Trends der IoT-Security Die Gefahr durch IoT-Angriffe wird weiter steigen

Anbieter zum Thema

SEPPmail - Deutschland GmbH

TXOne Networks

valvisio international AG

Im Jahr 2019 lagen die Ausgaben für IoT-Sicherheit weltweit insgesamt bei 1.931 Millionen US-Dollar – die Tendenz für die nächsten Jahre geht klar nach oben. Angesichts der wachsenden Kriminalität auf diesem Gebiet sollten Firmen dringend handeln.

Egal ob gefährliche Backdoors in Netzwerkkameras, eine Fehlkonfiguration in einem Telekom-Router, die 30.000 Patientendaten geleakt hat, oder Angriffe auf VOIP-Telefone, Drucker und Videodecoder durch die staatlich motivierte Hackergruppe Strontium – das Thema Security im Internet of Things sorgte im letzten Jahr für Schlagzeilen.

Ein Ende dieser Bedrohungssituation ist leider auch in diesem Jahr nicht in Sicht, denn viele Hardwarehersteller und Softwareanbieter sind mit der Sicherheit von IoT-Geräten noch immer überfordert. Nutzer wähnen sich hingegen viel zu oft in Sicherheit und verschließen die Augen vor den Risiken, die sie sich „ins Haus“ holen. Das muss sich im kommenden Jahr ändern, denn IoT-Sicherheit ist nach wie vor der “Tote Winkel” der Cybersecurity.

Das IoT wächst – und mit ihm die Kriminalität

Der weltweite IoT-Markt boomt unaufhörlich und wurde für das Jahr 2019 mit einem Wert von rund 1,7 Trillionen US-Dollar beziffert. Kein Wunder, denn laut des European Cybercrime Center (EC3) von Europol haben bereits heute 69 Prozent der Firmen mehr IoT-Geräte in den Netzwerken als traditionelle Endpoints.

Nicht weniger unaufhörlich boomt indes auch die IoT-Kriminalität, denn Sicherheit war von Anfang eine der größten Schwachstellen im Internet der Dinge. Und auch wenn das IoT heute längst nicht mehr in den Kinderschuhen steckt, ist dieses eine Problem geblieben: Für Hersteller von IoT-Geräten zählt vor allem eine möglichst günstige Entwicklung und schnelle Time-to-Market, was zur Folge hat, dass eine wirksame Überprüfung auf potenzielle Sicherheitslücken kontinuierlich vernachlässigt wird. Die wöchentlichen Schlagzeilen rund um IoT-Leaks sind ein gutes Abbild dieser Situation – ganz egal, ob es sich um Angriffe auf Router, drahtlose Funkverbindungen, Zeituhren, Audio-/Video-Streaming-Geräte, Raspberry Pis, IP-Kameras, DVRs, Satellitenantennengeräte oder intelligente Garagentoröffner handelt. Die potenzielle Angriffsfläche ist extrem vielfältig.

Auch Untersuchungen bestätigen die prekäre Lage: So waren laut einer Gartner-Marktstudie fast 20 Prozent der Unternehmen in den letzten drei Jahren von mindestens einem IoT-basierten Angriff betroffen. Und laut dem EC3 hatten sogar 67 Prozent der Cybervorfälle in Unternehmen im ersten Halbjahr 2019 mit IoT-Devices oder ungemanagten IT-Geräten zu tun.

Wenn man’s merkt, ist’s manchmal schon zu spät

Das Fatale daran ist jedoch nicht nur die schiere Menge an Attacken, sondern die Tatsache, dass Manipulationen von vernetzten Geräten oft unentdeckt bleiben. Wie eine Studie des Sicherheitsanbieters Gemalto im Januar 2019 offenbarte, ist rund die Hälfte aller Unternehmen nicht in der Lage, Sicherheitsverletzungen an IoT-Geräten überhaupt zu erkennen. Das ist letztlich nicht überraschend. Man denke etwa an den Fall einer handelsüblichen Netzwerkkamera, die fatalerweise über Standard-User-Credentials verfügt. Wenn sich nun ein Angreifer über diese Sicherheitslücke Zugriff auf die Kamera verschafft und auf diese Weise etwa Räumlichkeiten oder Geschäftsgeheimnisse ausspioniert, wie sollten die Verantwortlichen dies zeitnah bemerken?

