- Anzeigen -


Sie sind hier: Home » Markt » Tipps & Hinweise

Sicherheitsbedenken von IoT-Nutzern


Warum das Internet der Dinge eine Cybersicherheits-Richtlinie braucht
IoT-Sicherheitsrichtlinie – Definition und Anwendung



Die Gefahr von Cyberangriffen im Internet der Dinge wächst exponentiell. Microsoft hat aus diesem Grund eine Richtlinie "Cybersicherheit im Internet der Dinge" veröffentlicht. Sie beschreibt insbesondere warum und an welchen Stellen solche Richtlinien unbedingt notwendig sind. IoT-Sicherheit ist heutzutage fraglos eine der Hauptsorgen. Sie betrifft uns als Verbraucher, aber auch Hersteller, Unternehmen aller Größenordnungen und staatliche Einrichtungen. Stand heute, sind nur wenige Leitlinien, Standards oder Richtlinien definiert und durchgesetzt worden. Das verstärkt die Sorge zusätzlich. Einige Rahmenwerke für IoT-Sicherheit befinden sich derzeit in unterschiedlichen Entwicklungsstadien. Sie sind allerdings stark von der jeweiligen Branche abhängig und meist nur Best Practices.

Vor kurzem veröffentlichte Microsoft ein interessantes Dokument zum Thema. Eine "Cybersecurity Policy for the Internet of Things". Das Dokument stellt zunächst den dringenden Bedarf fest, Richtlinien zur Cybersicherheit für das IoT zu entwickeln. Grund ist die exponentiell wachsende Gefahr von Cyberangriffen durch die immer stärkere Verschmelzung von physischen und digitalen Domains. Microsoft schlägt weiterhin vor, dass öffentlicher und privater Sektor enger zusammenarbeiten sollten als bisher, um umfassende Richtlinien und Leitlinien für die IoT-Sicherheit zu entwickeln und bestehende zu optimieren

Microsoft betrachtet Cybersicherheit im IoT primär aus der Sicht der Nutzer und konzentriert sich dabei auf drei verschiedene Anwender-Communities:

Verbraucher, Unternehmen und staatliche Einrichtungen. Aus der Sicht von Microsoft haben diese drei Gruppen nämlich recht unterschiedliche Sicherheitsbedenken. Für die Macher der Richtlinie geht es deshalb darum, diese unterschiedlichen Bedenken zu verstehen und zu berücksichtigen, aber gleichzeitig den innovativen Charakter der jeweiligen IoT-Anwendung zu erhalten.

Verbraucher
Wir nutzen in unserem Alltag in zunehmendem Maße vernetzte Geräte - von Wearables über Geräte innerhalb der Hausautomation bis hin zu Fahrzeugen.

Die IoT-Nutzung seitens der Endverbraucher ist charakterisiert durch das Verwenden einer gemeinsam genutzten Hardware mit eingeschränkter Rechenleistung, die Daten über eine Cloud-basierte App nutzt und potenziell vertrauliche Informationen teilt. So soll der Verbraucher von den Vorteilen des jeweiligen vernetzten Gerätes uneingeschränkt profitieren können. Dabei handelt es sich nicht selten um persönliche, wenn nicht sensible Daten. Konsumenten haben daher Bedenken, ob diese Daten wirklich ausreichend geschützt sind.

Unternehmen
Von der IoT-Nutzung versprechen Unternehmen sich zu Recht eine Reihe von Vorteilen: Verbesserte Geschäftsprozesse, eine optimierte Benutzererfahrung oder die Möglichkeit, unternehmerischen Herausforderungen mit IoT-Innovationen begegnen zu können. Diese potenziellen Vorteile treiben die Nachfrage an. Unternehmen hatten schon immer Grund sich um den Schutz der Privatsphäre zu sorgen. Etliche Sicherheitsschwachstellen haben dazu ausreichend Anlass gegeben.

Mit dem Thema Sicherheit im IoT potenzieren sich diese Probleme. Insbesondere betreffen die Bedenken hier die Bereiche:
>> Abhängigkeit von Datenintegrität und Datenverfügbarkeit
>> Steigende Zahl von Bedrohungen durch verschiedene Angriffsvektoren etwa DDoS-Attacken
>> Verwalten von Sicherheitsupdates
>> Einhalten gesetzlicher Vorschriften
Es erschließt sich unmittelbar, warum es so wichtig ist das IoT-Ökosystem zu schützen und gleichzeitig die Interoperabilität sicherzustellen.

Staatliche Einrichtungen
Staatliche Einrichtungen sind bemüht, den Service für ihre Bürger zu verbessern, und auch sie setzen dabei verstärkt auf vernetzte Geräte. Die Sicherheitsbedenken staatlicher Einrichtungen unterscheiden sich nicht sonderlich von denen eines Unternehmens in der freien Wirtschaft. Allerdings gilt es einige, für staatliche Einrichtungen spezifische Sicherheitsanforderungen zusätzlich zu erfüllen. Die Behördeninfrastruktur muss entsprechend ausfallsicher konzipiert sowie IoT-Sicherheit durchgängig und verlässlich gewährleistet sein.

