vege - Fotolia
Dem Sicherheitsrisiko Schatten-IoT richtig begegnen
Das IoT erlaubt intelligente Produktionsanlagen und automatische Kommunikation, doch es bietet neue Angriffspunkte für Kriminelle. Oftmals in verborgenen Bereichen des Netzwerks.
Die Anzahl der IoT-Geräte wächst und wächst: Experten rechnen mit rund 75 Milliarden vernetzten Geräten bis 2025. Die Gründe dafür sind so vielfältig, wie einfach. Der gesamte Gedanke einer „Industrie 4.0“ fußt auf dem Internet-of-Things (IoT), also der intelligenten Vernetzung von Systemen zum Austausch von Informationen.
Vernetzte Geräte können jedoch sehr schnell vom Segen zum Fluch werden, denn jedes Gerät, das mit dem Internet verbunden ist, wird zu einem potentiellen Einfallstor für Angreifer.
Umso wichtiger ist es, seine Geräte angemessen vor möglichen Angriffen zu schützen. Diese Tatsache ist als Gedankengut allerdings noch nicht so weit verbreitet wie die Geräte selbst – obwohl laut Kaspersky die Angriffe auf IoT-Geräte zunehmen.
Noch gefährlicher als ein Einfallstor, welches unzureichend geschützt wird, ist aber eines, von dem niemand weiß, dass es im eigenen Netzwerk existiert. IoT-Geräte, die ohne Wissen der zuständigen IT-Sicherheitsabteilung sich im Firmennetzwerk befinden, bezeichnet man als Schatten-IoT (Shadow-IoT).
Die hohe Dunkelziffer
Laut einer aktuellen Studie von Dimension Data geben rund 90 Prozent der befragten Unternehmen an, Schatten-IoT-Geräte im eigenen Betrieb zu vermuten. 44 Prozent berichten sogar, die eigenen Chief Information Security Officer (CISO) im Vorstand wüssten nur von etwa der Hälfte aller IoT-Geräte im Unternehmen. Diese Zahlen sind insofern erschreckend, dass unbekannte Infrastrukturen natürlich weder umfassend gesichert sind noch regelmäßig aktualisiert werden. Somit stellt jedes dieser Geräte eine kritische Lücke im Sicherheitskonzept eines Unternehmens dar.
Gelingt es Cyberkriminellen, sich Zugang zu verschaffen, sind sie in der Lage, das Gerät abzuschalten, zu beschädigen, zu manipulieren oder weitere Geräte im gleichen Netzwerk zu infizieren. Je nach Anwendungsbereich, zum Beispiel in der industriellen Produktion oder in der Medizintechnik, stehen dabei große finanzielle Schäden auf dem Spiel – im schlimmsten Fall sogar Menschenleben.
Wissen bringt Sicherheit
Der erste Schritt zur Vermeidung von Schatten-IoT ist klar: Aufklärung. Viele Softwarelösungen ermöglichen diese automatisch. Dabei werden die Netzwerke durchsucht und entsprechende Geräte mit Metainformationen versehen, wie Gerätetyp, Hersteller, Firmware-Version und MAC-Adresse.
Sobald die Geräte initial identifiziert wurden, können sie gesichert und ihr Verhalten im Netzwerk überwacht werden. Dabei wird der „normale Datenverkehr“ innerhalb eines Netzwerks analysiert und auf Anomalien überprüft. Infizierte Geräte können dann manuell oder automatisch direkt isoliert werden, um den Schaden in Grenzen zu halten.
„Um die Gefahr allgemein zu senken, die vom Schatten-IoT ausgeht, müssen diese Geräte selbst schon ab Werk sicherer gebaut werden.“
Christine Schönig, Check Point
Automatisierte Lösungen sind sogar sehr einfach zu implementieren, oft Cloud-basiert und belasten somit das Unternehmensnetzwerk lediglich minimal. Im Idealfall sind sie Teil einer kompletten IT-Sicherheitsarchitektur, die über eine zentrale Plattform und Konsole sämtliche der angebundenen Sicherheitslösungen steuert und überwacht.
Eine zusätzlich angeschlossene Threat-Intelligence-Cloud, die Bedrohungsdaten über aktuelle Attacken aus aller Welt sammelt und in Echtzeit an die Architektur übermittelt, runden solche Konzepte ab.
IoT-Geräte an sich müssen sicherer werden
Um die Gefahr allgemein zu senken, die vom Schatten-IoT ausgeht, müssen diese Geräte selbst schon ab Werk sicherer gebaut werden. Das liegt im Interesse aller Unternehmen und Nutzer, die selbstverständlich ein Produkt kaufen möchten, dass so sicher gestaltet wurde, wie nur irgendwie möglich.
Mehr Sicherheit schafft außerdem nicht nur mehr Vertrauen, sie könnte bald auch gesetzlich vorgeschrieben sein. Wegen des rapiden Zuwachses von IoT-Geräten schicken sich einige Behörden an, mit der technologischen Entwicklung endlich Schritt zu halten.
Viele Experten fordern seit Jahren feste Normen und Richtlinien bei der Konzeption und Produktion dieser vernetzten Geräte, sowie regelmäßige Überprüfungen von unabhängiger Seite, sobald sie im Einsatz sind. Diese Forderungen schwappen allmählich auf die Behörden über und es entsteht Widerhall.
Wie Fahrzeuge mit Sicherheitsgurten und Airbags ausgerüstet sein müssen, so sollten auch IoT-Geräte mit standardisierten Sicherheitsprotokollen und -mechanismen versehen werden. In der Europäischen Union wurde hinsichtlich dieser Bestrebungen daher der Cybersecurity Act im Juni 2019 verabschiedet, der diese Normierung und Standardisierung zum Ziel hat.
Dadurch würde die Gefahr eines virtuellen Angriffes, der IoT-Geräte als Einfallstor in Unternehmen missbraucht, drastisch sinken – sogar dann, wenn es sich um Schatten-IoT-Geräte handelte, weil diese dann ab Werk besser gerüstet wären.
Die Autoren sind für den Inhalt und die Richtigkeit ihrer Beiträge selbst verantwortlich. Die dargelegten Meinungen geben die Ansichten der Autoren wieder.
