Security by Design sollte im Internet der Dinge eigentlich selbstverständlich sein. In der Realität kommt die Sicherheit bereits der Hardware-Entwicklung zu kurz. Dies ist ein schwerwiegender Fehler, schließlich werden im Internet of Things kritische Infrastrukturen und Geräte vernetzt.
Sicherheitsaspekte werden im Hype um Industrie 4.0 und Internet der Dinge allzu oft vernachlässigt, meint das Auditierungsunternehmen GAI NetConsult. Viele moderne, vernetzte Systeme seien bereits durch Fehler bei der Hardware-Entwicklung anfällig für Hacking und Datenverlust. Selbst die Betreiber kritischer Infrastrukturen schenkten dem Sicherheitsdesign zu wenig Aufmerksamkeit.
Als Beispiel für die Auswirkungen führt GAI NetConsult die Microsoft Xbox an, deren Bussystem auf der Hauptplatine geknackt wurde. Kennt der Angreifer so die Details der Sicherheitsarchitektur, erleichtert ihm das den Zugriff auf andere Geräte gleicher Bauart.
In kritischen Infrastrukturen, in denen vermehrt intelligente Steuerungssysteme zum Einsatz kommen, ist die Gefahr natürlich noch um einiges größer. Doch auch im Privatleben, in dem das Smart Home zur Realität wird und vernetzte oder gar autonome Fahrzeuge erforscht werden, kann ein Angriff schwerwiegende Konsequenzen nach sich ziehen.
Handlungsempfehlungen für Hersteller
Die Gegenmaßnahmen im Hardware-Design erstecken sich über drei Ebenen: Das Gehäusedesign, das Platinen-Layout und die Firmware. Für alle drei Ebenen gibt es zahlreiche Gegenmaßnahmen. Zu den wichtigsten Gegenmaßnahmen gehört, sich zunächst das Ausmaß der Bedrohungslage bewusst zu machen und dann geordnet vorzugehen. Dies kann über alle Ebenen vom Hersteller über die Betreiber bis zum Nutzer geschehen.
Hersteller sollten ihr Hardware-Sicherheitsdesign immer wieder von externen Experten auditieren lassen. Betreiber von Kritischen Infrastrukturen wie beispielsweise der Energieversorgung oder der Verkehrsleittechnik, aber auch zunehmend Fertigungsunternehmen, die ihre Steuerungstechnik im Rahmen des Industrie 4.0-Konzeptes stärker vernetzen, sollten ein Informationssicherheitsmanagement (ISMS) auf der Basis von ISO/IEC 27001 einführen.
Konzepte und Lösungen für sicheres Hardwaredesign sind längst vorhanden, gibt GAI NetConsult zu bedenken. Sicherheit sei ein Prozess, kein Produkt. Sicherheit müsse dementsprechend schon während der Konzeptphase in ein Produkt eingebracht und für jeden Teil des Entwurfs berücksichtigt werden. Das aktuelle Security Journal der GAI NetConsult GmbH zeigt die wichtigsten Angriffsvektoren auf Hardware-Ebene sowie Gegenmaßnahmen und Best-Practices verschiedener Hersteller.
