Wie der IoT Cybersecurity Improvement Act die Zukunft vernetzter Geräte formt – Was Unternehmen wissen müssen

Wie der IoT Cybersecurity Improvement Act die Zukunft vernetzter Geräte formt – Was Unternehmen wissen müssen

Sicherheitsbedenken haben in Diskussionen über das Internet of Things (IoT) Center Stage eingenommen. Eine aktuelle Umfrage ergab, dass nahezu 50 % der US-Unternehmen, die IoT-Netze nutzen, einen Sicherheitsverstoß erlitten haben. Die hohe Frequenz von Vorfällen half, den IoT Cybersecurity Improvement Act of 2017 anzustoßen, ein Bundesgesetz, das primär auf Vendors abzielt, die Regierungsaufträge suchen, aber de-facto-Standards für die gesamte Industrie setzen könnte.

Das Ziel des Acts ist simpel: Minimale Cybersicherheits-Betriebsstandards für jedes internetverbundene Gerät zu etablieren, das eine Bundesbehörde kauft oder nutzt. Unter dem Vorschlag müssen Vendors mehrere Anforderungen erfüllen, bevor sie an die Regierung verkaufen können:

• Geräte müssen frei von bekannten Schwachstellen und Defekten sein.
• Geräte müssen regelmäßige, automatisierte Software-Updates unterstützen.
• Geräte dürfen keine festen oder hardcodierten Credentials für Remote-Administration, Update-Delivery oder Kommunikation enthalten.

Da IoT-Geräte auch in privaten Netzen allgegenwärtig sind, erwarten Regulatoren und Branchenführer, dass ähnliche Regeln jenseits der Bundesbeschaffung adoptiert werden könnten. Die Einsätze sind hoch: Ted Koppel warnte, dass ein IoT-Angriff auf das US-Stromnetz einen landesweiten Ausfall auslösen könnte, und israelische Forscher demonstrierten, dass ein koordinierter Angriff auf „smarte Glühbirnen“ einen Stadtblock von Büros lahmlegen könnte.

Hochkarätige Breaches, wie der DDoS-Angriff auf DNS-Provider Dyn, der das Unternehmen Berichten zufolge 8 % seines Business kostete, illustrieren, wie verheerend IoT-zentrische Angriffe sein können. Auch während Erwartungen an Regulierung steigen, müssen Organisationen ihre eigenen Netze proaktiv sichern.

Schritte, die jedes Unternehmen unternehmen sollte

Traditionelle Sicherheitspraktiken – Patching, Firewalls, Anti-Spyware und Mitarbeitertraining – sind notwendig, aber nicht ausreichend gegen die einzigartigen Bedrohungen, die IoT mit sich bringt. Die Mischung aus Cloud-Infrastruktur und physisch verteilten Geräten verlangt ein frisches Sicherheits-Mindset. Hier sind konkrete Aktionen, die helfen können, sowohl gegen Angriffe zu verteidigen als auch mit künftiger Gesetzgebung in Einklang zu stehen:

• Geräte-Level-Keys verschlüsseln, damit jede Einheit individuell überwacht und gemanaged werden kann, statt auf ein einzelnes Gateway zu vertrauen.
• Separate Verschlüsselungsschlüssel für distinkte Funktionen ableiten (z. B. Authentifizierung, Datenverschlüsselung, Firmware-Updates).
• Regelmäßige Key-Rotation implementieren, um das Zeitfenster für ein kompromittiertes Gerät zu begrenzen.
• Zentrale Transparenz und Kontrolle etablieren, damit verdächtige Geräte sofort quarantäniert oder deaktiviert werden können.
• Hardware-basierte Sicherheitsmodule adoptieren, die manipulationsresistenten Schutz bieten, den Software allein nicht leisten kann – eine Strategie, die von Analyst Patrick Moorhead befürwortet wird.

Laut IDC wird globale Investition in IoT bis 2021 1,4 Billionen $ (1,17 Billionen €) erreichen. Bereits sind rund 25 Milliarden Geräte vernetzt, und eine Hewlett Packard Studie fand, dass 70–80 % unzureichende Verschlüsselung oder Passwortschutz aufweisen. Diese Lücken machen sie zu primären Zielen für sophistizierte Angriffe und unterstreichen die Dringlichkeit robuster Sicherheitsmaßnahmen.

Durch Adoption der obigen Schritte können Unternehmen resiliente IoT-Ökosysteme aufbauen, die sensible Daten schützen, kritische Infrastruktur bewahren und das volle wirtschaftliche Potenzial vernetzter Technologie freisetzen.

Autor: Amir Haleem, CEO von Helium