Warum 98 % des IoT-Datenverkehrs unverschlüsselt bleiben – Ein dringender Handlungsappell

Laut dem Palo Alto Networks Unit 42 Threat Report 2020 verläuft erschreckende 98 % des IoT-Datenverkehrs ohne Verschlüsselung. Mike Nelson, VP IoT Security bei DigiCert, zeigte sich von dieser Zahl schockiert.

Ein Z‑Scaler-Bericht aus dem Vorjahr bestätigte den Trend: 91 % des IoT-Verkehrs waren unverschlüsselt.

Unverschlüsselter Verkehr ermöglicht Angreifern Man-in-the-Middle‑Angriffe (MiTM), bei denen Daten zwischen Geräten und Netzwerken abgefangen oder manipuliert werden.

Hersteller bringen Geräte oft übereilt auf den Markt, ohne grundlegende Sicherheit im Design zu berücksichtigen. Unternehmen integrieren diese verwundbaren Geräte dann in ansonsten sichere Netze. Angreifer können offene Endpunkte über Tools wie Shodan entdecken und sich einen Fuß in der Tür verschaffen.

IoT wächst rasant. McKinsey prognostiziert 43 Milliarden vernetzte Geräte bis 2023. Bleibt der aktuelle Trend von 98 % unverschlüsseltem Verkehr bestehen, haben Cyberkriminelle ein riesiges Buffet an Daten zur Ausbeutung.

Oft stellt man sich skurrile Hacks vor – Puppen oder Türklingeln –, doch die eigentliche Gefahr liegt in großen Unternehmensbereitstellungen. Ein einziges offenes Gerät kann zum Tor in sensible Netzwerke werden.

2017 wurde ein Las-Vegas-Casino über einen Fischteich-Sensor gehackt. Ein IoT-Sensor, der Daten an einen entfernten Server in Finnland sendete, diente als Einfallstor. Ermittlungen ergaben, dass Angreifer 10 GB der High-Roller-Datenbank exfiltrierten.

Der Vorfall beleuchtete drei kritische Probleme: (1) Die gespeicherten Daten waren unverschlüsselt, (2) unzureichende Zugriffskontrollen erlaubten den Sprung vom IoT-Gerät zu hochsensiblen Daten, (3) der Fischteich-Sensor war in das breitere Casinonetz integriert und bot einen direkten Pfad zu kritischen Informationen.

Solche Verletzungen reichen von finanziellen Verlusten und Kundendatenlecks bis hin zu Angriffen auf kritische Infrastruktur – Stromausfälle, Internet-Blackouts, landesweite Gesundheitssystem-Ausfälle.

100 % Verschlüsselung erreichen

Alle vertraulichen Daten – ob im Ruhezustand oder in der Übertragung – müssen verschlüsselt sein. Selbst ein einziger unverschlüsselter Datenstrom ist eine Schwachstelle, die Angreifer ausnutzen können.

Die Verschlüsselung mobiler, ständig bewegter Daten über Hubs, Gateways und die Cloud ist komplex, aber unerlässlich für den Schutz von Unternehmens-IoT-Netzen, die auf zahlreichen Endpunkten basieren, die Daten austauschen.

Public Key Infrastructure (PKI) mit digitalen Zertifikaten bietet eine skalierbare Lösung: Sie ermöglicht gegenseitige Authentifizierung und Ende-zu-Ende-Verschlüsselung über große IoT-Bereitstellungen hinweg. Führende Unternehmen setzen bereits auf PKI, um ihre Netze abzusichern.

Zwar ist Fortschritt im Gange, doch die Branche muss beschleunigen. Hersteller müssen Verschlüsselung, Authentifizierung und Integrität von Anfang an in ihre Produkte einbauen. Inkrementelle Nachbesserungen reichen nicht aus.

Unternehmensweite Verschlüsselung ist die Zukunft der IoT-Sicherheit. Wenn führende Hersteller PKI implementieren, sollte der Rest der Branche nachziehen – und zwar zügig.

Der Autor ist Mike Nelson, VP IoT Security bei DigiCert.

Über den Autor

Mike Nelson leitet als VP IoT Security bei DigiCert die strategische Marktentwicklung für kritische Infrastrukturen – Gesundheitswesen, Transport, Industrie, Smart Grid und Smart Cities. Er berät Organisationen, wirkt an Medienberichten mit, engagiert sich in Normungsgremien und spricht auf Konferenzen über Cybersicherheit für kritische Systeme. Seine Karriere umfasst Stationen im US-Gesundheitsministerium, bei GE Healthcare und Leavitt Partners. Als Typ‑1‑Diabetiker nutzt er vernetzte Technologie selbst in seiner Behandlung.