Dabei sind Schwachstellen wie Standard-User-Credentials keine Seltenheit, sondern gehören zur am häufigst identifizierten Schwachstelle in IoT-Geräten. Aber auch fest programmierte Passwörter im Firmware-Dateisystem, Schwachstellen in der Systemkonfiguration oder SSH Host-Keys sind Standard, wie die Untersuchungen entsprechender Firmware-Analyse-Plattformen regelmäßig offenbaren. Zusammengefasst zeigen die Analysen ein düsteres Bild: So finden sich in mehr als 90 Prozent der IoT-Firmwaredateien kritische Sicherheitslücken wie die zuvor beschriebenen.

Mehr Schutz durch Privileged Account Management

Zugriffssicherheit für die Industrie 4.0

IoT-Security muss mitgedacht werden

Es ist also höchste Zeit, dem Thema IoT-Sicherheit die Bedeutung zu verleihen, die es auch verdient. Dies kann nur in diesen drei Schritten gelingen:

1. Gefahrenbewusstsein erhöhen:

Werden klassische Endgeräte wie PCs, Server oder Notebooks heutzutage meist hinreichend überwacht und mit Hilfe KI-basierter Sicherheitslösungen immer effektiver abgesichert, wird die Gefahr, die von IoT-geräten ausgeht, immer noch stark unterschätzt und entsprechende Sicherheitsüberprüfungen falsch priorisiert. Endnutzer und vor allem Sicherheitsverantwortliche in Unternehmen müssen aber verstehen, dass Router, Drucker, Kameras oder Thermostate mindestens genauso gefährdet sind wie der klassische Computer und Angreifern dieselben Möglichkeiten bieten, um Netzwerke zu infiltrieren oder sensible Daten abzugreifen. Tatsache ist, dass Cyber-Akteure heutzutage proaktiv nach anfälligen IoT-Geräten suchen, um diese als Proxy oder Mittler für Internet-Anfragen zu missbrauchen und auf diese Weise bösartigen Datenverkehr für Cyberangriffe und Netzwerk-Exploits weiterzuleiten. Hier muss 2020 verstärkt aufgeklärt werden.

Interview mit Ralph Kreter, Securonix

KI ersetzt (noch) nicht den Sicherheitsanalysten

2. Aktiv nach Sicherheitslücken suchen:

So lange es selbst namhaften Anbietern wie Cisco oder der Telekom nicht gelingt, ihre Firmware frei von Schwachstellen oder Fehlkonfigurationen zu liefern, sind Unternehmen und Serviceprovider aufgefordert, selbst aktiv nach Sicherheitslücken in den eingesetzten Geräten zu suchen. Um später keine bösen Überraschungen zu erleben, muss die Firmware von neuen IoT-Devices idealerweise schon vor deren Einsatz auf Sicherheitslücken wie hartkodierte Hashes überprüft werden. Nur so können Schutz- und Abwehrmaßnahmen, wie zum Beispiel Firewall-Konfigurationen, rechtzeitig angepasst werden.

Gleichzeitig sollten sich Hersteller von IoT-Geräten offen gegenüber gemeldeten Schwachstellen in ihren Produkten zeigen und dies als Chance sehen, die Sicherheit ihrer Geräte zu erhöhen. Die Realität sieht leider anders aus: Viel zu oft drohen gerade deutsche Hersteller stattdessen mit Unterlassungsklagen und kehren Sicherheitslücken einfach unter den Tisch, um dann eine neue Version der Firmware zu releasen.

3. Mehr regulatorische Standards:

Auf die Vernunft von Herstellern und Entwicklern allein können wir uns nicht verlassen. Deshalb sind hier auch Staat und Branchenverbände gefragt. Sie müssen endlich verstehen, dass das IoT mit das schwächste Glied in unserer IT-Infrastruktur ist und in den letzten Jahren verstärkt in den Fokus von Cyberkriminellen gerückt ist. Die zuständigen Behörden sollten nach der Einführung der EU-DSGVO deshalb weitere Regularien folgen lassen, die ganz speziell auf den IoT-Markt ausgerichtet sind.

* Rainer M. Richter arbeitet als Director Channels bei SEC Technologies.

(ID:46383393)