mitarbeitenden.

Allerdings sind Fabrikhallen heute zunehmend vernetzt. Ganze Produktionsanlagen und Fertigungsstraßen können aus vernetzten Geräten bestehen. Das bringt traditionelle Sicherheitskonzepte mit solchen für die IT-Sicherheit näher zusammen, stellt aber auch hohe Anforderungen an die Cybersicherheit. Denn es gilt sowohl Fabrikationsgebäude als auch Produktionsanlagen vor Bedrohungen von Außen zu schützen. Ebenso wie die Mitarbeitenden.

Sicherheit von Anfang an
Mit der steigenden Zahl von Angriffen und Datenschutzverletzungen, die es mittlerweile routinemäßig in die Nachrichtensendungen und Schlagzeilen schaffen, sind die Konsumenten in Sachen Sicherheit deutlich aufmerksamer geworden (um nicht zu sagen misstrauischer). Wir sind derzeit noch nicht an einem Punkt an dem Datenschutzverletzungen und potenziell auszunutzende Schwachstellen die Kaufentscheidungen der Verbraucher signifikant beeinflussen.

Aber das Blatt beginnt sich zu wenden. Um sich das Vertrauen der zunehmend sicherheitsaffineren Konsumenten zu erhalten, müssen die Hersteller selbst die Initiative ergreifen. Es gilt existierende Schwachstellen aufzudecken und zu adressieren. Wenn Anbieter es nicht schaffen potenzielle Datenlecks effizient und sicher zu beseitigen, wird das dem Absatz der Produkte definitiv schaden. Die Folgen eines Vertrauensverlustes sind noch weitreichender. Sie betreffen nicht nur die Zahl der verkauften Produkte, meistens nimmt die gesamte Marke Schaden. Und dieser Vertrauensverlust betrifft mittelbar sämtliche IoT-Anwendungen.

Die Hersteller sind gefragt, auch im eigenen Interesse. Anbieter und Hersteller vernetzungsfähiger Geräte müssen stärker als bisher bewährten Empfehlungen folgen und das Sicherheitsdesign ihrer Produkte von Anfang an strenger beachten. Geräte für Endverbraucher zeichnen sich leider nach wie vor eher durch angesagte Features und einen erschwinglichen Preis aus. Bei diesen Geräten sind die Standardsicherheitsmaßnahmen keinesfalls ausreichend. Ein Beispiel dafür sind fest programmierte Passwörter, die der Benutzer nicht selbst verändern kann. Das öffnet einem unerwünschten administrativen Login eines remote agierenden Hackers Tür und Tor.

Um das zu verhindern, werden Hersteller nicht umhin kommen, der Softwaresicherheit mehr Aufmerksamkeit zu widmen. Das fängt schon bei der Entwicklung an. Sie folgt bisher nur selten den Best Practices der IT-Sicherheit. Die Software sollte, wie sonst auch, Schwachstellentests unterzogen werden, und vor allem sollte es Mechanismen geben, die über den gesamten Lebenszyklus hinweg Authentizität und Integrität absichern. Nur dann ist gewährleistet, dass sich Patches und Updates zukünftig einspielen lassen.

IoT-Sicherheit ist für existierende und zukünftige Anwendungen unumgänglich. Die Anbieter haben es in der Hand die Voraussetzungen dafür zu schaffen. An dieser Stelle sollten sich alle Beteiligten endlich davon verabschieden Sicherheit als Hürde zu betrachten statt als Eckpfeiler für geschäftsunterstützende Prozesse. Die Unternehmen, die Sicherheit richtig verstehen verfügen über einen immensen Wettbewerbsvorteil gegenüber denen, die sich an dieser Stelle schwer tun. Und das nicht zuletzt aus kommerziellen Überlegungen heraus. Verbraucher werden sich bei ihren Kaufentscheidungen zunehmend von Aspekten wie Betriebs- und IT-Sicherheit bei vernetzten Geräten leiten lassen. Das wird langfristig allen Anwendungen und Nutzern im IoT gut tun und die Entwicklung befördern.
(Thales eSecurity: ra)

eingetragen: 19.07.18
Newsletterlauf: 24.07.18

Thales: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Grundlagen

  • Fachkräfte im Bereich Cybersicherheit

    Laut einer im Herbst letzten Jahres von der (ISC)² veröffentlichten Studie beläuft sich der Mangel an Fachkräften im Bereich Cybersicherheit derzeit auf nahezu 3 Millionen weltweit. Der Befund an sich ist nicht überraschend, allerdings klafft die Schere immer weiter auseinander. Unterbesetzte IT- und IT-Sicherheitsabteilungen auf der einen Seite, und eine sich in Art und Umfang rasant weiter entwickelnde Bedrohungslandschaft auf der anderen. Gut ausgebildete IT-Sicherheitsfach- und Führungskräfte sind Mangelware und selten lange auf Jobsuche. Die Lücke zwischen Angebot und Nachfrage ist beträchtlich. Die Folgen bekommen Unternehmen täglich zu spüren.

