Security by Design für das Internet der Dinge IoT-Systeme von Anfang an gegen Angriffe absichern

Anbieter zum Thema

FTAPI Software GmbH

Mimecast Germany GmbH

NewTec GmbH System-Entwicklung u. Beratung

Heizungen, Türschlösser, Alarmanlagen, Fernseher, Rasenmäher oder Autos: Immer mehr Geräte und Anlagen sind mit dem Internet verbunden. Unternehmen, die Security-Anforderungen von IoT-Geräten bereits bei der Konzeption berücksichtigen, sparen teure Nachrüstungen und vermeiden Haftungsprobleme.

Die universelle Vernetzung im „Internet der Dinge“ (IoT) eröffnet riesiges Potenzial. Gleichzeitig wächst die Angst vor Missbrauch, denn immer wieder werden bei IoT-Geräten zum Teil gravierende Sicherheitslücken gefunden. Allein im Juli und August machten unter anderem neue Meldungen über unsichere Waschstraßen, Aquarien, NAS-Geräte, Computertomographen oder Netzwerkkameras Schlagzeilen.

Daraus ergeben sich Bedrohungen auf mehreren Ebenen. Hacker könnten diese Geräte übernehmen und über das Netz steuern. Bei einem Kühlschrank ist das vielleicht eher lästig als gefährlich – aber bei einem Bremssystem im Auto oder einer implantierten Insulinpumpe hängen Gesundheit und Leben der Anwender von der Sicherheit des Gerätes ab.

Zudem können Lücken in IoT-Geräten Hackern auch Zugang zu gesicherten Netzwerken verschaffen. So konnten im Juli 2017 Hacker über ein vernetztes Aquarium in das IT-System eines nordamerikanischen Casinos eindringen und Daten abschöpfen.

Vor allem aber dienen solche Lücken auch häufig bereits dazu, die Geräte zum Bestandteil bösartiger Botnetze zu machen, mit denen Cyberkriminelle immer mächtigere DDoS-Attacken (Distributed Denial of Service). Nach Angaben des Security-Herstellers A10 Networks ereignen sich täglich schon zu bis zu 3.700 DDoS-Attacken; der Schaden für die betroffenen Unternehmen reichen von einigen Tausend bis hin zu über zwei Millionen US-$.

Und diese Attacken werden immer heftiger: Das Wirtschaftsprüfungs- und Beratungsnetzwerk Deloitte Global prognostiziert, dass es wegen der wachsenden Basis unsicherer IoT-Geräte und steigender Uplink-Geschwindigkeiten in diesem Jahr weltweit zu über 10 Millionen DDoS-Attacken kommen wird, von denen mindestens eine monatlich eine Schlagkraft von 1 Tbit/s oder mehr hat. Das heißt: Attacken wie die des Botnetzes Mirai (japanisch für Zukunft), das im September und Oktober 2016 zahlreiche Webdienste, u. a. Twitter, Reddit, Amazon, Netflix oder Spotify, lahmgelegt und auch den Ausfall von rund einer Million DSL-Routern (v.a. der Deutschen Telekom) verursacht hatte, sind schon bald Normalität.

Viele IoT-Geräte sind leichte Ziele: Offene Telnet-Ports ohne Authentifizierung, voreingestellte Standard-Login-Daten oder fehlende Security-Updates sind nur einige Fehler, die Hersteller hier begehen. Mirai arbeitet lediglich eine Liste von ca. 60 häufig voreingestellten Login-Kombinationen ab und konnte so ganz einfach bis zu drei Millionen Geräte seinem Botnetz einverleiben.

Die meisten Hersteller, die ihre Produkte internetfähig machen wollen, haben noch keine Erfahrung mit sicherer Softwareentwicklung. Sie stehen unter Zeitdruck, wollen keine Verzögerungen bei der Markteinführung akzeptieren und scheuen zusätzliche Kosten, um das nötige Know-how aufzubauen oder einzukaufen. Zudem gibt es noch keine gesetzlichen Vorgaben für Mindestsicherheitsstandards vernetzter Geräte. Dieser Umstand sorgt für zunehmendes Unbehagen bei Politikern und Experten und hat auch bereits zu unkonventionellen Selbsthilfemaßnahmen von Sicherheitsaktivisten geführt: So bringt man etwa mutmaßlich „gutartige“ IoT-Malware in Umlauf, um anfällige Geräte aufzuspüren oder sogar, wie die Software „BrickerBot“, unbrauchbar zu machen.

