Das Internet der Dinge ist heute allgegenwärtig. Der Einbau von Sensoren aller Art in Alltagsgegenstände ermöglicht neue Angebote und schreitet mit Siebenmeilenstiefeln voran. Die Sicherheit der neuen Lösungen wird dabei oft vernachlässigt.
IoT-Geräte sind heute in grosser Zahl und in verschiedensten Anwendungsszenarien im Einsatz. Allerdings sind die Geräte oft unzureichend geschützt, mit potenziell gravierenden Konsequenzen für die Security, wie die jüngsten DDoS-Angriffe auf der Basis von IoT-Botnetzen zeigen. Das Internet der Dinge ist denn auch eines der, wenn nicht DAS neue Thema in der IT-Security.
Das Internet der Dinge als Sensorik-Netzwerk
Der Einbau von Sensoren in Alltagsgegenstände schreitet rapide voran. Die Sensoren ermöglichen ein kosteneffizientes und unkompliziertes Sammeln von Informationen über Haushaltgeräte, Produktionsanlagen, Gebäude und Städte, aber auch Personen. Auf der Basis dieser Informationen lassen sich Problemanalysen schneller durchführen, Prozesse kontinuierlich optimieren oder mit Predictive Analytics die verbleibende Lebensdauer von kritischen Komponenten wie z.B. Turbinen schätzen und damit Kosten sparen. Es ist offensichtlich, dass solche IoT-Lösungen ein immenses ökonomisches Potential haben.
Sensorik-Netzwerke im Gesundheitswesen
Auch im Gesundheitswesen sind Sensorik-Netzwerke von grossem Nutzen. Die Geräte, z.B. Waagen oder Insulin-Pumpen, erheben nicht nur Daten über ihren eigenen Status, sondern auch über körperliche Zustände und Prozesse des Patienten. Wenn sie Personendaten nutzen, beinhalten Sensorik-Use-Cases auch Privacy-Themen. Eine durchgängig sichere IoT-Infrastruktur, von der Datenmessung über die Datenübertragung bis hin zur Speicherung sind zwingende Voraussetzungen für die Umsetzung von Anwendungsfällen im Medizinalbereich. Die konsequente Umsetzung dieser Anforderung erweist sich wegen der typischerweise hohen Vernetzung und Heterogenität sowie der dezentralen Charakteristik von IoT-Lösungen als anspruchsvoll.
Business-Cases für Versicherungen
Aus Sensorik-Anwendungen ergeben sich interessante Business-Cases für Versicherungen. So kann eine Krankenversicherung ihren Kunden eine Zahnbürste finanzieren, die ihr über die Mundhygienegewohnheiten und damit z.B. das Risiko von Erkrankungen im Mundraum Auskunft gibt. Autoversicherungen wiederum bieten ihren Kunden einen vernetzten Fahrtenschreiber an, der verschiedene Parameter während der Fahrt aufzeichnet. Bei sicherem Fahren werden die Kunden mit einem Rabatt belohnt. Ein weiteres Beispiel ist das von mittlerweile verschiedenen Versicherungen angebotene Kundenprogramm, das u.a. auch per Fitness-Armband nachgewiesene körperliche Aktivität belohnt. Aus Sicht der Versicherung kann durch den genannten Einsatz von IoT also bis zu einem gewissen Grad Risiko optimiert oder gar reduziert werden. Aus Sicht des Kunden kann dieser durch entsprechendes Verhalten seine Kosten positiv beeinflussen.
Lösungen oft schlecht geschützt
Damit werden jedoch auch die IoT-Lösungen selbst attraktiv für Missbrauch und damit Ziel direkter Attacken. Entsprechend ist es wichtig, dass sie zusätzlich zu den bereits erwähnten Data-Privacy-Aspekten auch gegen Manipulationen geschützt werden. Um den Schutz von IoT-Lösungen ist es jedoch oft schlecht bestellt, sei es, dass die verwendeten Geräte selbst – Hard- und Software - keine ausreichende Security mitbringen, oder dass die darauf aufbauenden IoT-Lösungen Sicherheit unzureichend implementieren. IoT-Lösungen werden in der Regel unter hohem Zeit- und Kostendruck bereitgestellt, deshalb werden die technischen Möglichkeiten zu ihrem Schutz teilweise nicht ausgeschöpft. Oft werden auf Seiten des Business wegen des hohen Innovationsdrucks neue Features und die Usability über die Security gestellt. In der Konsequenz lassen sich viele der heutigen Lösungen mit relativ einfachen Mitteln angreifen. Ein Beispiel dafür sind IoT-Lösungen mit Fitness-Tracker zur Belohnung körperlicher Aktivität. Ein Angreifer kann z.B. über die Bluetooth-Schnittstelle einen Tracker simulieren oder eine eigene App entwickeln und damit selber betrügerisch Aktivitätsdaten generieren.
Mit welchen Massnahmen können Unternehmen und Organisationen die Security ihrer IoT-Lösungen verbessern und damit beispielsweise Betrug verhindern oder zumindest unwahrscheinlicher machen?
