Was ist das Internet of Things?
Das Internet of Things (dt. Internet der Dinge, IoT) beschreibt eine Verknüpfung eindeutig identifizierbarer physischer Objekte in einer Internet-ähnlichen Struktur. Dabei bekommen Gegenstände eine eindeutige Identität, um untereinander kommunizieren zu können. So werden Informationen permanent überall verfügbar gemacht. Die industrielle Ausprägung dessen wird Industrial Internet of Things (dt. industrielles Internet der Dinge, IIoT) genannt und unterscheidet sich im Wesentlichen durch robustere Sensoren, die die Messung von industriellen Vorgängen ermöglichen. Damit sollen die betriebliche Effizienz verbessert und die Produktionskosten gesenkt werden. In unserem Whitepaper gehen wir noch detaillierter auf die Mehrwerte von IoT im industriellen Umfeld ein.
Probleme und Schwachstellen
Ein großes Problem im Zusammenhang mit dem Internet of Things ist, dass IT-Sicherheit meist erst nach der Einführung des Systems Thema wird. Allerdings birgt das agile Vorgehen bei Pilotprojekten das Risiko von Sicherheitslücken. Oft werden IT-Sicherheitsexperten erst nach der System-Implementation zu Rate gezogen und müssen dann vorhandene Schwachstellen flicken anstatt sie von vornherein auszuschließen. Ein weiteres Problem sind unzureichende Sicherheitstests bevor neue Geräte zur Unternehmensumgebung hinzugefügt werden. Das können zum einen Maschinen sein, deren System nicht ausreichend genug geschützt ist, aber zum Beispiel auch private Endgeräte (u. a. von Besuchern), die möglicherweise eine Schadsoftware enthalten.
Einfallstore für Hacker
Es gibt unterschiedliche Möglichkeiten und Wege, wie Hacker oder Dritte jeglicher Art, Einfallstore nutzen können. In erster Linie denkt man meist an den klassischen PC oder das Notebook. Oft vergessen werden dabei auch Apps, die im Hintergrund ins Netzwerk gehen, um Daten zu erfassen. Etwas mehr Beachtung finden dann wieder die unterschiedlichen Übertragungswege für Daten jeglicher Art. Idealerweise laufen die Daten für IoT nicht mit anderen Daten (bspw. Office-PC) im gleichen Netzwerk.
1. Einfallstor: Endgerät
Auf Endgeräten ergeben sich eine Vielzahl von Problemen. Zum einen können veraltete Betriebssysteme Sicherheitslücken aufweisen, die es Hackern leichtmachen, das Gerät mit Schadsoftware zu infizieren. So wird zum Beispiel trotz bekannter Sicherheitslücken und offiziellem Supportende in einigen Unternehmen nach wie vor Windows XP genutzt. Aber auch bei Softwareupdates ist Vorsicht geboten. Diese sollten vor der Installation stets gründlich durch eine IT-Abteilung überprüft werden, um etwaige Fehler und Probleme von vornherein auszuschließen.
Ein weiteres Problem sind private Endgeräte im Unternehmensnetzwerk, wie z. B. Smartphones oder Tablets. In diesem Zusammenhang ist auch die sogenannte „Schatten-IoT“ zu nennen. Sie bezeichnen Geräte, die unbeachtet im Netzwerk sind, wie zum Beispiel Fitnesstracker, Smart TVs oder Digitale Assistenten. Dies können auch Geräte von Gästen sein. Besonders gefährdet sind diese Geräte, wenn sie für Social Media oder Downloads genutzt werden. Abhilfe schaffen hier getrennte Netzwerke mit entsprechenden Sicherheitsstufen. Grundsätzlich sollten Gäste und Besucher über ein Gästenetzwerk ins Internet gehen, um so keinen Kontakt zu sensiblen Firmendaten aufzubauen.
In vielen Unternehmen gibt es heutzutage die Möglichkeit im Homeoffice zu nutzen. An der Stelle sollte unterschieden werden, mit welchen Geräten die Verbindung zum Unternehmen aufgebaut wird. Nutzt der Angestellte seinen privaten Rechner mit einem kostenfreien Viren- und Schadsoftware-Schutz, ist das Risiko etwas auszuspähen deutlich größer, als wenn der Angestellte sein Firmen-Notebook nutzt. Einfach zu merkende Passwörter oder oft das gleiche Passwort oder gar Standardpasswörter erhöhen das Risiko weiter.
Unsicher Passwörter und ein unzureichender Schadsoftware-Schutz können sowohl die vernetzte Fabrik als auch das smarte Zuhause betreffen. So kann zum Beispiel die smarte Glühlampe ein Einfallstor in Ihrem Zuhause sein, mit der sich Hacker einen Scherz erlauben. Was zu Hause unschön ist und nervt, kann für Unternehmen kritische Auswirkungen haben. Wird die Maschine der digitalen Fabrik gehackt, kann dies existenzielle Folgen haben.
