Das Internet der Dinge, die intelligente Vernetzung von Geräten und Maschinen über das Internet, kann einen weltweiten wirtschaftlichen Mehrwert von bis zu 11 Billionen Dollar im Jahr 2025 schaffen, so die Studie des McKinsey Global Institute (MGI) mit dem Titel "The Internet of Things: Mapping the value beyond the hype". Damit diese rosigen Aussichten Realität werden können, muss allerdings noch einiges geschehen. Eines der größten Handlungsfelder sehen die Unternehmensberater im Bereich Datensicherheit.
Wie umfangreich und dringlich die Aufgabe Datensicherheit für das Internet of Things (IoT) ist, unterstreichen Prognosen, dass bereits im Jahr 2020 etwa 5,4 Milliarden vernetzte Geräte für geschäftliche Zwecke genutzt werden, mehr als 50 Milliarden Dinge insgesamt mit dem Internet verbunden sind und sich die Datenmenge auf etwa 44 Zettabyte verzehnfacht hat.
Foto: G-Data
Sich der Aufgabe Sicherheit für IoT nicht mit Nachdruck anzunehmen, kommt aus Kundensicht nicht in Betracht: Wie zum Beispiel eine gemeinsame Studie von eco und dem Marktforschungs- und Beratungsinstitut YouGov zeigt, wünschen sich Verbraucher durch vernetzte Produkte Kostenersparnis und Sicherheit und fürchten gleichzeitig die Risiken durch einen Kontrollverlust über Daten und Geräte. Nicht einmal die Hälfte (42 Prozent) der Verbraucher denkt laut einer Umfrage des Ponemon-Instituts, dass die Vorteile von IoT größer als die Nachteile bedingt durch Sorgen um Privatsphäre und Sicherheit sind.
IoT Sicherheit ist mehr als Sicherheit für IoT
Die IT-Security-Branche ist sich dem Bedarf an mehr IoT Sicherheit bewusst, wie zum Beispiel die zahlreichen Vorträge und Diskussionen zu dem Thema auf den Internet Security Days (ISD 2015) oder auf der IT-Sicherheitsmesse it-sa 2015 zeigten. Das Verständnis, wie mehr IoT Sicherheit erreicht werden kann, ist allerdings uneinheitlich. Die steigende Zahl an IT-Sicherheitslösungen speziell für IoT-Szenarien legt den Schluss nahe, dass IoT Sicherheit hauptsächlich als Sicherheit für IoT verstanden wird, also als zusätzliche Security Software und Security Services, die IoT-Lösungen absichern sollen.
Betrachtet man aber, welche Security-Maßnahmen IT-Sicherheitsexperten für besonders wichtig einstufen, und vergleicht man dies mit den Gegebenheiten im Internet of Things, dann wird deutlich, dass IoT-Sicherheit nicht einfach Sicherheit für IoT sein kann. So ergab eine Untersuchungvon Google Sicherheitsforschern, dass IT-Sicherheitsexperten die Installation von Security-Patches als die wichtigste Maßnahme überhaupt einstufen. Standardnutzer hingegen meinen, der Einsatz einer Anti-Viren-Software sei am wichtigsten. Das Einspielen von Sicherheitsupdates jedoch ist bei IoT-Lösungen in vielen Fällen gar nicht möglich. Ist die Softwareaktualisierung möglich, hat dieser Prozess häufig Schwachstellen, wie eineHP-Studie zur Sicherheit des Internets der Dinge am Beispiel von Smartwatches zeigte.
Foto: 7Layers GmbH
Will man die Sicherheit bei IoT-Lösungen steigern, müssen somit andere Security-Maßnahmen zum Einsatz kommen, als es in vielen anderen IT-Bereichen der Fall ist.
IoT braucht Antwort auf fehlendes Patchmanagement
Anbieter und Anwender von IoT-Lösungen müssen das unzureichende oder sogar fehlende Patchmanagement für IoT-Geräte in den Mittelpunkt ihrer Sicherheitskonzepte für das Internet of Things stellen. Bekanntlich laufen Angreifer ins Leere, wenn sie keine Schwachstellen finden, die sie ausnutzen können. Können die Schwachstellen nicht behoben werden, versucht man, die Sicherheitslücken abzuschirmen und die Angreifer möglichst vor dem Ausnutzen der Schwachstellen abzufangen.
Will man das Angriffs- und Missbrauchsrisiko aber an der Wurzel reduzieren, werden alternative Konzepte für den Umgang mit den Schwachstellen benötigt. IT-Sicherheitsexperten wie Dr. Paul Vixie von Farsight Security betonen, dass zum Beispiel die unzureichende Qualitätssicherung bei der Entwicklung von IoT-Lösungen Teil "eines Rezeptes für ein Sicherheitsdesaster" ist. Eine bessere Qualitätssicherung würde dazu führen, dass die Zahl der Schwachstellen und damit das Angriffsrisiko deutlich reduziert werden kann. In seinem Vortrag auf den Internet Security Days 2015 erklärte Dr. Vixie, welche weiteren Maßnahmen er für notwendig erachtet, damit IoT sicherer werden kann.
