IoT-Zukunft sichern: Digitale Transformation vorantreiben und Risiken minimieren

In nur wenigen Jahren hat das Internet der Dinge (IoT) die Art und Weise, wie wir leben und arbeiten, radikal verändert. Von den Gadgets an unseren Handgelenken und in unseren Häusern bis hin zu vernetzten Gebäuden und smarten Fabriken, in denen wir unser Arbeitsleben verbringen – es macht uns sicherer, glücklicher und produktiver und bietet Organisationen neue Wachstumschancen. Die Technologie steht an der Spitze einer digitalen Transformationsrevolution, die bereits die große Mehrheit der Unternehmen durchdringt und sie effizienter, agiler und kundenorientierter macht.

Doch digitale Expansion bedeutet auch größeres digitales Risiko: Aktuelle Zahlen zeigen einen 100-prozentigen Anstieg von IoT-Angriffen im Jahresvergleich. Der Schlüssel für IT-Teams ist daher, das Unternehmenswachstum zu unterstützen und gleichzeitig diese Cyber-Risiken durch Best-Practice-Sicherheit für das neue vernetzte Zeitalter zu minimieren.

Digital werden

IoT hat in relativ kurzer Zeit einen langen Weg zurückgelegt. Gartner prognostiziert, dass 2019 14,2 Milliarden vernetzte Dinge im Einsatz sein werden, bis 2021 insgesamt 25 Milliarden. Mit diesem rasanten Anstieg an Geräten kam eine Explosion an Daten. Cisco schätzt, dass die Gesamtdatenmenge, die von allen Geräten erzeugt wird, 2020 600 Zettabyte pro Jahr erreichen wird, gegenüber nur 145 Zettabyte jährlich 2015. Das ist eine enorme Datenmenge – ein einzelnes Zettabyte entspricht 1 Milliarde Terabyte.

Warum hat IoT in den letzten Jahren die Geschäftsumgebungen so vollständig durchdrungen? Eine Forbes-Insights-Umfrage unter 700 Führungskräften aus 2018 hilft bei der Erklärung: 60 % der Unternehmen erweitern oder transformieren neue Geschäftsbereiche, eine ähnliche Zahl (63 %) liefert neue/aktualisierte Services an Kunden, und über ein Drittel (36 %) erwägt neue Geschäftsvorhaben. In den kommenden 12 Monaten sagten fast alle (94 %) Befragten voraus, dass die Gewinne dank IoT um 5–15 % wachsen würden.

IoT-Sensoren, die gesammelten Daten, die zur Analyse in die Cloud geschickt werden, bieten große neue Chancen, das Kundenerlebnis zu verbessern, komplexe Geschäftsprozesse zu straffen und neue Services durch die gewonnenen Insights zu schaffen. Das könnte Versorger umfassen, die frühe Warnzeichen von Wasserlecks oder Stromausfällen überwachen, Fertigungsunternehmen, die betriebliche Effizienz auf dem Shopfloor verbessern, und Hardware-Hersteller, die neue After-Sales-Services auf Basis von Predictive Maintenance für Kunden anbieten.

Risiko ist überall

Die Herausforderung für jedes Unternehmen, das seinen Einsatz von IoT und Industrial IoT (IIoT) Systemen hochfährt, besteht darin, dass es dabei die Angriffsfläche des Unternehmens erweitert. Ein schneller Blick in das OWASP-Dokument IoT Attack Surface Areas zeigt, wie viele neue potenzielle Schwachstellen eingeführt werden. Diese reichen von den Geräten selbst – einschließlich Firmware, Speicher und physischen/Web-Schnittstellen – bis zu Backend-APIs, verbundenen Cloud-Systemen, Netzwerkverkehr, Update-Mechanismen und der mobilen App.

Eines der größten Risiken für solche Systeme ist, dass sie von Herstellern produziert werden, die kein adäquates Verständnis von IT-Security-Best-Practices haben. Das kann zu schwerwiegenden systemischen Schwächen und Verwundbarkeiten führen, die von Angreifern ausgenutzt werden können – von Softwarefehlern bis zu Produkten, die mit Werkstandard-Logins ausgeliefert werden. Es könnte auch bedeuten, dass Produkte schwer zu aktualisieren sind und/oder kein Programm existiert, um Sicherheitspatches auszurollen.

Solche Fehler könnten in verschiedenen Angriffsszenarien ausgenutzt werden. Sie könnten genutzt werden, um Unternehmensnetzwerke im Rahmen eines Datendiebstahl-Raids zu infiltrieren, oder um zentrale Betriebsprozesse zu sabotieren – entweder um Geld vom Opfer zu erpressen oder maximalen Schaden anzurichten. In einem häufigeren Szenario scannen Hacker das Internet nach öffentlich zugänglichen Geräten, die nur noch durch Werkstandard- oder leicht zu erratende/knackbare Passwörter geschützt sind, und rekrutieren sie in Botnets. Das ist das Modell, das die berüchtigten Mirai-Angreifer nutzten und das in vielen Nachahmerangriffen adaptiert wurde. Diese Botnets können für verschiedene Aufgaben genutzt werden, einschließlich DDoS, Ad-Fraud und Verbreitung von Banking-Trojanern.