Die Produkthaftung für Hersteller wird kommen

Es gilt als sicher, dass sich die Rechtslage bei IoT-Geräten ändern muss und wird. In den USA und der EU laufen bereits Gespräche über IoT-Gütesiegel, die einen Mindeststandard für IT-Sicherheit sichern sollen. Der Innenausschuss des Bundestages forderte Ende März 2017 erneut die Schaffung verbindlicher IT-Sicherheitsvorgaben auf EU-Ebene.

Auch die deutschen Innenminister der Länder haben bei der letzten Sitzung der Innenministerkonferenz im Juni 2017 die Schaffung verbindlicher Sicherheitsstandards sowie von Regelungen zur Produkthaftung für IoT-Geräte angemahnt. Zahlreiche Politiker der Parteien, u. a. die SPD-Bundestagsfraktion und die netzpolitischen Sprecher von CDU und SPD, machen sich ebenfalls für diese Themen stark. In Bezug auf den Datenschutz ist die Politik schon weiter: Die neue Datenschutz-Grundverordnung der EU (DSGVO), die ab Mai 2018 in allen EU-Mitgliedsstaaten verbindlich wird, fordert wirksame technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten. Bei Datenschutzverstößen drohen Unternehmen zum Teil drastische Sanktionen bis hin zu Schadenersatzforderungen und Bußgeldern in Millionenhöhe (Art. 83 DSGV). Das gilt unmittelbar auch für IoT-Geräte, die fast immer auch Daten mit Personenbezug sammeln.

Wenn Anbieter von IoT-Lösungen Imageverluste, Geschäftseinbußen und künftig auch Bußen und Haftungskosten vermeiden wollen, müssen sie daher bereits bei der Entwicklung ihrer Anwendungen die IT-Sicherheit berücksichtigen. Es empfiehlt sich, dabei nach dem Ansatz „Security by Design“ vorzugehen, der sich in der Softwareentwicklung bereits vielfach bewährt hat, u. a. bei Microsoft, Google, Adobe oder Oracle.

Security by Design heißt, dass Sicherheitsanforderungen schon vor Entwicklung eines Produktes genau analysiert und entsprechend berücksichtigt werden. An Funktionen wird nur implementiert, was tatsächlich gebraucht wird, und für alle bei der Bedrohungsanalyse identifizierten Szenarien werden schon im Produktkonzept entsprechende Sicherheitsvorkehrungen vorgesehen.

Denn Sicherheitsmaßnahmen nachträglich umzusetzen ist viel aufwändiger und teurer. Zudem schützt es nur unvollkommen – nur bis zur nächsten Lücke. Von der Softwarebranche können IoT-Gerätehersteller lernen, dass sich Anwendungen nicht komplett durch externe Schutzmaßnahmen wie Firewalls etc. absichern lassen. In den Anwendungen selbst ständig neue Sicherheitslücken in aufwändigen Patch-Zyklen zu schließen, kostet erheblich mehr, als von Anfang an sicher zu entwickeln. Trotzdem müssen natürlich System-Updates nach diesem Standard prinzipiell vorgesehen sein.

Erstellung einer Bedrohungsanalyse

Maßnahmen der IT-Security sollen Personen und Infrastrukturen vor Angriffen durch unberechtigte Nutzung, Datenmanipulation, Sabotage oder Datendiebstahl schützen. Dabei sind verschiedene Schutzziele von Bedeutung, die je nach Anwendung auf ihre Relevanz geprüft und berücksichtigt werden müssen. Dazu gehören die Datensicherheit und -integrität (Sicherung gegen Verlust und Manipulation), Datenschutz und -vertraulichkeit (Absicherung von Daten vor Missbrauch) und die Datenverfügbarkeit – Angriffe auf dieses Schutzziel führen in der Regel zu Systemausfällen.

Jede Komponente eines Netzwerks kann ein Einfallstor für Cyberkriminelle sein. Deshalb muss auch für jede Komponente eines IoT-Systems schon in der Frühphase der Produktentwicklung das damit verbundene Schadenspotenzial ermittelt und der Schutzbedarf bestimmt werden. Dabei wird zunächst die Art der Bedrohung analysiert: Welche Gefahren können die betreffende Komponente konkret betreffen – Manipulationen, Sabotage oder Datendiebstahl?

Um Risiken adäquat abschätzen zu können, müssen mehrere Faktoren bewertet werden: Welche Voraussetzungen bestehen müssen, damit ein bestimmter Angriff stattfinden kann, welche bekannten Schwachstellen bestehen, wie groß der Aufwand für einen erfolgreichen Angriff sein müsste und wie gravierend die Folgen eines solchen wären. Die Analyse richtet sich gleichermaßen auf technologische wie auf infrastrukturelle oder organisatorische Schwachstellen. Ziel ist es, eine möglichst erschöpfende Aufstellung der wahrscheinlichsten und schädlichsten möglichen Angriffe zu erhalten. Sie sagt, vor welchen Bedrohungen und Angriffsvektoren das Produkt vornehmlich zu schützen ist.

