- Anzeigen -


Sie sind hier: Home » Fachbeiträge » Grundlagen

Wie sicher sind IoT-Geräte?


Herausforderung für Unternehmen: Endpunkt-Sicherheit für IoT-Umgebungen
Wo liegt der künftige Einsatzschwerpunkt für IoT-Security-Technologie?

- Anzeigen -





Autor Klaus Gheri
Autor Klaus Gheri Die Vielfalt und die Auswirkungen von Angriffen auf IoT-Geräte sind enorm, Bild: Barracuda Networks

Von Klaus Gheri, Vice President und General Manager Network Security bei Barracuda

Von Lieferfahrzeugen über Geldautomaten und Klimaanlagen bis zu Überwachungskameras; die Möglichkeiten, Industriegeräte mit dem Internet zu verbinden sind groß. Das Internet der Dinge hat die Geschäftswelt erreicht. Mit der fortschreitenden industriellen Vernetzung wird auch die Sicherung von IoT-Implementierungen zu einem drängenden Thema. Worauf müssen Unternehmen achten und wie ist es derzeit um die IoT-Sicherheit in Unternehmen bestellt?

Eine genaue Aussage zu treffen, wie sicher oder unsicher das Internet der Dinge wirklich ist, macht die schiere Anzahl an IoT-Geräten und Anwendungsbeispielen sehr schwierig. Die anhaltend schnelle Entwicklung erschwert es Unternehmen deutlich, in punkto Sicherheit immer auf dem Laufenden zu bleiben. Typischerweise achten Unternehmen, die IoT-Geräte implementieren wollen, mehr auf Funktionalität und Remote-Zugriff als auf Sicherheit. So entsteht eine gefährliche Lücke innerhalb des Systemdesigns und der Architektur.

Eine unzureichende Verschlüsselung und schwache Authentifizierungsschemata sind die häufigsten Ursachen, die IoT-Geräte für Datendiebstähle anfällig machen. Nicht selten sind die Gerätesysteme "geschlossen", dass heißt, sie lassen sich nur schwierig remote verwalten oder aktualisieren. Eine einfache Verwaltung von Endgeräten ist aber wichtig. Normalerweise befinden sich innerhalb eines Unternehmens oder einer Organisation viele solche Geräte im Einsatz, was es praktisch unmöglich macht, physisch auf jedes einzelne Gerät zugreifen zu wollen.

Ein moderner Geschäftsbetrieb verlangt heutzutage vernetzte Geräte, um den wirtschaftlichen und technologischen Anschluss nicht zu verlieren und auf jegliche Informationen und Veränderungen schnell und entsprechend zeitnah reagieren zu können. Eine der größten Herausforderungen für Unternehmen ist es, all diese Informationen an die zentrale Stelle zurückzumelden, ohne dass sie unbefugt abgeschöpft werden.

Welcher Schaden kann durch den Angriff auf ein IoT-Gerät entstehen?
Die Vielfalt und die Auswirkungen von Angriffen auf IoT-Geräte sind enorm. So können Hacker beispielsweise die gleichen Schadprogramme nutzen, die Verbraucher in Spam-E-Mails herunterladen und damit die gesamte Netzwerkstruktur eines Unternehmens lahmlegen. Schafft es ein Hacker, auf die Web-Konsole eines Geräts zuzugreifen oder sich in das Gerät einzuloggen, ist es ein Leichtes, das Gerät fortan zu kontrollieren. Ist das Gerät zudem Teil einer sicherheitsrelevanten Infrastruktur, etwa von Energieversorgern, stehen buchstäblich alle Türen offen, um einen nicht nur immensen wirtschaftlichen Schaden anzurichten, sondern auch Menschenleben zu gefährden.

Betreiber von Windparks beispielsweise sehen sich einem großen Gefahrenpotenzial gegenüber. Große Windparks mit mehreren Hundert Turbinen, die Strom für mehr als 300.000 Haushalte liefern können, dürfen nicht außer Kontrolle geraten. Die Verbindung zu jeder Turbine muss immer gewährleistet sein. Würden diese Turbinen gehackt und erpresserisch blockiert oder würde das Stromnetz unbefugt abgeschaltet, käme das für den Betreiber einem wirtschaftlichen Totalschaden gleich.

Ein ebenso hohes Gefährdungspotenzial ist auch bei vernetzten industriellen Kühlanlagen gegeben. Kaum jemand denkt bei industriellen Kühlanlagen an intelligente Geräte. Tatsächlich senden diese Anlagen alle erdenklichen Daten kontinuierlich hin und her. Ein krimineller Cyberangriff würde nicht nur die Ware verderben lassen, sondern das Unternehmen wäre höchstwahrscheinlich nach einem solchen Angriff nahezu pleite. Für Industriegeräte, deren Hack ein Gefahrenpotential für die Bürger darstellt, ist eine Security-Lösung daher unabdingbar. Das gilt gleichermaßen für Organisationen, die sich auf vernetzte Maschinen verlassen müssen. Das attackierte Gerät darf nicht Teil der Unternehmens-Infrastruktur sein.

