UK IoT-Sicherheitsverordnung befähigt Verbraucher, sicherere vernetzte Geräte zu fordern

Die britische Regierung treibt einen umfassenden regulatorischen Rahmen für Internet-of-Things-Geräte (IoT) voran und schließt sich damit einem weltweiten Vorstoß zur Sicherung des rasant wachsenden IoT-Ökosystems an, so Mike Nelson, Vice President of IoT Security bei DigiCert.

Jahrelang kamen IoT-Produkte mit kritischen Sicherheitslücken auf den Markt, die neuartige Bedrohungsvektoren ermöglichten – von hackbaren Autos bis zu Puppen, die als Fernüberwachungswerkzeuge dienten – sowie großangelegte Vorfälle wie das Mirai-Botnet, das die Kerninfrastruktur des Internets gefährdete. Diese Risiken lösten die regulatorische Reaktion Großbritanniens aus.

Die neuen Vorschriften bauen auf dem Code of Practice „Secure by Design“ von 2018 auf, der Herstellern und Verbrauchern bereits Best-Practice-Richtlinien bot. Dazu gehören sichere Anmeldedaten-Speicherung, minimierte Angriffsflächen, laufende Software-Integrität und Updates sowie verschlüsselte Kommunikation.

Während der Code von 2018 freiwillig war, macht die Regierung nun zentrale Bestimmungen verbindlich. Regulatoren werden mindestens drei Kernanforderungen durchsetzen.

Drei Leitlinien

Erstens: IoT-Passwörter müssen einzigartig sein und dürfen nicht auf Werkseinstellungen zurückgesetzt werden können, was das Risiko beseitigt, dass Angreifer Standard-Anmeldedaten ausnutzen.

Zweitens: Hersteller müssen einen öffentlichen Kontakt für die Offenlegung von Sicherheitslücken veröffentlichen, um schnelles Melden und Beheben von Sicherheitsfehlern zu ermöglichen.

Drittens: Gerätehersteller müssen die Mindestdauer angeben, für die Sicherheitsupdates bereitgestellt werden, sodass Verbraucher einen klaren Horizont für Außerbetriebnahme oder zusätzliche Sicherheitsmaßnahmen haben.

Geräte, die diese Kriterien erfüllen, können ein staatlich anerkanntes Sicherheitssiegel tragen, das Vertrauen bei Verbrauchern signalisiert.

IoT-Sicherheit in die Hände der Verbraucher gelegt

Historisch trugen Hersteller – und manchmal Unternehmenssicherheitsteams – die Verantwortung für Gerätesicherheit. Die „Secure by Design“-Zertifizierung verschiebt diese Entscheidungsfindung zum Endnutzer, sodass Käufer das Risiko bewerten können, bevor sie ein Gerät in ein geschütztes Netzwerk integrieren.

Wenn Verbraucher Sicherheit in Kaufentscheidungen einbeziehen, werden Hersteller gezwungen, zu innovieren statt an Sicherheit zu sparen. Historisch war Unsicherheit billiger; nun kann Sicherheit zum Marktdifferenzierer werden.

Die Kalkulation wurde lange zu spät angestellt. Bisher fehlten Anreize – sowohl Zuckerbrot als auch Peitsche – für Hersteller. Zwar wird die neue Verordnung nicht alle Sicherheitslücken beseitigen, aber sie bietet einen konstruktiven Rahmen, der proaktives Sicherheitsdesign belohnt.

Der Autor ist Mike Nelson, VP of IoT Security, DigiCert

Über den Autor

Mike Nelson ist VP of IoT Security bei DigiCert, einem globalen Anbieter digitaler Sicherheit. In dieser Rolle überwacht er die strategische Marktentwicklung für kritische Infrastrukturbranchen, sichert hochsensible Netzwerke und IoT-Geräte in den Bereichen Gesundheitswesen, Transport, industrielle Abläufe sowie Smart Grid und Smart City Implementierungen. Mike berät häufig Organisationen, trägt zu Medienberichten bei, wirkt in Branchenstandardisierungsgremien mit und spricht auf Konferenzen darüber, wie Technologie die Cybersicherheit für kritische Systeme und die Menschen, die auf sie angewiesen sind, verbessern kann.

Mike verbrachte seine Karriere im Gesundheits-IT-Bereich, darunter Stationen beim U.S. Department of Health and Human Services, GE Healthcare und Leavitt Partners – einer Boutique-Beratung für das Gesundheitswesen. Seine Leidenschaft für die Branche rührt von seiner persönlichen Erfahrung als Typ-1-Diabetiker und der Nutzung vernetzter Technologie in seiner Behandlung her.