IoT-Sicherheit braucht Prozesssicherheit
In seinem Vortrag "Beyond The Toaster Oven - Building A Secure Future For The IoT" auf den ISD 2015 wies Paul Vixie auf die besonderen Herausforderungen im Internet of Things hin. Dazu gehören (zu) optimistische Vorstellungen zu den vorhandenen IT-Sicherheitsrisiken, die Geschwindigkeit der Time-to-Market-Prozesse bei der Entwicklung, die oftmals niedrigen Produktpreise, die häufig lange Lebensdauer der Produkte, die geringen Möglichkeiten für eine Interaktion zwischen Produkt und Nutzer sowie der mangelnde Wille des Nutzers, die IoT-Lösungen zu warten.
Die Sicherheitsarchitektur müsse zu dem initialen und finalen Produktdesign gehören und auf zahlreiche Fragen eine Antwort liefern können, darunter
die Gewährleistung eines sicheren Betriebs außerhalb einer durch Firewalls geschützten Umgebung,
eine Minimierung der Angriffsflächen durch Härtung des Systems (Verzicht auf unnötige Funktionen, zumindest aber Deaktivierung),
die Klärung des Identitäts- und Zugriffsmanagements,
ein Prozess zur Fehlersuche und zur Reaktion auf entdeckte Fehler und Schwachstellen sowie
die Schaffung der (Hardware-)Voraussetzungen für eine starke Verschlüsselung.
Ohne ein Security und Privacy Assessment innerhalb des Design-Prozesses und ohne Sicherheitstests vor der Freigabe solle keine IoT-Lösung auf den Markt kommen.
Entwickler und IT-Sicherheitsexperten müssen stärker kooperieren
Security by Design wird generell gefordert, um den steigenden IT-Sicherheitsrisiken zu begegnen. Für das Internet of Things ist Security by Design allerdings unumgänglich, da mögliche Fehler in der Entwicklung später durch Patches kaum noch behoben werden können.
Foto: Google
Eine Umfrage von Progress Software unter Entwicklern für IoT-Apps zeigt, dass Entwickler den Schutz der Privatsphäre (20 Prozent) als die größte Herausforderung bei der Erstellung und dem Einsatz von IoT-Apps sehen. Knapp dahinter bewerten sie offene und interoperable Standards sowie den Schutz der Daten vor Cyber-Angriffen als größte Knackpunkte (jeweils 19 Prozent).
IoT-Lösungen und IoT-Entwickler brauchen somit dringend Unterstützung durch die IT-Sicherheit, allerdings nicht nur in Form von spezialisierten Security-Angeboten, sondern auch in Form einer Kooperation zwischen IT-Sicherheitsexperten und Entwicklungsexperten direkt in der Design- und Konzeptionsphase für IoT-Lösungen.
"Sicherheit im Internet der Dinge, und in der IT überhaupt, ist keine reine Technologiefrage. Vielmehr kommt es darauf an, effektive und dynamische Strategien zu definieren, die präventive Kontrollen, investigative Prozesse und eine schnelle Reaktion auf Sicherheitsvorfälle miteinander kombinieren", so Bob Griffin, Chief Security Architect bei RSA, anlässlich der IT-Security-Messe it-sa 2015.
Der G DATA Sicherheitsexperte Eddy Willems sieht allerdings einen Engpass bei den IT-Sicherheitsexperten: "Zweifelhaft ist, wie Sicherheitsexperten die Fülle der IoT-Unternehmen unterstützen können, da dieser Markt exponentiell wächst. Schon heute haben IT-Security-Fachleute alle Hände voll zu tun: Sie arbeiten kontinuierlich daran, das Internet sowie die Betriebssysteme und Geräte, die wir als Anwender nutzen, sicherer zu machen. Die beste Methode, mit diesen Gefahren des Internets der Dinge umzugehen, ist folglich ein ganzheitliches und systemisches Konzept."
Mehr QS-Zeit für längeres Produktleben
Das Internet of Things braucht ein integriertes Security Management, das von der ersten Lösungsidee bis zum Ende des Produktlebenszyklus reicht und nicht nur auf den Schultern der IT-Sicherheit ruht. Dazu gehört auch ein Notfallmanagement, das auf Sicherheitsprobleme bei den IoT-Lösungen umgehend reagiert.
Sind keine Fehlerbehebungen möglich und reicht der Schutz durch abschirmende Security-Lösungen gegen mögliche Angriffe nicht aus, muss das Ende des Produktlebenszyklus eingeläutet werden, die IoT-Lösung muss bei entsprechender Gefahr für Nutzer oder Nutzerdaten vom Markt genommen werden.
Wenn eine IoT-Lösung lange auf dem Markt verfügbar sein soll, geht dies nur bei ausreichend langer Zeit für Qualitätssicherung und IT-Sicherheitsmanagement. Dr. Paul Vixie zum Beispiel empfiehlt als zusätzliche QS-Maßnahme, verschiedene Red Teams (Sicherheitstester, die nicht zum Entwicklungskernteam gehören) einzuladen, am Prozess der Produktentwicklung teilzunehmen, diesen Teams Anreize und Kompensation zu bieten, wenn sie die ersten sind, die einen Fehler finden, sowie gemeinsame Pressemeldungen anlässlich der Produkteinführung vorzusehen, in denen die Redteams ihre Fähigkeiten herausstellen dürfen. IT-Sicherheit und Qualitätssicherung gelangen so in den Fokus des Internet of Things. Andernfalls gerät das Internet of Things zunehmend in den Fokus der Angreifer. (sh)