Mangelnde Software-Updates und unsichere Passwörter bieten Hackern einfache Einfallstore
2. Einfallstor: App auf mobilem Gerät
Neben dem Endgerät selbst, können auch Anwendungen auf mobilen Geräten gefährlich werden. Betroffen sind dabei überwiegend Android-Geräte aber auch Apples Ablegen iOS bleibt nicht unverschont. Meist laden Schadprogramme nach deren Installation andere Apps („Dropper“) herunter, schalten exzessive Werbung oder schreiben Nachrichten an kostenpflichtige Nummern. In speziellen Fällen greifen sie Banking-Apps oder PayPal an und versenden so Geld direkt vom Konto oder spionieren Benutzerdaten aus. Betroffen sind häufig Spiele-Apps, die berechtigt oder unberechtigt auf Mikrofon, Kamera und Kontakte zugreifen. Dies kann bei Betriebstelefonen unter anderem zum Verlust sensibler Kundendaten führen. Aber auch infizierte Webseiten können Schadsoftware auf das mobile Gerät bringen (Phishing-Methode). Diese werden häufig über Nachrichten (z. B. E-Mails) mit einem vermeintlichen Link z. B. zu PayPal oder Ihrer Bank angeklickt. Dort wird dann aufgefordert ein „Zertifikat“ herunterzuladen. Aus diesem Grund sollten Betriebstelefone ausschließlich für betriebliche Zwecke genutzt werden.
3. Einfallstor: Backend der IoT-Lösung
Das Backend bezeichnet die Software zur IoT-Lösung. Bei älterer Software ohne Sicherheitsupdates können Sicherheitslücken entstehen, die zu Datenlecks führen. Deshalb sollte das System regelmäßig gewartet werden. Das gilt auch für Server und Cloud-Lösungen. Es ist nicht davon auszugehen, dass eine einmal eingeführte IoT-Lösung dauerhaft wartungsfrei läuft. Die Aktualisierung und der regelmäßige Austausch der Sicherheitszertifikate gehört hier mit dazu.
4. Einfallstor: Übertragungswege
Die Übertragungswege sind die Wege der Sensordaten von IoT-Systemen zur zugehörigen Software. Läuft die IoT-Lösung im normalen Unternehmensnetzwerk, können Hacker über weniger geschützte Geräte (siehe Punkt 1, z. B. Gäste-Laptop) ins Netzwerk und darüber an die IoT-Daten gelangen. Deshalb sollten IoT-Lösungen immer in einem eigenen Netzwerk laufen. Auch in der Kommunikation zwischen Maschinen kann es, wenn Hacker ins Netzwerk eindringen, zu Manipulationen kommen. So kann die Steuerung der Maschinen übernommen oder die Datenübertragung verfälscht werden. Das populärste Kommunikationsprotokoll des IoT ist MQTT (Message Queue Telemetry Transport). Dieses bindet das IoT Gerät mittels Publish-Subscribe-Kommunikation an die Backend Plattform. Durch Abhören des Informationsaustausches werden Spionage und Sabotage ermöglicht, was das Unternehmensimage nachhaltig schwächen kann.
Maßnahmen für die IoT-Sicherheit
Zuerst sollte der Überblick über die gesamte IT-Infrastruktur immer aktuell gehalten werden. Jedes Gerät, das mit dem Unternehmensnetzwerk verbunden ist, muss bekannt sein. Ein System zur Inventarisierung kann hier helfen, da bei der Inventur von Hand häufig mit veralteten Daten gearbeitet wird.
Des Weiteren sollten alle Systeme und Geräte permanent auf Schwachstellen untersucht werden. Eine interne IT-Abteilung kann helfen diese aufzuspüren und zu beseitigen sowie alle Geräte immer auf dem neuesten Stand zu halten. Es empfiehlt sich diese durch einen externen Sicherheitsberater zu ergänzen. Sollten Geräte erkannt werden, die Schwachstellen aufweisen, die nicht gepatcht werden können (d. h. das Sicherheitslücken nicht im Rahmen eines Updates geschlossen werden können), sollten diese vom Produktionsnetzwerk abgetrennt werden.
Eine effektive Möglichkeit, um sich auf mögliche Hackerangriffe vorzubereiten, sind Angriffssimulationen durchzuspielen und das Sicherheitsbetriebszentrum auf solche vorzubereiten. So können Sie regelmäßig ohne Druck verschiedene Situationen direkt in der Anlage schulen.
Der wohl wichtigste Punkt ist es die Mitarbeiter immer wieder zu sensibilisieren. Diese stellen die größte Angriffsfläche für die Sicherheit dar. Deshalb sollten regelmäßig sicherheitsspezifische Themen im Rahmen von Workshops, Seminaren, Schulungen usw. vermittelt und die Risiken aufgezeigt werden. Wichtig ist zu betonen, dass die Weitergabe von Daten eine große Gefahr darstellt. Passwörter sollten nicht geteilt oder weitergegeben werden. Auch von einer Wiederverwendung von Passwörtern ist abzuraten. IT-Sicherheit sollte die Unternehmenskultur von Grund auf prägen.
Bausteine:
- Verschlüsselung zum Schutz vertraulicher Daten
- Sicherheitsanalysen um fortschrittliche Attacken zu erkennen und zu bekämpfen
- Netzwerksicherheit / Geräteauthentifizierung um Einfallstore zu schließen
