IoT-Sicherheit – Wer trägt die Verantwortung?

Viele sehen Menschen noch als das schwächste Glied in der Sicherheit, aber die Realität ist, dass ein ganzes Ökosystem verwundbar sein kann. IoT, mit seiner nahezu vollständigen Automatisierung, wird oft fälschlicherweise als sicher angenommen. Diese Annahme ist gefährlich: Nichts im Cyberspace ist inhärent sicher.

IoT-Geräte sind ein Magnet für Cyberkriminelle, und die Bedrohungslandschaft expandiert 15 % jährlich auf geschätzte 20 Milliarden Einheiten, laut IHS Markit. Zum Kontext: Globale Mobile Subscriptions toppen 4,9 Milliarden per GSMA. Die schiere Skala von IoT übertrifft P2P-Mobilverbindungen bei weitem und verstärkt sein Breach-Potenzial, merkt Sanjay Khatri, Global Director of Product Marketing bei Cisco IoT, an.

Die Wertschöpfungskette ist lang und komplex – jedes Glied ist essenziell, doch interdependent, und jedes repräsentiert eine potenzielle Verwundbarkeit. Kein einzelner Vendor kann jede Lücke adressieren, daher braucht IoT-Sicherheit wirklich ein Dorf.

Das IoT-Sicherheitsdorf bauen

Gerätehersteller – oft Spezialisten für Kommunikationsmodule oder Sensoren – sind das sichtbarste Glied. Sie sind nicht unbedingt die Hersteller der „Dinge“ selbst, aber sie ermöglichen Konnektivität. Verantwortung zuzuweisen ist kritisch: Die Partei mit technischer Kontrolle kann von dem abweichen, was Endnutzer als verantwortlich wahrnehmen. Letztlich trägt das endnutzerzugewandte Unternehmen die Verantwortung, da es Konsequenzen trägt, wenn ein Breach auftritt.

Hardware-Anbieter mögen als verantwortlich angesehen werden, doch Software ist häufig die Schwachstelle. Entwickler müssen strikte Authentifizierungskontrollen einbetten, und IoT-Software muss Betrugserkennung und -prävention integrieren, um sowohl Gerät als auch Daten zu schützen.

Netzwerk-Level-Schwachstellen entstehen überall dort, wo Geräte das Internet erreichen – via Cellular, Wi-Fi, Bluetooth, LPWAN oder Satellit. Cellular bietet bereits eine Baseline an Sicherheit mit globalen Standards, Ciphering Keys und SIM-basierter Verschlüsselung und kann Geräte-Traffic in private Netzwerke segregieren. Andere drahtlose Protokolle erfordern zusätzliche Safeguards.

Cloud-Plattform-Anbieter – wie IBM, Microsoft und Salesforce – spielen eine zentrale Rolle. Sie sichern im Cloud gespeicherte Daten und managen, überwachen und schützen Gerätekonnektivität.

Das Gerät sichern

Risiko variiert mit Use Case. Geräteschutz erfordert Schichten: Authentifizierung, Benutzer- und Applikationszugriffskontrolle, Lebenszyklusmanagement und Datenverschlüsselung. Kosten-Nutzen-Abwägungen werden bei Deployment Tausender Einheiten ausgeprägt, und Datensensitivitätslevel differieren. Zu wissen, welche Geräte im Einsatz sind und welche Daten sie sammeln, ist der erste Schritt zu einer maßgeschneiderten Sicherheitsstrategie.

Netzwerk- und Datenschutz

Wenn Geräte als Gateways agieren, wird das Netzwerk zur Autobahn, die Daten zu Cloud-Services trägt. Diesen Kanal zu schützen ist so vital wie das Sichern der Endpunkte, da jede Netzwerkschicht Eintrittspunkte für Angreifer einführt. Die Wahl von Wireless (Wi-Fi, Cellular) oder verkabelter Konnektivität diktiert die erforderlichen Sicherheitsprotokolle. Daten im Transit verschlüsseln, in privaten Netzwerken isolieren und Netzwerkauthentifizierung erzwingen, um Geräte und Applikationen zu verifizieren und zu autorisieren.

Cloud-Abdeckung

IoTs Kern basiert auf sicheren Links zur Cloud, daher ist robuste Cloud-Sicherheit nicht verhandelbar. Organisationen sollten digitale Kontrollen mit physischen Safeguards kombinieren und Standards wie ISO/IEC 27001 einhalten, um ein solides Informationssicherheitsfundament zu bilden.

Jenseits der Umgebung sind granulare Kontrollen – rollenbasierter Zugriff und Anomalieerkennung – essenziell für IoT-Applikationen. Identity Management und Access Control Lists müssen den richtigen Leuten die richtigen Permissions gewähren, während Anomalieerkennung der Plattform erlaubt, verdächtiges Verhalten zu erkennen und Remediation zu automatisieren.

Die IoT-Sicherheits-Checkliste

IoT-Wachstum ist massiv, und mit Chance kommt Risiko. Ein ganzheitlicher, dorfartiger Ansatz ist essenziell, wenn auch herausfordernd. Um Ihre Strategie zu schärfen, fokussieren Sie auf:

• End-to-End-Identifikation und Authentifizierung für jede Entität im IoT-Service (Gateways, Endpunktgeräte, Heimnetzwerke, Roaming-Netzwerke, Service-Plattformen).
• Verschlüsselung aller Nutzerdaten, die zwischen Geräten und Backend-Servern ausgetauscht werden.
• Compliance mit lokalen Datenschutz- und Datenschutzgesetzen beim Umgang mit persönlichen oder regulierten Daten.
• Einsatz einer IoT-Konnektivitätsmanagement-Plattform mit regelbasierten Sicherheitsrichtlinien, die bei anomalem Verhalten sofortige Aktionen auslösen.
• Ein ganzheitlicher, netzwerkweiter Sicherheitsansatz.

Autor dieses Blogs ist Sanjay Khatri, Global Director of Product Marketing, Cisco IoT.