Smarte Geräte sicher machen: Best Practices für IoT-Sicherheit

In diesem Artikel verwenden wir „Internet of Things“ oder „IoT“ als Sammelbegriff für vernetzte smarte Geräte, Machine-to-Machine (M2M) Kommunikation und zugehörige Soft-/Hardware-Technologien.

Die Dateneinblicke und Automatisierungspotenziale von IoT-Technologien schufen großartige Chancen für Prozessverbesserung und Revolutionen im Geschäftsbetrieb. Beliebtheit dieser Geräte steigt stark – globaler IoT-Markt wird auf 22 Milliarden aktiv verbundene Geräte für verschiedene IoT-Branchen weltweit bis 2025 geschätzt.

Wie bei jeder neuen Technologie hat IoT Cybersicherheits-Nachteile. Jedes Business, das IoT-Geräte implementieren will, muss dies mit Cybersicherheit als vorrangigem Anliegen tun, um Geräte, Systeme und Daten sicher zu halten.

Wie kann IoT Unternehmen helfen?

Technologien unter IoT-Dach können Wunder für Unternehmen quer durch Sektoren bewirken, signifikant gezeigt bei industriellen Unternehmen.

IoT-Geräte, zusammen mit anderen rasant entwickelnden Technologien wie 3D-Druck, KI, Quantencomputing, Energiespeicher-Fortschritten, haben eine beispiellose Revolution in Fähigkeiten industrieller Unternehmen ausgelöst – bekannt als Vierte Industrielle Revolution.

IoT-Geräte ermöglichen Industrieunternehmen:

• Lieferketten remote zu steuern und zu überwachen
• IoT-Sensoren mit bestehender Technik kombinieren für Vorhersage und Implementierung präventiver Wartung durch Überwachung von Verschleißzeichen und Auslösung nötiger Lösungen
• Prozesse energieeffizienter betreiben durch Echtzeit-Energiedaten

Für Unternehmen in anderen Sektoren bringen IoT-Geräte beträchtliche Veränderungen durch verbesserte Dateneinblicke. Diese Verbesserungen bieten Vorteile wie bessere Lager-/Bestandskontrolle, verbesserte Terminplanungseffizienz, Abfallreduktion u. a.

Die Gefahren von IoT

Während klarer Vorteil durch Datensammlung und Automation besteht, sind sie nicht risikofrei. Viele IoT- und Smart-Device-Nutzer realisieren nicht, wie zugänglich manche ihrer Geräte sind. Suchmaschine Shodan scannt Web nach Geräten mit mangelhaftem Passwortschutz und zeigt Screenshots dessen, was sie zugreifen konnte – prominenteste Beispiele: Streams von IoT-Sicherheitskameras in Geschäftsräumen und Privathaushalten.

Diese Liste ist bei Weitem nicht umfassend, dient aber als Erinnerung: Unsichere IoT-Geräte können ausgenutzt werden und sollten mit gebotener Vorsicht implementiert werden.

Fehlende eingebaute Sicherheit für IoT & Smart Devices

Unternehmen, die IoT-Kraft nutzen wollen, müssen sicherstellen, dass Hersteller der genutzten IoT-Geräte Cybersicherheit ernst nehmen.

Um Geräte massenmarkttauglich zu machen und Kosten niedrig zu halten, haben viele Smart-Device-Hersteller darauf verzichtet, in Cybersicherheit zu investieren, und stattdessen Kosteneffizienz priorisiert, um Käufer für diesen sich entwickelnden Markt zu gewinnen.

Während Regierungen wie UK und USA IoT-Cybersicherheitsgesetzgebung ernst nehmen, war externer Druck auf Hersteller, Cybersicherheit ab Tag 1 der Entwicklung zu priorisieren, größtenteils unzureichend.

Viele smarte Geräte kommen nicht mit integrierter Zwei-Faktor-Authentifizierung (2FA), noch verschlüsseln sie gesammelte/übertragene Daten. Bis Hersteller für Sicherheit ab Tag 1 verantwortlich gemacht werden, bleiben smarte Geräte ein tragfähiger Vektor für Cybersicherheitsbedrohungen.

Beispiele für IoT-Sicherheitsverletzungen

Historisch wurden IoT-Geräte als Einfallstor für Malware-Angriffe genutzt. Zur Verdeutlichung einige hochkarätige Beispiele.

Distributed Denial-of-Service (DDoS) Angriffe

2016 führte Botnet „Mirai“ DDoS-Angriff durch, indem es Default-Passwörter diverser IoT-Geräte ausnutzte. Der Angriff führte zu Internetausfall für großen Teil der US-Ostküste.

Die relative Leichtigkeit dieser Attacke gibt Einblick, wie IoT-Technologien für nefariöse Zwecke ausgenutzt werden können – und war bei Weitem nicht der einzige Botnet-Angriff durch kompromittierte IoT-Geräte.

Stuxnets Versuch, Nuklear-Maschinen zu zerstören

Urheber von Stuxnet unbestätigt, aber umfangreiche Studie dieses hoch-evasiven Computerwurms bestätigte Zweck: Zentrifugen in Nuklearanlagen gezielt anzugreifen und auf schädliche Zyklen umzuprogrammieren. Stuxnet warnt: Schwachstellen vernetzter Maschinen können mehr verursachen als Datenverlust und deaktivierte Software – sie können ernsthafte physische Schäden an Geräten oder sogar Leben gefährden.