Im Dunkeln

Die Schwierigkeit für IT-Sicherheitsteams besteht oft darin, Transparenz über alle IoT-Endpunkte in der Organisation zu erlangen, und einige erkannte IoT-Geräte operieren oft ohne Wissen der IT-Abteilung. Dieser Shadow-IT-Faktor ist in vielerlei Hinsicht der Nachfolger der Enterprise-BYOD-Herausforderung – nur dass Nutzer statt Mobiltelefonen smarte Wearables und andere Geräte mitbringen, die dann mit dem Unternehmensnetzwerk verbunden werden und das Cyber-Risiko erhöhen. Denken Sie nur an einen smarten Fernseher, der von Angreifern gekapert wird, um Vorstandssitzungen auszuspionieren, oder einen smarten Wasserkocher in einer Mitarbeiterkantine, der als Brückenkopf für einen Datendiebstahl-Angriff auf das Unternehmensnetzwerk dient.

Noch schlimmer für IT-Sicherheitsverantwortliche: Sie müssen dieses wachsende Cyber-Risiko mit weniger qualifizierten Fachkräften managen. Tatsächlich schnellte die Nachfrage nach IoT-Rollen im Q4 2018 um 49 % gegenüber den vorangegangenen drei Monaten in die Höhe, laut einer Recruiting-Gruppe.

Regulatoren ziehen nach

Die Auswirkungen eines größeren IoT-bezogenen Cyber-Bedrohungsereignisses könnten schwerwiegend sein. Datenverlust, IT-Systemausfälle, Betriebsstörungen und Ähnliches können zu finanziellen und Reputationsschäden führen. Die Kosten für Untersuchung und Behebung eines Sicherheitsvorfalls allein können prohibitiv sein. Ein schwerer Ausfall könnte große Investitionen in IT-Überstunden erfordern. Regulatorische Bußgelder sind ein weiterer zunehmend wichtiger Kostenfaktor. Nicht nur die DSGVO bei Problemen mit personenbezogenen Daten von Kunden oder Mitarbeitern ist zu beachten – auch die EU-NIS-Richtlinie schreibt Best-Practice-Sicherheit für Unternehmen in bestimmten kritischen Branchen vor. Beide tragen die gleichen maximalen Bußgelder.

Diese regulatorische Aufsicht greift auf beiden Seiten des Atlantiks um sich. Ein neuer Gesetzesvorschlag in den USA wird das National Institute of Standards and Technology (NIST) verpflichten, Mindestsicherheitsrichtlinien für IoT-Hersteller zu erstellen und zu fordern, dass Bundesbehörden nur von Lieferanten kaufen, die diese Baseline-Standards erfüllen.

Transparenz und Kontrolle

Falls verabschiedet, könnte diese US-Gesetzgebung auf einem europäischen ETSI TS 103 645 Standard aufbauen, der selbst auf einem UK-Regierungsvorschlag für einen Verhaltenskodex der Branche basierte. Das ist sicherlich ein großartiger Start und wird hoffentlich die Branche zu mehr Sicherheitsbewusstsein drängen, während Verbraucher und Unternehmen befähigt werden, die sichereren Produkte am Markt zu suchen. In der Realität wird es jedoch eine Weile dauern, bis solche Schritte auf den Markt durchdringen, und selbst dann führen Organisationen möglicherweise bereits Tausende unsicherer Legacy-IoT-Endpunkte.

IT-Sicherheitsteams müssen jetzt handeln, indem sie bessere Einblicke in ihre IoT-Umgebung gewinnen. IT-Asset-Management-Tools sollten hier helfen können, indem sie den allwichtigen ersten Schritt liefern: Transparenz. Als Nächstes sicherstellen, dass Geräte-Firmware über automatisierte Patch-Management-Tools aktuell ist und dieser Prozess überwacht wird, um sicherzustellen, dass er korrekt funktioniert – einige Sicherheitsupdates sind tief auf Vendor-Websites vergraben und erfordern menschliches Eingreifen, um sicherzustellen, dass sie aktiviert wurden. Zudem müssen IT-Teams prüfen, dass Benutzernamen/Passwörter sofort in starke, einzigartige Credentials geändert werden. Noch besser: Ersetzen Sie sie durch Multi-Faktor-Authentifizierung. Weitere Best Practices könnten Verschlüsselung von Daten im Transit, kontinuierliches Netzwerk-Monitoring, Identity Management, Netzwerk-Segmentierung und mehr umfassen. Schließlich nicht den menschlichen Aspekt der Cybersicherheit vergessen: Mitarbeiter sollten geschult werden, die Sicherheitsrisiken im Zusammenhang mit IoT zu verstehen und Systeme und Geräte sicher zu nutzen.

Das ist der Weg, um den größtmöglichen Wert aus IoT-Initiativen zu ziehen, ohne das Unternehmen unnötigem zusätzlichen Risiko auszusetzen. Es braucht nur einen schwerwiegenden Sicherheitsvorfall, um das innovationsgetriebene Wachstum zu untergraben, das so vital für den Erfolg des modernen digitalen Geschäfts ist.