ETSI EN 303 645: Schützen Regulierungsbehörden IoT-Geräte ausreichend?

Im Juni 2020 veröffentlichte das Technische Komitee der ETSI die EN 303 645, eine umfassende Sicherheitsbasislinie für Internet-of-Things-Geräte, die in der Informationssicherheits-Community breite Anerkennung fand.

Alan Grau, Vice President of IoT and Embedded Solutions bei Sectigo, berichtet.

Der Standard folgt einem wachsenden Trend: Gesetzgeber und Regulierungsbehörden erkennen die dringende Notwendigkeit, vernetzte Geräte zu schützen. Kaliforniens SB-327, seit Januar 2020 in Kraft, und Australiens „Draft Code of Practice: Securing the Internet of Things for Consumers“ von 2019 sind Beispiele für Regierungen, die entschlossen handeln.

Als das Vereinigte Königreich im Januar 2020 seinen eigenen IoT-Rahmen ankündigte, unterstrich dies die langjährigen Mängel in der Gerätesicherheit und die Bereitschaft der Regulierungsbehörden, diese anzugehen.

Doch die Frage bleibt: Sind diese Gesetze und Standards ausreichend, um die Milliarden von IoT-Geräten in unseren Häusern und Unternehmen zu schützen?

Wie Gesetzgebung die IoT-Sicherheit prägt

Historisch operierten IoT-Geräte hinter isolierten, proprietären Netzwerken, geschützt durch einen klaren Perimeter. Die Expansion des Internets verknüpfte diese Systeme über TCP/IP und schuf beispiellose Integrationsvorteile für Verbraucher und Unternehmen gleichermaßen. IDC prognostiziert 41,6 Milliarden vernetzte Geräte bis 2025 – ein Wachstum, das die regulatorische Evolution überholt.

Die regulatorische Angleichung hinkt dieser rasanten Expansion hinterher. Auf der Suche nach kosteneffizienten, hochvolumigen Produkten priorisieren viele Hersteller Time-to-Market vor robuster Authentifizierung und Sicherheit, was Geräte verwundbar macht.

Ohne verbindlichen IoT-Rahmen produzierten Hersteller Geräte mit minimaler eingebauter Sicherheit, oft basierend auf statischen Zugangsdaten, die wenig Schutz gegen Angreifer bieten. Solange Sicherheit nicht verpflichtend wird, werden weiterhin Ecken gespart. Robuste Gesetzgebung und Governance sind essenziell, um Security by Design vom Herstellungsprozess bis zum Geräte-Lebenszyklusende zu verankern.

Fortschritte und Lücken

Progressive Schritte wie Kaliforniens SB-327 setzen einen klaren Rahmen für Sicherheits- und Authentifizierungstools der nächsten Generation und zielen auf Botnets ab, die die Mängel früherer Praktiken offenlegten. Doch das Gesetz gilt nur für Kalifornien und fehlt nationale Durchsetzbarkeit.

ETSI EN 303 645, entwickelt durch Zusammenarbeit von Industrie, Wissenschaft und Regierungen, bietet ein einheitliches Ziel für Stakeholder. Doch wie SB-327 ist es nicht rechtlich bindend, was manchen Herstellern laxere Sicherheitspraktiken erlaubt, weil es günstiger ist oder weil keine Durchsetzung droht.

Um das IoT wirklich zu sichern, müssen zukunftsweisende Standards mit einer legislativen Agenda gekoppelt werden, die einen Cybersicherheitsrahmen für die Geräteentwicklung vorschreibt.

Warum eingebaute Sicherheit entscheidend ist

Best Practices betonen nun, dass Sicherheit ab dem Werkstor eingebettet sein muss. Bei zunehmend komplexen Lieferketten müssen OEMs sicherstellen, dass jedes Gerät ab dem Verlassen der Gießerei sicher ist. Eingebaute Public Key Infrastructure (PKI) garantiert, dass Anmeldedaten während der nachgelagerten Montage nicht manipuliert werden können und die Integrität über den gesamten Lebenszyklus gewahrt bleibt.

Globale Lieferketten – der Fall für weltweite Standards

Die globale Reichweite des IoT bedeutet, dass Geräte über mehrere Grenzen hinweg entwickelt, gefertigt und montiert werden, was das Risiko von Sicherheitslücken verstärkt. Eine koordinierte legislatorische Anstrengung ist nötig, um Geräte in jeder Phase zu schützen und Eigentum, Leben und Daten zu bewahren.

Der Autor ist Alan Grau, Vice President of IoT and Embedded Solutions bei Sectigo.