Sicherheit und IoT

Neue Risiken durch IoT in Industriesystemen

| Autor / Redakteur: Christian Koch / Sebastian Human

Beim Einsatz von IoT-Lösungen in der Industrie müssen Sicherheitsaspekte berücksichtigt werden, um das Angriffsrisiko zu minimieren.
Beim Einsatz von IoT-Lösungen in der Industrie müssen Sicherheitsaspekte berücksichtigt werden, um das Angriffsrisiko zu minimieren. (Bild: Fotolia)

Das Internet der Dinge ist insbesondere im Industrieumfeld eine noch junge Technologie. Daher steht bei der Entwicklung von IoT-Komponenten und OT-Lösungen (Operational Technologies) für viele Unternehmen noch immer die Funktionalität im Vordergrund.

Die Produktentwicklung hat genug damit zu tun, die neuen Kommunikationstechniken, das komplizierte Zusammenspiel von Sensoren, Aktoren und PLCs (Programmable Logic Controller), in den Griff zu bekommen. Wichtig ist, dass die Produkte und Lösungen funktional laufen – Sicherheitsaspekte sind, wenn überhaupt, nur ein Randthema.

Doch das IoT birgt nicht nur neue Möglichkeiten, sondern auch neue Risiken. Die Verbindung technischer Systeme mit dem Firmennetzwerk und dem Internet über standardisierte Kommunikationsschnittstellen erlaubt eine umfassende Kontrolle und Steuerung dieser Systeme. Allerdings nicht nur für berechtigte Nutzer, sondern bei unzureichender Absicherung auch für Angreifer. Diese können dabei nicht nur Informationen gewinnen, sie können auch die Steuerung der betreffenden Systeme übernehmen und sogar Fehlfunktionen auslösen. Man kann sich entsprechende Schadensszenarien leicht ausmalen; erst recht, wenn IoT auch in kritischen Infrastrukturen zum Einsatz kommt, beispielsweise in der Strom- und Wasserversorgung.

Warum werden IoT-Geräte nicht einfach sicher?

Trojanische Pferde des 21. Jahrhunderts

Warum werden IoT-Geräte nicht einfach sicher?

08.07.19 - Wenn heute eine IoT-Lösung an ein Unternehmen verkauft wird, dann ist oft der Preis der ausschlaggebende Faktor. Der Entscheider auf Käuferseite freut sich darüber, kostengünstig das Geschäft abgewickelt zu haben. Nach der Integration sind diese Komponenten fester Bestandteil im Unternehmensnetzwerk. Somit ergeben sich eventuell Lücken, die einen umfassenden Schutz gefährden. lesen

Angriffe auf IoT-Systeme

Neue Risiken, das bedeutet konkret neue Angriffspunkte. Der einfachste ist der direkte Zugriff auf Anlagen. So erhalten externe Service-Unternehmen oft für Wartungsarbeiten einen Zugriff auf die Steuerung von Anlagen und Maschinen, mitunter verschaffen sie ihn sich auch selbst, indem sie zur Erfüllung von Wartungsverträgen entsprechende Bauteile implementieren. Das muss nicht in böser Absicht geschehen, aber über diese Verbindungen ist der unkontrollierte Zugriff auf Steuersysteme von extern möglich und per "Hopping" von System zu System steht dem Service-Dienstleister dann auch bei unzureichender Absicherung und nicht vorhandener Segmentierung des Netzwerkes mehr oder weniger das gesamte Netz seines Kunden offen. Dies gilt besonders, wenn im IoT-Endgerät oder der Maschine eine LTE-Komponente verbaut ist; man kann dann die Kommunikation nach außen kaum unterbinden. Das gezielte Scannen und Stören von Funkverbindungen, das hier gelegentlich vorgeschlagen wird, ist jedenfalls klar verboten.

Vielfach werden in IoT-Lösungen technische Komponenten verwendet, die über keine oder nur unzureichende Schutzmechanismen verfügen. Sie verwenden zum Beispiel eine unsichere Hard- und Software-Architektur oder unsichere Kommunikationsprotokolle und lassen sich nicht aktualisieren. Die Hersteller und Anlagenbauer sind nicht für das Thema IoT-/OT-Security sensibilisiert. Wenn etwa Bauteile in der Klimatechnik oder in Brandmeldeanlagen nicht geschützt sind, so können Angreifer die Raumtemperatur oder Luftfeuchtigkeit verändern, was in einem Rechenzentrum katastrophale Folgen haben kann. Das Beispiel Rechenzentrum zeigt deutlich die ungeklärten Zuständigkeiten für Security in Unternehmen. Die Server und Anwendungen im Rechenzentrum werden von der IT meist nach Sicherheitsvorgaben betrieben, das RZ selbst mit allen Non-IT-Komponenten liegt aber in einer anderen Zuständigkeit und unterliegt keinen exakten Vorgaben für Security.