Schlüsselfunktionen bei der Sicherheit für IoT-Ökosysteme
Ob Endverbraucher, Unternehmen oder staatliche Einrichtung, sie alle verfügen übereinzigartige IoT-Ökosysteme. Diese Ökosysteme werden von Herstellern und Integratoren, Entwicklern, Betreibern und Benutzern unterstützt. Microsoft diskutiert in dem genannten Papier, wie alle Beteiligten dazu beitragen können, das IoT ein Stück sicherer zu machen und wie es den Machern einer Richtlinie gelingen kann, die Komplexität und die unterschiedlich verteilten Verantwortlichkeiten in einem IoT-Ökosystem besser zu verstehen.

Verantwortlich für die Sicherheit sind alle Beteiligten. Etwa bei der Herstellung sichererer Geräte, der Entwicklung sichererer Plattformen und Systeme, der Vernetzung und Installation von Geräten und Software auf der Grundlage sicherheitstechnischer Best Practices und der Integrität von Upgrades und Wartungsarbeiten im Betrieb.

In sämtlichen dieser Bereiche und bei all diesen Verantwortlichkeiten spielen Authentifizierung, Verschlüsselung und Integrität eine entscheidende Rolle. Digitale Zertifikate sind eine der wesentlichen Grundlagen für IoT-Sicherheit, darin stimmen wir mit Microsoft überein. Mehr Details dazu in einem unserer letzten Blogs: 'IoT-Sicherheit beginnt mit Identität'.

IoT-Sicherheit dank Richtlinie
Klar definierte und allgemein akzeptierte Richtlinien und Leitlinien schaffen die Voraussetzungen für sicherere IoT-Ökosysteme. Microsoft schlägt vor, dass staatliche Einrichtungen mit Gremien für Industriestandards, Zertifizierungsstellen und dem privaten Sektor zusammenarbeiten, um die notwendigen Richtlinien zu schaffen.

Eine verlässliche IoT-Sicherheitspraxis fördert und gewährleistet Sicherheit und den Schutz der Privatsphäre. Staatliche Einrichtungen können laut Microsoft
>> als Katalysatoren für die Entwicklung guter IoT-Sicherheitspraktiken dienen
>> interdisziplinäre Partnerschaften aufbauen, die die öffentlich-private Zusammenarbeit und die interinstitutionelle Zusammenarbeit fördern
>> Initiativen unterstützen, die IoT-Sicherheit grenzüberschreitend verbessern

Eines der Beispiele, das Microsoft für die Zusammenarbeit zwischen dem öffentlichen und privaten Sektor hervorhebt ist Plattform Industrie 4.0. Hier arbeiten Organisationen des privaten und öffentlichen Sektors daran, ein IoT-Rahmenwerk für IoT-Sicherheit bei der industriellen Fertigung zu erstellen. GlobalSign hat sich ebenfalls an einer Multi-Vendor Demo zur IoT-Sicherheit auf der letzten Hannover Messe der Plattform Industrie 4.0 und des Industrial Internet Consortiums (IIC) beteiligt. Innerhalb der Live-Demo wurde gezeigt, wie die Kommunikation in Multi-Vendor- und verteilten Fertigungsumgebungen sicher abläuft.

Kollaboration wie an dieser Stelle ist nötig, um die Entwicklung von Standardleitlinien und -richtlinien für die IoT-Sicherheit voranzubringen. Sich hier auf brancheneigene Rahmenwerke zu verlassen, trägt eher zu weiterer Verwirrung bei als zu mehr Sicherheit.
(GlobalSign: ra)

eingetragen: 07.07.17
Home & Newsletterlauf: 27.07.17



Meldungen: Tipps & Hinweise

  • Sicherheitsmaßnahmen gegenüber Bedrohungen

    Steigende Compliance-Anforderungen und europäische Richtlinien wie die DSGVO oder die NIS-Richtlinie für kritische Infrastrukturen haben die Umsetzung von Cybersecurity-Maßnahmen in Unternehmen bereits wesentlich vorangetrieben. Jedoch erfüllen Unternehmen häufig lediglich die Mindestanforderungen - während Angreifer über umfassende und ausgefeilte Möglichkeiten verfügen, sich Zugang zu Unternehmensnetzwerken zu verschaffen. Mittelständische Unternehmen, beispielsweise in der produzierenden Industrie oder im Gesundheitswesen, stehen im Fokus von Hackern: Mittels Ransomware-Angriffen können Cyber-Akteure ganze Produktionsstraßen lahm legen oder Krankenhäuser vom Netz nehmen. Insbesondere in diesen Branchen ist der Schaden nach einer Attacke besonders groß, da sie enorme wirtschaftliche Auswirkungen zur Folge haben und eine Vielzahl von Menschen betreffen. Für Hacker sind zudem vor allem mittelständische Unternehmen interessant, die wirtschaftlich erfolgreich sind, aber gleichzeitig nicht über die gleichen umfassenden Sicherheitsmaßnahmen verfügen wie große, börsennotierte Konzerne.

