Bewertung der Reichweite aktueller IoT-Sicherheitsregulierungen

Regierungen weltweit haben regulatorische Maßnahmen zur Verschärfung der IoT-Sicherheit beschleunigt und signalisieren damit einen reifenden Markt. Doch die Governance der IoT-Landschaft ist komplex. Jedes Gesetz unterscheidet sich, und seine Wirksamkeit wird künftige Politik leiten. Wie Ken Munro, Partner bei Pen Test Partners, erklärt, liegt das wahre Maß darin, wie gut diese Regeln angenommen werden, wo sie erfolgreich sind und wo sie versagen.

1. IoT Cybersecurity Improvement Act of 2017 (USA)
   Entwickelt zur Absicherung von Geräten, die von US-Bundesbehörden genutzt werden, verlangt der Act, dass Geräte keine bekannten Schwachstellen aus der NIST-Datenbank enthalten, Over-the-Air-Updates unterstützen, feste oder hardcodierte Anmeldedaten für die Fernverwaltung verwenden und Schwachstellen zeitnah offenlegen und beheben. Der Fokus auf NIST-Einträge kann jedoch gängige Fehler wie SQL-Injection in kundenorientierten Apps übersehen. Auch RF-Protokolle, die ohne Anmeldedaten arbeiten, werden nicht berücksichtigt, was eine Neugestaltung dieser Geräte erzwingt. Der Act ist noch nicht in Kraft getreten; weitere Gesetze – Smart IoT Act, DIGIT Act, Security IoT Act, Cyber Shield Act, IoT Consumer TIPS Act – sind in Prüfung.
2. Cybersecurity Act (EU)
   Seit Mai 2018 in Kraft, benennt diese Gesetzgebung ENISA als EU-Cybersicherheitsbehörde und schafft einen freiwilligen Zertifizierungsrahmen für vernetzte Autos und smarte Produkte in allen Mitgliedstaaten. Der Act gilt nur für Kritische Nationale Infrastrukturen. Hersteller können eine Einstufung als „basic“, „substantial“ oder „high“ beantragen. Geräte der „basic“-Stufe dürfen eigene Konformitätstests durchführen, während ENISA Warnungen zur Sicherheitsverbesserung aussprechen kann. Durchsetzungsmechanismen sind nicht spezifiziert, und die Pflicht zu Updates oder verpflichtender Schwachstellenoffenlegung bleibt optional. Der Act ermöglicht jedoch Whistleblowing und verantwortungsvolle Offenlegung in der gesamten Union.
3. SB‑327 (Kalifornien, USA)
   Im August 2018 verabschiedet, wurde Kalifornien zum ersten US-Bundesstaat, der Smart-Technologie reguliert. Das Gesetz setzt Basissicherheitsstandards für Verbrauchergeräte, wirksam ab Januar 2020. Doch die Formulierung – „angemessene Sicherheit zum Schutz“ – ist vage und erlaubt Herstellern, Absicht vorzutäuschen, ohne substantielle Schutzmaßnahmen. Eindeutige Passwörter sind vorgeschrieben, aber Entropiequellen nicht adressiert. Händler sind ausgenommen, was den Markt vor Inkrafttreten mit nicht-konformen Geräten fluten könnte. Keine Update-Support-Pflicht ist enthalten.
4. Code of Practice for Consumer IoT Security (UK)
   Vom Department for Digital, Culture, Media and Sport (DCMS) herausgegeben und GDPR einbeziehend, gibt dieser freiwillige Code Leitlinien für Hersteller, App-Entwickler, Dienstanbieter und Händler. Er verbietet Standardpasswörter, verlangt sichere Speicherung von Anmeldedaten und sensiblen Daten und fördert Software-Updates. Zwar wird eine Schwachstellenoffenlegungspolitik empfohlen, aber Hersteller werden nicht zu Fixes verpflichtet. Dennoch markiert er einen bedeutenden positiven Schritt für Consumer-IoT-Sicherheit.

Der vorherrschende Ansatz tendiert zu weicher Regulierung, was die Frage der freiwilligen Compliance aufwirft. IoT-Anbieter stehen unter enormem Marktdruck; freiwillige Einhaltung würde klare Vorteile oder Konsequenzen erfordern. Marktdruck könnte dadurch ausgeübt werden, dass Verbrauchern das Recht eingeräumt wird, verwundbare Smart-Goods unter Handelsstandards für Gutschrift zurückzugeben, Händler dazu zu bewegen, nur konforme Geräte zu führen, und Hersteller zu motivieren, Klassifizierungssystemen beizutreten und ihre Produkte testen zu lassen.

Es ist noch zu früh, die Auswirkungen von Selbstregulierung zu beurteilen. Dass Gesetzgebung sich setzt und die Industrie sich anpasst, wird klären, ob zusätzliche sanktionsbewehrte Maßnahmen notwendig sind.

Ken Munro, Partner bei Pen Test Partners, berät regelmäßig britische und US-Regierungsabteilungen und sitzt in verschiedenen EU-Verbraucherräten zur IoT-Regulierung.