Warum IoT-Geräte eine Cyber-Bedrohung sind: Schützen Sie Ihr Unternehmen jetzt

Das Internet der Dinge bietet Unternehmen beispiellose Transparenz und Kontrolle über ihre Lieferketten. Doch es öffnet auch die Tür für potenziell verheerende Cyberangriffe.

Eine neue Studie des Ponemon Institute offenbart einen starken Anstieg von Datenschutzverletzungen durch ungesicherte IoT-Geräte Dritter. Und sie deutet an, dass Top-Sicherheitsexperten nicht genug tun, um sie zu stoppen.

Die dritte jährliche Studie des Instituts zu Third-Party IoT Risk trägt den Untertitel „Companies Don’t Know What They Don’t Know“. Tatsächlich scheint Unwissenheit über die Gefahren von Cyberangriffen die Verwundbarkeit vieler Unternehmen erhöht zu haben. IoT-bedingte Verletzungen sind seit 2017 um mindestens 26 % gestiegen, so die Studie. (Die Zahl könnte noch höher sein, da die meisten Unternehmen nicht jeden unsicheren Gerät oder jede Anwendung auf ihrem Gelände kennen, die von Drittanbietern stammen.)

Zu einer Zeit, in der Datenschutzverletzungen endemisch werden, scheint Cybersicherheit für viele Unternehmen keine besonders hohe Priorität zu sein – zumindest beim Investieren von Ressourcen in diesen Bereich. Aufsicht durch Top-Management fehlt besonders. Laut Studie haben weniger als die Hälfte der Vorstandsmitglieder Programme genehmigt, die Third-Party-Cyberrisiken reduzieren sollen. Nur 21 % verstehen die Natur dieses Risikos vollständig und sind „hoch engagiert“ in den nötigen Sicherheitsmaßnahmen.

Bei der Antizipation von Cyberrisiken herrscht Fatalismus vor. 87 % der Befragten glauben, ihre Organisation werde innerhalb der nächsten 24 Monate einen Cyberangriff durch ungesicherte IoT-Geräte oder Anwendungen erleben. 84 % erwarten einen Datendiebstahl im gleichen Zeitraum.

Die neueste Version der Studie basiert auf 600 qualifizierten Befragten und ca. 450 einzigartigen Unternehmen, so Larry Ponemon, Co-Founder des Ponemon Institute. In einem „eklektischen, aber interessanten Sampling“ waren Experten für IT, Datenschutz, Third-Party-Technologie und Regulierung vertreten.

„Third Party“ bedeutet die gesamte Bandbreite an Vendors, Contractors, Channel Partnern und internen Affiliates außerhalb der eigenen IT-Umgebung eines Unternehmens, erklärt Charlie Miller, Senior Adviser des Shared Assessments Program, einer Einheit der Santa Fe Group, die sich auf Third-Party-Risikobewertung spezialisiert hat.

Externe IoT-Geräte treten typischerweise als Sensoren, Smart Devices, Drucker, Kameras, Nest-Thermostate, sprachaktivierte persönliche digitale Assistenten auf – kurz: alles, was Elektronik enthält und sich mit dem Unternehmensnetz verbinden kann.

Trotz dieses Panoptikums unsicherer Technologie, von der viel über persönliche Geräte der Mitarbeiter ins Netzwerk gelangt, sieht das Management darin kein großes Risiko, so Ponemon. Miller fügt hinzu, dass das Problem durch den massiven Anstieg an IoT-Geräten, die in den letzten Jahren auf den Markt gekommen sind, verschärft wird.

Jedes dieser Geräte hat eine einzigartige IP-Adresse und stellt einen potenziellen Schwachpunkt dar, durch den Hacker oder Cyberdiebe auf proprietäre Daten zugreifen können. Bevor eines davon ins Netzwerk gelassen wird, müssen Unternehmen genau verstehen, was das Gerät tun soll, welche Daten es sammeln soll und wie diese Informationen übertragen werden.

„All das sind fundamentale Konzepte, die sich in diesem riesigen IoT-Raum noch nicht herauskristallisiert haben“, sagt Miller.

Angesichts dieser Angriffswelle: Warum sind Unternehmen nicht proaktiver in der Prävention? Ponemon vermutet, das Problem liege in mangelnder Accountability innerhalb der Organisationen. Zudem sind IoT-Geräte verführerisch bequem zu nutzen, wobei Eigentümer wenig darüber nachdenken, wie sie die Unternehmenssicherheit gefährden könnten.

Miller sieht Anzeichen von Aufklärung bei Sicherheitsteams und Organisationen. Bestimmte Branchen wie Medizintechnikhersteller sind fokussierter auf das Thema, weil sie stark reguliert sind. (Die FDA hat beispielsweise „strenge Regeln für Implantate“.) Neue Gesetzgebung wie der California Consumer Privacy Act schränkt die Nutzung von Konsumentendaten für Marketingzwecke ein. Zudem zielen Gesetzgeber auf Hersteller mit Maßnahmen ab, die höhere eingebaute Sicherheit für IoT-Geräte vorschreiben (z. B. Verbot leicht knackbarer Standardpasswörter, die viele Nutzer nicht ändern).

Weitere Anstrengungen zur Verschärfung der Cybersicherheit werden von Organisationen wie dem National Institute of Standards and Technology (global anerkannte Standards) und der Monetary Authority of Singapore (Zentralbank) vorangetrieben. Vier der fünf Empfehlungen der letzteren sind in der Ponemon-Studie enthalten.

„Sie müssen verstehen, welche Geräte Sie in Ihrer eigenen Organisation haben und von Dritten genutzt werden dürfen“, sagt Miller. „Und Sie müssen sicherstellen, dass die Art, wie die Geräte angebunden sind, von Ihrer Produktionsabteilung segmentiert ist. So gibt es bei einem Bruch Isolierung in ein Nicht-Produktionssegment Ihres Netzwerks.“

Bildung ist paramount, betont Ponemon: Bewusstsein für Cyberrisiken muss vom einzelnen Mitarbeiter bis in die Führungsetage reichen – sowie zu externen Lieferkettenpartnern und Kunden.

Miller rät, Use Cases durchzuführen, bevor man sich auf IoT-Geräte festlegt, um Missbrauchspotenzial zu bestimmen. Beispielsweise könnten Überwachungssysteme in modernen Autos Hackern erlauben, das Fahrzeug fernzusteuern. „Die Transportbranche nimmt das sehr ernst“, sagt er.

Am Ende kommt es auf Wachsamkeit des Nutzers an. „Cyber-Hygiene ist Verantwortung des Individuums“, sagt Ponemon. „Das ist kritisch. Es geht nicht nur um IoT – es geht um alles.“