Updatefähige Geräte
Die Auswahl der eingesetzten IoT-Geräte muss sorgfältig und unter Berücksichtigung der damit verbundenen Eco-Systeme und konkreter Sicherheitsanforderungen erfolgen. In der Praxis muss davon ausgegangen werden, dass beim Einsatz von handelsüblichen IoT-Geräten die Security auf Ebene Hardware nicht die höchste Priorität geniesst – eine Ausnahme bildet hier etwa zur Erfüllung regulatorischer Auflagen spezialisierte Hardware, die dann aber deutlich mehr kostet und für viele der Massen- bzw. Endkunden-Anwendungen darum nicht in Frage kommt. Man muss also davon ausgehen, dass die Hardware eine unsichere Plattform für die Umsetzung der IoT-Lösung darstellt und die Sicherheitsmechanismen in der Software implementiert werden müssen. Entsprechend wichtig ist es, dass die IoT-Geräte eine Aktualisierung der Software zulassen.
Geräte-Identität
Eine weitere wichtige Massnahme ist die konsequente Vergabe einer eineindeutigen Identität für jedes IoT-Gerät. Wie sich heute Benutzer bei einem System anmelden müssen, so sollen sich auch IoT-Geräte authentisieren. Damit wird sichergestellt, dass das System jederzeit weiss, von welchem Gerät die Daten genau kommen. Nicht authentisierte Geräte können konsequent ausgeschlossen werden. Zudem können für verschiedene Geräte auch verschiedene Zugriffsrechte vergeben werden. So kann man z.B. gewissen IoT-Geräten rein schreibenden Zugriff geben. D.h. diese dürfen Daten einliefern, aber selber nicht lesen. So lässt sich nach bereits bekannter und bewährter Art der Zugriff auf Daten und Services schützen bzw. steuern.
Sichere Kommunikation
Die IoT-Geräte kommunizieren typischerweise über Kurzstreckenfunktechnologien wie z.B. Bluetooth, das GSM-Netzwerk, IoT-spezifische Widearea-Funknetzwerke wie z.B. LoRa oder auch über normale Internetverbindungen. In jedem Fall muss davon ausgegangen werden, das die Kommunikationsverbindung nicht per se sicher ist. Somit muss in der Umsetzung der IoT-Lösung für eine sichere End-2-End-Kommunikation zwischen den IoT-Geräten und dem zentralen System gesorgt werden.
Sichere Server
Die ganzen Sicherheitsmassnahmen „im Feld“ nützen nichts, wenn die Server-Infrastruktur einer Lösung nicht auch entsprechend geschützt ist. Dazu zählt neben deren physischem Schutz natürlich auch der Schutz auf Ebene Netzwerk sowie ein funktionierendes Identity- und Access-Management. Je nach Anwendungsfall müssen weitergehende Massnahmen, wie z.B. eine sichere Datenspeicherung (Verschlüsselung) umgesetzt werden. Nicht zu vergessen sind auch organisatorische Massnahmen wie das regelmässige Sensibilisieren und Training der mit dem Betrieb betrauten Mitarbeitenden.
Sichere Software-Entwicklung
Man muss die Sicherheit ernst nehmen, auch wenn die Anforderungen der eigenen Anwendung nicht besonders hoch sind. Es besteht immer die Gefahr, dass IoT-Devices als Sprungbrett oder wie im Fall von DDoS-Attacken als Agenten missbraucht werden. Deshalb sollten bei der Entwicklung möglichst alle von der verwendeten Plattform (Chip) zur Verfügung gestellten Sicherheitsmechanismen verwendet werden. Sind die Daten vertraulich oder besteht eine hohe Anforderung bezüglich Datenqualität/Ursprung, muss ein stabiles Identity-Management implementiert werden, möglichst mit Hardware-Unterstützung.
Monitoring und Anomalie-Detektion
Aufgrund der hohen Vernetzung, der Heterogenität und des Preisdrucks ist davon auszugehen, dass die bis jetzt beschriebenen Massnahmen zwar notwendig, aber nicht ausreichend sind. Ausserdem ist es immer möglich, dass in bestimmten Fällen einzelne Massnahmen nicht umgesetzt werden können. Es empfiehlt sich daher, über sorgfältiges Monitoring sicherzustellen, dass sicherheitsrelevante Anomalien entdeckt werden und Anbieter darauf reagieren können.
Awareness und Standards
Auch wenn die angegriffenen Geräte selbst keinen Schaden nehmen, tun die Anbieter von IoT-Lösungen gut daran, auf Sicherheit zu achten. Denn einerseits kann es reputationsschädigend wirken, wenn eigene Geräte für Attacken genutzt werden, andererseits können Angreifer über solche Geräte an Daten gelangen. Und auch Endkunden sollten sich dessen bewusst sein, dass IoT-Geräte als Spione vertrauliche Daten sammeln oder für Angriffe auf Dritte genutzt werden können. Sie können sich bis zu einem gewissen Grad schützen, indem sie für IoT-Geräte wo immer möglich sichere Passwörter verwenden, nicht benötigte Features und Sensoren konsequent ausschalten und möglichst Geräte bekannter und damit eher vertrauenswürdiger Hersteller kaufen. Für eine wirklich sichere Nutzung von IoT sind jedoch langfristig verbindliche Sicherheitsstandards zwingend.
Letztlich gilt für die Security von IoT-Lösungen Ähnliches wie aus anderen Anwendungsfällen bekannt. Auch wenn man nicht alle oben genannten Mechanismen anwenden will bzw. aus Kostengründen kann, so ist es wichtig diese Entscheide bewusst und mit dem jeweilig verbundenen Risiko vor Augen zu treffen. Mit einem solchen Blick kann auch für IoT-basierte Business Cases eine hinsichtlich Risiko, Nutzen und Kosten optimale Lösung realisiert werden.