Sicherheit und IoT Neue Risiken durch IoT in Industriesystemen

Das Internet der Dinge ist insbesondere im Industrieumfeld eine noch junge Technologie. Daher steht bei der Entwicklung von IoT-Komponenten und OT-Lösungen (Operational Technologies) für viele Unternehmen noch immer die Funktionalität im Vordergrund.

Anbieter zum Thema

Arvato Systems

TXOne Networks

Keeper Security EMEA Ltd.

NTT Security (Germany) GmbH

NTT Security (Germany) GmbH

Die Produktentwicklung hat genug damit zu tun, die neuen Kommunikationstechniken, das komplizierte Zusammenspiel von Sensoren, Aktoren und PLCs (Programmable Logic Controller), in den Griff zu bekommen. Wichtig ist, dass die Produkte und Lösungen funktional laufen – Sicherheitsaspekte sind, wenn überhaupt, nur ein Randthema.

Doch das IoT birgt nicht nur neue Möglichkeiten, sondern auch neue Risiken. Die Verbindung technischer Systeme mit dem Firmennetzwerk und dem Internet über standardisierte Kommunikationsschnittstellen erlaubt eine umfassende Kontrolle und Steuerung dieser Systeme. Allerdings nicht nur für berechtigte Nutzer, sondern bei unzureichender Absicherung auch für Angreifer. Diese können dabei nicht nur Informationen gewinnen, sie können auch die Steuerung der betreffenden Systeme übernehmen und sogar Fehlfunktionen auslösen. Man kann sich entsprechende Schadensszenarien leicht ausmalen; erst recht, wenn IoT auch in kritischen Infrastrukturen zum Einsatz kommt, beispielsweise in der Strom- und Wasserversorgung.

Trojanische Pferde des 21. Jahrhunderts

Warum werden IoT-Geräte nicht einfach sicher?

Angriffe auf IoT-Systeme

Neue Risiken, das bedeutet konkret neue Angriffspunkte. Der einfachste ist der direkte Zugriff auf Anlagen. So erhalten externe Service-Unternehmen oft für Wartungsarbeiten einen Zugriff auf die Steuerung von Anlagen und Maschinen, mitunter verschaffen sie ihn sich auch selbst, indem sie zur Erfüllung von Wartungsverträgen entsprechende Bauteile implementieren. Das muss nicht in böser Absicht geschehen, aber über diese Verbindungen ist der unkontrollierte Zugriff auf Steuersysteme von extern möglich und per "Hopping" von System zu System steht dem Service-Dienstleister dann auch bei unzureichender Absicherung und nicht vorhandener Segmentierung des Netzwerkes mehr oder weniger das gesamte Netz seines Kunden offen. Dies gilt besonders, wenn im IoT-Endgerät oder der Maschine eine LTE-Komponente verbaut ist; man kann dann die Kommunikation nach außen kaum unterbinden. Das gezielte Scannen und Stören von Funkverbindungen, das hier gelegentlich vorgeschlagen wird, ist jedenfalls klar verboten.

Vielfach werden in IoT-Lösungen technische Komponenten verwendet, die über keine oder nur unzureichende Schutzmechanismen verfügen. Sie verwenden zum Beispiel eine unsichere Hard- und Software-Architektur oder unsichere Kommunikationsprotokolle und lassen sich nicht aktualisieren. Die Hersteller und Anlagenbauer sind nicht für das Thema IoT-/OT-Security sensibilisiert. Wenn etwa Bauteile in der Klimatechnik oder in Brandmeldeanlagen nicht geschützt sind, so können Angreifer die Raumtemperatur oder Luftfeuchtigkeit verändern, was in einem Rechenzentrum katastrophale Folgen haben kann. Das Beispiel Rechenzentrum zeigt deutlich die ungeklärten Zuständigkeiten für Security in Unternehmen. Die Server und Anwendungen im Rechenzentrum werden von der IT meist nach Sicherheitsvorgaben betrieben, das RZ selbst mit allen Non-IT-Komponenten liegt aber in einer anderen Zuständigkeit und unterliegt keinen exakten Vorgaben für Security.

Auch Logistik ist betroffen

Ein bevorzugtes Ziel für Angreifer sind auch IoT-Systeme in der Logistik. Hier werden mobile Verbindungen verwendet, wobei mittlerweile nicht nur LKWs mit entsprechenden Systemen ausgestattet sind, sondern auch Container oder sogar einzelne Paletten. Die IoT-Logistik-Sensoren müssen aufgrund der hohen Stückzahl und dem Preisdruck in der Logistik entsprechend günstig sein. Logistiker können damit eine Lieferkette sehr genau verfolgen, sie bieten Angreifern dadurch aber auch die Möglichkeit, Daten abzufangen oder zu verändern. Die IoT-Systeme laufen hier nicht in einem gesicherten Umfeld, sondern weit ab vom jeweiligen Unternehmen; man muss im Grunde nur am richtigen Ort mit einem Lesegerät sein, schon kann man auf die Daten zugreifen. Auf diese Weise kann man nicht nur detaillierte Informationen über Lieferketten erhalten, sondern sie bei Bedarf sogar lahmlegen.

Sicherung der IoT-Systeme

Die direkten Abwehrmöglichkeiten gegen derartige Angriffe sind im Nachhinein bei bestehenden Lösungen begrenzt. Wichtig ist vor allem, sich der durch IoT-/OT-Systeme entstehenden Risiken überhaupt erst einmal bewusst zu werden und sich nicht nur an deren Funktionalität zu erfreuen. Unternehmen sollten sich daher bei IoT-/OT-Projekten immer folgende Fragen stellen:

• Welche IoT-/OT-Komponenten und -Systeme werden im eigenen Unternehmensnetzwerk verwendet? Welche IoT-/OT-Geräte sind unbekannt?

• Welche Kommunikationsverbindungen haben diese untereinander und nach außen?

• Sind von einzelnen Systemen auch andere zu erreichen, die im Normalfall keine Kommunikationsbeziehung untereinander haben? Lässt sich das durch Netzwerksegmentierung unterbinden?

• Bestehen unkontrollierte Wartungszugänge?

• Sind die Security-Funktionen der Produkte aktiviert und werden die Softwareversionen der Produkte regelmäßig auf Security-Schwachstellen geprüft?

• Wer im Unternehmen ist für die Sicherheit der IoT-/OT-Systeme verantwortlich?

• Besitzen die Verantwortlichen für diese Systeme aus z.B. Produktion, Logistik und Gebäudetechnik sicherheitstechnisches Know-how und Security Awareness?

Die Sicherung der IoT-Systeme eines Unternehmens ist keine einmalige Aufgabe. Die Technologien rund um IoT und OT entwickeln sich rasant weiter und die IT-Sicherheit muss darauf flexibel reagieren können. Wichtig ist, dass IoT fest in der unternehmensweiten Cyber-Defense-Strategie verankert ist.

Dieser Beitrag stammt von unserem Partnerportal Industry of Things.

IoT-Sicherheitszertifizierungen

Worauf man bei der Zertifizierung von IoT-Produkten achten muss

(ID:46124830)