Das IoT – ein weithin unterschätzter Risikofaktor

Der Grund für den Erfolg der Hackerangriffe auf IoT-Endgeräte liegt im Wesentlichen in deren schlechter Absicherung. Es ist zwingend notwendig die Datensicherheit des Internets der Dinge auszubauen.

Weltweit ist das Internet of Things (IoT) auf dem Vormarsch. 1995 waren rund 200 Millionen Endgeräte an das Internet angeschlossen. Zehn Jahre später hatte sich deren Zahl bereits auf eine Milliarde erhöht – eine Verfünffachung. Mittlerweile sind nun bereits 10 Milliarden Endgeräte online gegangen und ein Ende ist nicht abzusehen. Hat das Zeitalter des Internet der Dinge doch eben erst begonnen. Einer Studie von McKinsey aus dem Jahr 2015 zufolge, wird das IoT bis 2025 weltweit einen wirtschaftlichen Mehrwert von elf Billionen Dollar eingefahren haben. Doch ist dazu eines zwingend erforderlich: Vertrauen in die Technik. Ein Ausbau der Datensicherheit des IoT ist deshalb unerlässlich. Gerade hier steht das Internet of Things aber noch ganz am Anfang.

Das Internet der Dinge – ein beliebtes Angriffsziel von Hackern

Im Oktober 2016 kaperten Hacker eine gewaltige Zahl ungesicherter IoT-Endgeräte, um sich ein riesiges Bot-Netz aufzubauen. Über dieses starteten sie dann eine Distributed-Denial-of-Service-Attacke (DDoS) auf US-Online-Dienste – darunter so bekannte Namen wie Amazon, Paypal, Netflix, Spotify und Twitter. Vorübergehend waren ihre Seiten und Dienstleistungen für Kunden aus den USA und Europa nur noch eingeschränkt nutzbar – mit entsprechendem wirtschaftlichem Schaden für das betroffene Unternehmen. Dieser Angriff ist kein Einzelfall. So ermittelte die International Data Corporation (IDC) 2016 in einer Studie, dass mittlerweile jedes vierte Unternehmen, das IoT-Produkte anbietet, mindestens einmal Opfer eines solchen Angriffs geworden ist.

Sicherheit steht bei bei IoT-Software nicht im Fokus

Der Grund für den Erfolg der Hackerangriffe auf IoT-Endgeräte liegt im Wesentlichen in deren schlechter Absicherung. Hier sieht auch Udo Kalinna, Geschäftsführer des deutschen IT-Sicherheitsdienstleisters IFASEC, die derzeit größte Schwachstelle der IoT-Technologie. Software sei häufig schlecht programmiert, an Sicherungen vor Hackerangriffen meist gar nicht gedacht worden. Die häufigsten Einfallstore sind deshalb die Endgeräte selbst, gefolgt von Apps auf dem mobilen Gerät, dem Backend und den Übertragungswegen. Entsprechend schwer gestaltet sich für die IT-Sicherheitsabteilung eines Unternehmens die Absicherung des firmeneigenen IoT. So ermittelten ForeScout und Quocirca 2016 in einer Studie, dass 65% der IT-Sicherheitsexperten sich nicht sicher seien, ob sie das IoT ihres Unternehmens voll unter Kontrolle hätten.

Nur 12% der befragten Unternehmen gaben an, überhaupt über spezialisierte IoT-Sicherheitsexperten zu verfügen. Und nur 33% der Unternehmen erklärten, eine eigene IoT-Sicherheitspolitik entwickelt zu haben. Der bereits erwähnten IDC-Studie zufolge sehen die befragten Firmen die Bewältigung des Datenschutzes und der Datensicherheit als größte Herausforderung ihrer kommenden IoT-Projekte. Auch deshalb sind Anbieter dieser Technologie mehr denn je gefordert, sicherere Produkte zu entwerfen. Doch räumen die meisten von ihnen dem Thema IT-Sicherheit immer noch nur wenig Platz ein. Wirklichen Schutz müssen IoT-Anwender deshalb an anderer Stelle suchen.

Zusätzlicher Schutz ist erforderlich

Neben Firewall und Antivirenschutz ist es vor allem wichtig, dass Unternehmen wissen, wer sich in ihrem Netzwerk befindet, welche Verbindungen Geräte eingehen und welche Aktionen innerhalb des Netzwerks ausgeführt werden. Eine Software zur Bewältigung dieser Aufgabe hat IFASEC mit SCUDOS vorgelegt. Das Programm erkennt selbständig die Infrastruktur eines Netzwerkes. Veränderungen, wie zugeschaltete Endgeräte, werden augenblicklich angezeigt. Die Transparenz des Netzwerkes wird so wesentlich erhöht. Es steht mit der übrigen Sicherheitsarchitektur im Datenaustausch und kann eingehende Informationen, dank einer Metaebenen-Lösung, homogenisieren und auf einen einheitlichen Standard bringen. Monitoring, Reporting und Verwaltungsprozesse werden so wesentlich erleichtert. Und schließlich leistet es auch beim Schutz des Netzwerks wertvolle Dienste. Sein Meldesystem und seine automatischen Funktionen verkürzen die Reaktionszeit der Sicherheitsarchitektur merklich. Der eingangs erwähnte Bot-Netz-Angriff vom vergangenen Jahr, mit SCUDOS hätte er rechtzeitig erkannt und verhindert werden können.

www.ifasec.de