  • Nahezu kein Expertenwissen mehr benötigt

    Cyberkriminelle greifen mit gefälschten Rechnungen vermehrt Unternehmen des produzierenden Gewerbes in Deutschland an. Das hat Proofpoint herausgefunden. Die Angreifer versenden dabei gefälschte Rechnungen, die als Köder verwendet werden oder aber die E-Mail beinhaltet einen Link zu einer Website, auf der das gefälschte Dokument zum Download zur Verfügung steht. Die Dokumente sind mit dem Remote Access Trojaner NanoCore infiziert. Laut Proofpoint enthalten Anhänge eine komprimierte ausführbare Datei (mit der Erweiterung ".Z"), während bösartige Links den Empfänger veranlassen, die auf onedrive.live.com gehostete Malware herunterzuladen.

  • Fünf Sofortmaßnahmen zur Systemhärtung

    Guardicore gibt Sicherheitsempfehlungen für das Support-Ende von Windows Server R2, Windows Server 2008 und Windows 7. Ab 14. Januar 2020 werden Nutzer dieser Microsoft-Betriebssysteme keine kostenlosen Sicherheitsupdates und Online-Aktualisierungen mehr erhalten. Ohne sicherheitsrelevante Updates sind die betroffenen IT-Systeme gegen neu entdeckte Schwachstellen nicht mehr geschützt. Zwar sind die genannten Betriebssysteme teilweise bereits über ein Jahrzehnt alt, aber Schätzungen zufolge ist allein Windows Server 2008/2008 R2 immer noch auf fast jedem dritten Server weltweit im Betrieb. Viele Organisationen können nicht auf aktuelle Betriebssystemversionen wechseln, weil sie komplizierten Gesetzes- und Zertifizierungsanforderungen unterliegen, oder einfach nicht das erforderliche Budget zur Verfügung haben. Gefragt sind deshalb Überbrückungslösungen - auch um zeitaufwendige Migrationsprozesse begleiten zu können.

  • Abfangen und Manipulieren von E-Mails

    Die E-Mail ist das Kommunikationsmittel Nummer eins. Unternehmen sind in der Pflicht, sich mit der E-Mail-Sicherheit zu beschäftigen, kommunizieren sie doch sowohl intern als auch extern. Nahezu täglich ist von Datenpannen und Datendiebstählen zu hören: Fremde verschaffen sich - zum Teil leider kinderleicht - Zugang zum internen Unternehmenssystem und greifen Daten ab oder manipulieren diese. Einfache, unverschlüsselte E-Mails stellen deshalb grundsätzlich eine Gefahr dar: Sie ähneln einer Postkarte, deren Inhalt jeder lesen kann. "Denn gehen E-Mails weder digital signiert noch verschlüsselt auf die Reise, können die Inhalte nicht nur ausspioniert, sondern auch manipuliert werden. Da Angriffe dieser Art in aller Regel nicht sicht- und nachweisbar sind, wird die E-Mail-Sicherheit leider nach wie vor oft stiefmütterlich behandelt. Wie oft und von wem E-Mails gelesen werden, kann ihnen niemand ansehen", warnt Patrycja Tulinska, Geschäftsführerin der PSW Group.

  • Neuer Standort und neue BC/DR-Strategie?

    Die Entfernung zwischen georedundanten Rechenzentren soll mindestens 200km betragen. So empfiehlt es das BSI seit diesem Jahr. Dies stellt viele Unternehmen vor Probleme, betrug die bisher empfohlene Distanz in der Vergangenheit doch gerade einmal fünf Kilometer. Diese geringe Distanz erlaubte es den Betreibern bisher, ihre Rechenzentren über HA-Systeme synchron zu spiegeln. Dies ist bei einem Abstand von 200km jedoch nicht mehr möglich: Die Latenz zwischen den Standorten ist einfach zu hoch, um Organisationen mit traditionellen Hochverfügbarkeits- und Backup-Lösungen gegen Systemausfälle zu schützen. Was können Unternehmen nun tun, um ihre IT etwa gegen logische Fehler oder Ransomware-Attacken abzusichern, um minimalen Datenverlust und kurze Ausfallzeiten zu garantieren? Der neue Mindestabstand, den das BSI (Bundesamt für Sicherheit in der Informationstechnik) seit Dezember 2018 zwischen sich Georedundanz gebenden Rechenzentren empfiehlt, stellt in vieler Hinsicht eine Zäsur dar. Er stellt die Nutzung synchroner Spiegelung grundsätzlich infrage und hat damit einen direkten Einfluss darauf, wie Rechenzentren hierzulande betrieben werden. Wer eine "kritische Infrastruktur" betreibt, wird vom Gesetzgeber sogar dazu gezwungen der Empfehlung zu folgen. Und wer das Pech hat Teil eines Branchenverbandes zu sein, der den Empfehlungen des BSI folgt, wie etwa Mitglieder der Bankenbranche Bafin, haben ebenfalls keine Wahl. All diese Organisationen müssen auf die Entscheidung reagieren und den Abstand ihrer Rechenzentren auf mindestens 200km bringen.