Bei der Bedrohungsanalyse wird auch das Risiko für verschiedene Angreiferprofile errechnet. Ein potenzieller Angreifer könnte etwa ein Hacker sein, ein Wettbewerber, Angestellter eines Dienstleisters (etwa des Cloud-Anbieters) oder ein unzufriedener Mitarbeiter. Daraus ergeben sich Annahmen darüber, welches Vorgehen ein Angreifer wählen wird, wie hoch seine Motivation einzuschätzen ist, welchen Schaden er anrichten kann und welche Erfolgsaussichten er hat. Aus all diesen Aspekten ergeben sich risikobasierte Prioritäten: Vor welchen Angreifern muss das Produkt vor allem geschützt werden?

Mit der Kenntnis der wesentlichen Bedrohungen und der gefährlichsten potenziellen Angreifer ist man in der Lage, für jede IoT-Komponente geeignete Maßnahmen zu ihrer Abwehr zu definieren. Das umfasst zum einen vorbeugende Maßnahmen, die Angriffe von vornherein unmöglich machen, als auch solche, die helfen, aktuelle Attacken zu erkennen und abzuwehren. Aus der Summe dieser Abwehrmaßnahmen ergeben sich die Security-Anforderungen, die konkret umzusetzen sind, um das IoT-Gerät abzusichern. Modul- und Systemtests sowie Netzwerk-Penetrationstests helfen festzustellen, ob die definierten Maßnahmen korrekt umgesetzt und wirksam sind.

Normen und Vorschriften beachten

Verschiedene Normen und technische Standards geben Herstellern schon jetzt konkrete Hilfestellung, wie Sicherheitsanforderungen bei der Entwicklung umgesetzt werden können. Dazu zählen zum Beispiel IEC 62443 (IT-Sicherheit für industrielle Netze und Systeme), ISO/IEC 27001 (Anforderungen an das IT-Sicherheitsmanagement) oder ISO/IEC 27034 (Anwendungssicherheit). Noch halten sich viele Hersteller von IoT-Produkten nicht an diese Standards, weil sie nicht über das dafür notwendige Security-Know-how verfügen.

In Zukunft aber ist IoT-Herstellern auch aus Haftungsgründen dringend zu empfehlen, die veröffentlichten Normen und Standards zu berücksichtigen und neue Entwicklungen aufmerksam zu beobachten. Wenn Expertise oder Manpower dafür fehlen, kann man sich an erfahrene Dienstleister wie den Sicherheitsspezialisten NewTec aus Pfaffenhofen wenden, die tragfähige Security-Konzepte auch in zeitkritischen Entwicklungsprojekten systematisch implementieren.

Eins ist klar: Im anbrechenden digitalen Zeitalter werden wir mit einem gewissen Restrisiko leben müssen. Doch wir können und sollten dieses Restrisiko auf ein Minimum reduzieren.

Mit Security by Design können Hersteller von IoT-Produkten für ihre Geräte gewährleisten, dass sie nach dem neuesten Stand der Technik abgesichert sind und allen geltenden Sicherheitsnormen entsprechen. Aber auch nach der Markteinführung sind sie weiterhin gefordert. Durch kontinuierliches und konsequentes Sicherheitsmanagement müssen sie sicherstellen, dass neue Bedrohungen schnell erkannt und Sicherheitslücken zügig geschlossen werden.

Bei Software-Anwendungen, die wir nutzen, sind Sicherheitsupdates der Hersteller längst selbstverständlich. Auch von ihren IoT-Geräten sollten Kunden erwarten dürfen, dass sich die Hersteller für die sichere Nutzung ihrer Produkte verantwortlich fühlen und dass sie ihre Firmware weiterhin warten, damit ihre Produkte nicht zum Sicherheitsrisiko werden. Mit zunehmendem Problembewusstsein angesichts großangelegter Cyber-Angriffe und der Medienberichterstattung darüber wird die Sicherheit von Geräten zu einem immer wichtigen Unterscheidungsmerkmal und Kaufkriterium werden.

Security by Design ist daher für IoT-Hersteller unverzichtbar: als Wettbewerbsfaktor ebenso wie als moralische Pflicht gegenüber Kunden und Gesellschaft.

Dieser Beitrag erschien zuerst auf unserem Schwesterportal Elektronikpraxis. Verantwortlicher Redakteur: Sebastian Gerstl.

* Achim Brunner ist Trainer und Berater für Systementwicklung bei NewTec.

(ID:44984213)