Auch Logistik ist betroffen

Ein bevorzugtes Ziel für Angreifer sind auch IoT-Systeme in der Logistik. Hier werden mobile Verbindungen verwendet, wobei mittlerweile nicht nur LKWs mit entsprechenden Systemen ausgestattet sind, sondern auch Container oder sogar einzelne Paletten. Die IoT-Logistik-Sensoren müssen aufgrund der hohen Stückzahl und dem Preisdruck in der Logistik entsprechend günstig sein. Logistiker können damit eine Lieferkette sehr genau verfolgen, sie bieten Angreifern dadurch aber auch die Möglichkeit, Daten abzufangen oder zu verändern. Die IoT-Systeme laufen hier nicht in einem gesicherten Umfeld, sondern weit ab vom jeweiligen Unternehmen; man muss im Grunde nur am richtigen Ort mit einem Lesegerät sein, schon kann man auf die Daten zugreifen. Auf diese Weise kann man nicht nur detaillierte Informationen über Lieferketten erhalten, sondern sie bei Bedarf sogar lahmlegen.

Industrial Security

eBOOK

Industrial Security

Industrie 4.0 und die Vernetzung der Maschinen bringen Cyber-Risiken mit sich. Erfahren Sie im eBook, wie sich dich dagegen wappnen können. weiter...

Sicherung der IoT-Systeme

Die direkten Abwehrmöglichkeiten gegen derartige Angriffe sind im Nachhinein bei bestehenden Lösungen begrenzt. Wichtig ist vor allem, sich der durch IoT-/OT-Systeme entstehenden Risiken überhaupt erst einmal bewusst zu werden und sich nicht nur an deren Funktionalität zu erfreuen. Unternehmen sollten sich daher bei IoT-/OT-Projekten immer folgende Fragen stellen:

  • Welche IoT-/OT-Komponenten und -Systeme werden im eigenen Unternehmensnetzwerk verwendet? Welche IoT-/OT-Geräte sind unbekannt?
  • Welche Kommunikationsverbindungen haben diese untereinander und nach außen?
  • Sind von einzelnen Systemen auch andere zu erreichen, die im Normalfall keine Kommunikationsbeziehung untereinander haben? Lässt sich das durch Netzwerksegmentierung unterbinden?
  • Bestehen unkontrollierte Wartungszugänge?
  • Sind die Security-Funktionen der Produkte aktiviert und werden die Softwareversionen der Produkte regelmäßig auf Security-Schwachstellen geprüft?
  • Wer im Unternehmen ist für die Sicherheit der IoT-/OT-Systeme verantwortlich?
  • Besitzen die Verantwortlichen für diese Systeme aus z.B. Produktion, Logistik und Gebäudetechnik sicherheitstechnisches Know-how und Security Awareness?

Die Sicherung der IoT-Systeme eines Unternehmens ist keine einmalige Aufgabe. Die Technologien rund um IoT und OT entwickeln sich rasant weiter und die IT-Sicherheit muss darauf flexibel reagieren können. Wichtig ist, dass IoT fest in der unternehmensweiten Cyber-Defense-Strategie verankert ist.

Dieser Beitrag stammt von unserem Partnerportal Industry of Things.

Worauf man bei der Zertifizierung von IoT-Produkten achten muss

IoT-Sicherheitszertifizierungen

Worauf man bei der Zertifizierung von IoT-Produkten achten muss

15.08.19 - Gerade im Bereich Sicherheit fehlen Anwendern viele Informationen bei Lösungen im Internet of Things. Doch es gibt bereits eine Reihe von Standards und Zertifizierungen für das IoT, weitere werden hinzukommen. Wir geben einen Überblick und sagen, worauf es ankommt. lesen

Kommentare werden geladen....

Kommentar zu diesem Artikel

Der Kommentar wird durch einen Redakteur geprüft und in Kürze freigeschaltet.

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Kontaktieren Sie uns über: support.vogel.de/ (ID: 46124830 / Internet of Things)