Wie ein Thermostat zu Datendiebstahl führte

Ein ungenanntes Casino in Las Vegas hatte Kundendatenbank auf unerwartetste Weise gestohlen – durch Aquarium-Thermostat. Casino nutzte WLAN-vernetzten IoT-Thermostat für Aquarium-Temperatur. Da Thermometer im selben Netz wie Kundendaten war, nutzten Cyberkriminelle Thermometer-Schwachstellen als Einfallstor.

Von Cloud Computing zu Fog Computing wechseln

Entgegen landläufiger Meinung kann IoT ohne externen Cloud-Provider funktionieren – jedoch müssen Cloud-Vorteile stark gewogen werden, bevor man zu cloudloser Lösung wechselt.

Unternehmen, die totale Datenkontrolle wollen, können lokale „Fog Computing“-Infrastruktur nutzen, um IoT-Daten zu verarbeiten/übertragen, ohne sie mit externem Cloud-Provider zu teilen.

Fog Computing ist dezentrale Computing-Infrastruktur, die Daten von IoT-Geräten an Gateway im lokalen Netzwerk (LAN) überträgt, das Transmission an geeignete Processing-Hardware handhabt – Nutzung lokaler Hardware für Datenverarbeitung heißt oft „Edge Computing“. Fog/Edge Computing bieten Vorteile wie reduzierte Latenz und größere Kontrolle über Daten-Sharing/Transmission – aber nicht ohne Verwundbarkeiten.

Unternehmen, die Fog/Edge Computing für Datenspeicherung/Übertragung nutzen, sind alleinige Anbieter physischer, prozeduraler, technischer Cybersicherheitsmaßnahmen zum Schutz ihrer Daten – keine kleine Aufgabe.

Führende Cloud-Provider investieren massiv in führende Cybersicherheitsmaßnahmen zum Schutz gespeicherter, übertragener, verarbeiteter Daten – ihr ganzes Geschäftsmodell basiert auf Zuverlässigkeit und Sicherheit. Unternehmen, die IoT-Geräte nur als Upgrade für übliche Operationen nutzen wollen, können vernünftigerweise nicht ähnliches Sicherheitsniveau wie Cloud-Provider halten – führt zu höheren Cybersicherheitsrisiken, wenn Fog Computing nicht mit ebenso robusten Maßnahmen durchgeführt wird.

IoT-Geräte sicher nutzen

Trotz Risiken bieten IoT-Geräte beispiellose Chancen für Fortschritte in Datensammlung/Übertragung, die zu enormen Fähigkeits- und Effizienzgewinnen führen können. Für sichere Nutzung gibt es Schlüsselsicherheitsmaßnahmen.

Sensible Daten verschlüsseln

Während Verschlüsselung vor Cloud-Processing Verzögerungen in Datenübertragung verursachen kann, ist sie für sensible Daten wichtiger Schritt. Unternehmen, die sensible Daten (z. B. medizinische) von IoT-Gerät zur Cloud übertragen, müssen Sensitivität ernst nehmen – harmlosere Daten können unverschlüsselt bleiben.

Einzigartige Passwörter nutzen

Wie bei Mirai-Botnet-DDoS: Eine Ausnutzungsmethode ist Software, die Eintritt via bekannte Factory-Default-Passwörter des IoT-Herstellers versucht.

Zusätzlich zum Ändern von Factory-Defaults auf einzigartige Passwörter müssen IoT-Geräte so manufactured sein, dass sie nicht auf Factory-Default-Passwort zurückgesetzt werden können – Reset-Fähigkeit könnte Cyberkriminellen zusätzlichen Angriffsvektor geben.

Separates Netzwerk für IoT-Geräte nutzen

Für Unternehmen, die sensible Daten kontrollieren: Diese Daten müssen auf Netzwerk separiert von IoT-Geräten liegen. Aufgrund relativer Unreife von IoT-Gerätesicherheit reduziert separates Netzwerk Möglichkeit, dass sie als Einfallstor ins Hauptnetz dienen.

IoT Cloud & Geräteanbieter weise wählen

Unternehmen, die Cloud-Computing-Power für IoT nutzen wollen, müssen IoT-Cloud-Plattform-Provider sorgfältig wählen, dem sie vertrauen, Daten zu sichern und zu verarbeiten. Auch IoT-Produkte wählen, die mit Cybersicherheit als signifikantem Anliegen manufactured sind.

Bei Entscheidung für IoT-Geräteanbieter beachten:

• Bietet Hersteller öffentlichen Kontakt für Cybersicherheits-Vulnerability-Reports? Nimmt er diese ernst?
• Wie lange stellt Hersteller Security-Updates für Produkte bereit?
• Priorisiert Hersteller Cybersicherheit als Teil Produktionsmandat?

IoT Cloud Service Provider (CSP) Cybersicherheits-Erwägungen:

• Hat CSP Historie, Cybersicherheit ernst zu nehmen?
• Welche Cybersicherheitsmaßnahmen hat CSP zum Datenschutz ergriffen?
• Kann CSP Verschlüsselung und andere Sicherheitsmaßnahmen skalierbar bieten, wenn IoT-Infrastruktur wächst?

Obige Liste bei Weitem nicht umfassend – jeder Business-Use-Case hat einzigartige Cybersicherheitserwägungen. Da IoT-Technologien rapid growth beitragen, müssen Unternehmen, die evolving Insights und Features nutzen wollen, Cybersicherheit priorisieren und bestmögliche Lösungen für ihre Bedürfnisse recherchieren/implementieren.