  • Security-GAU: Advanced Persistent Threats

    Moderne Hackerangriffe werden immer komplexer und überfordern damit herkömmliche Lösungen für Endpoint- und Netzwerksicherheit. Zwar ist Ransomware die Wahl für Cyberkriminelle die schnellen Bitcoins hinterherjagen, Sicherheitsverantwortliche fürchten heute jedoch viel mehr Advanced Persistent Threats (APTs). Denn diese bleiben im schlimmsten Fall jahrelang unentdeckt und ermöglichen Cyberkriminellen über lange Zeit hinweg umfangreiche Datenmengen zu stehlen und geben ihnen dauerhaft Zugriff auf sensible Dateien wie Produktionspläne, Entwicklungsberichte, Kommunikationsdaten oder Sitzungsprotokolle. Eine ständige Analyse des Datenverkehrs im Netzwerk kann jedoch auch solche Angriffe aufdecken.

  • Mit UEBA die Sicherheit der IT erhöhen

    Das Verhältnis von erfolgreichen und nicht erfolgreichen Cyberangriffen auf Unternehmen schätzen Experten auf 80 zu 20 ein. Und nein, die Zahlen sind keinesfalls verdreht: Experten gehen tatsächlich davon aus, dass viermal so viele Angriffe erfolgreich sind, wie abgewehrt werden. Zwar werden erfolgreiche Cyberbangriffe auf Organisationen jeder Art in den Schlagzeilen tagtäglich publik und man sollte meinen, diese seien die Ausnahme. Tatsächlich stellen diese Angriffe jedoch nur die sichtbare Spitze des Eisbergs dar. Dies gibt zu denken, geben Unternehmen doch jährlich Milliarden für den Schutz ihrer IT aus, deren Abwehrstrategien auf Prävention und reaktionäres Management von Bedrohung basieren. Und es muss die Frage gestellt werden, ob diese eingesetzten Sicherheitsprodukte denn überhaupt noch geeignet sind, vor heutigen Cyberattacken schützen zu können. Denn eines ist sicher: die derzeitigen Cyberbedrohungen entwickeln sich ständig weiter - und die IT-Security muss mit ihnen Schritt halten. Doch wie kann die IT-Security ihren Rückstand aufholen?

  • Die Strategie der Cyberkriminellen

    Social Engineering gilt heute als eine der größten Sicherheitsbedrohungen für Unternehmen. Im Gegensatz zu traditionellen Hacking-Angriffen können Social Engineering-Angriffe auch nicht-technischer Natur sein und müssen nicht zwingend eine Kompromittierung oder das Ausnutzen von Software- oder System-Schwachstellen beinhalten. Im Erfolgsfall ermöglichen viele Social-Engineering-Angriffe einen legitimen, autorisierten Zugriff auf vertrauliche Informationen. Die Social Engineering-Strategie von Cyberkriminellen fußt auf starker zwischenmenschlicher Interaktion und besteht meist darin, das Opfer dazu zu verleiten, Standard-Sicherheitspraktiken zu missachten. Und so hängt der Erfolg von Social-Engineering von der Fähigkeit des Angreifers ab, sein Opfer so weit zu manipulieren, dass es bestimmte Aktionen ausführt oder vertrauliche Informationen preisgibt. Da Social-Engineering-Angriffe immer zahlreicher und raffinierter werden, sollten Organisationen jeder Größe eine intensive Schulung ihrer Mitarbeiter als erste Verteidigungslinie für die Unternehmenssicherheit betrachten.

  • IAM eine der grundlegenden Sicherheitsmaßnahme

    Wenn man die Analogie zum Fußball bemühen will, dann hat der Erfolg einer IT-Sicherheitsabteilung maßgeblich mit einer guten Verteidigung zu tun. Es kommt darauf an, dass die Abwehr geschlossen steht und der Gegner am besten gar nicht erst zum Schuss oder auch nur in eine dafür geeignete Position gelangt. Die beste Voraussetzung für einen Sieg. Ein Bild, dass sich durchaus auf den Datenschutz und das Zusammenwirken unterschiedlicher Sicherheitsebenen übertragen lässt. Im Idealfall hält ein mehrschichtiger Sicherheitsansatz Cyberkriminelle davon ab "ein Tor zu machen" - sprich in ein Netzwerk vorzudringen, an Unternehmensdaten zu gelangen, diese zu entwenden und zu missbrauchen.