Welche Tools sollten Unternehmen nutzen, um sichere, hochskalierbare IoT- Implementierungen einzuführen?
Tools für eine sichere und skalierfähige IoT-Verbindung sollten relativ klein, sowie leicht und einfach integrierbar sein. Außerdem sollte sie auch in großen Stückzahlen problemlos transportierbar und natürlich einfach einzurichten und zu verwalten sein.
Darüber hinaus ist der Preis ein wichtiges Kriterium. Viele der heute erhältlichen Security-Lösungen sind schlichtweg zu teuer, so dass sich deren Einsatz nicht lohnt. Andere wiederum versuchen eine Applikation zur Datenverschlüsselung zu starten. In diesem Fall gibt es keinen DoS-Schutz, so dass die Infrastruktur nicht ausreichend geschützt ist. Mit der steigenden Anzahl an IoT-Implementierungen wächst jedoch auch der Bedarf für Unternehmenslösungen, die exakt für diesen Zweck entwickelt wurden.

Was sind heute die größten Hindernisse, um das IoT sicher zu machen?
Das größte Hindernis lautet schlichtweg, dass es keine Generallösung gibt. Das Spektrum der IoT-fähigen Geräte reicht von Wearables über intelligente Glühbirnen bis hin zu industriellen Fertigungsmaschinen. Je nachdem, um was für ein IoT-Gerät es sich handelt, gibt es einen anderen wirtschaftlichen Ansatz. Die Herausforderung besteht darin, für jeden einzelnen Anwendungsfall eine adäquate Sicherheitskonfiguration zu finden. Deshalb haben Unternehmen teilweise entweder keine Vorsichtsmaßnahmen getroffen, um ihr IoT-Netzwerk zu schützen oder aber, sie haben nur unzureichende, den Zweck nicht wirklich erfüllende Maßnahmen getroffen.

Beinhaltet das IoT-Netzwerk hunderte oder gar tausende Geräte, ist es ein logistischer Kraftakt, jedes einzelne Gerät mit einer effektiven Security-Lösung auszustatten. Wie wird die Ausstattung eingesetzt? Wie soll der Lebenszyklus gemanagt werden? Wie werden Sicherheitsregeln implementiert? Sind diese Fragen erste einmal beantwortet, lässt sich das Internet der Dinge viel einfacher in den Geschäftsbetrieb integrieren – und viel sicherer. Die Herausforderung für die Anbieter von Security-Lösungen ist, dass die herkömmliche IT wie sie in Büros oder Rechenzentren genutzt wird, nicht mit hunderten oder tausenden von remote verbundenen Geräten kompatibel ist.

Wo liegt der künftige Einsatzschwerpunkt für IoT-Security-Technologie?
Es gibt tatsächlich viele Anwendungsfälle für sichere, skalierfähige Schnittstellentechnologien, etwa bei Bankautomaten, im Ticketverkauf oder Spielautomaten. Bei all diesen Beispielen geht es um Geldvorgänge, was sie zu begehrten Zielen von Angriffen macht. Bezüglich der Adaptierung wird die Technologie kleiner und kostengünstiger werden, dabei aber mehr Funktionalitäten bieten. Lösungen brauchen beispielsweise eine zusätzliche Datenverkehrsüberwachung durch das Gerät selber und die direkte Verbindung zum Internet, anstatt den Datenfluss erst einmal zu einem zentralen Vollzugspunkt zurückzuschicken. So etwas bietet gerade für die industrielle Anwendung viele weitere Möglichkeiten. Denn wir können sicher davon ausgehen, dass der Trend der Miniaturisierung anhalten wird, bei gleichzeitiger Steigerung der Rechenpower der Geräte.

Über Klaus Gheri
Dr. Klaus Gheri verantwortet als Vice President & General Manager Network Security bei Barracuda Networks weltweit das Produktmanagement und die Entwicklung der Barracuda Firewall, Barracuda NG Firewall und Barracuda SSL VPN-Lösungen. Zu Barracuda Networks kam Gheri im Herbst 2009 im Zuge der Übernahme der Phion AG. Dieses Unternehmen hatte Gheri 2000 mit Wieland Alge und Peter Marte gegründet und war wesentlich an der Architektur und Entwicklung der Barracuda NG Firewall beteiligt. Als Chief Technology Officer (CTO) war er danach für die strategische Produktausrichtung und strategische Partnerschaften des börsennotieren Unternehmens mit Sitz in Innsbruck verantwortlich. Der habilitierte Physiker mit Abschluss in Theoretischer Physik von der University of Auckland, Neuseeland, forschte und dozierte vor der Gründung von Phion im Bereich der Quantenkommunikation. Gheri verfügt über mehr als 14 Jahre Erfahrung im Security-Bereich und ist ein gefragter Referent zu Themen der Netzwerk-Sicherheit in Unternehmen.
(Barracuda Networks: ra)

eingetragen: 19.06.16
Home & Newsletterlauf: 06.07.16


Barracuda Networks: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Grundlagen

  • Sieben Punkte zur IoT-Security

    Das Internet der Dinge steckt immer noch in den Kinderschuhen, aber hat sich bereits einen Ruf als ausgewachsenes Sicherheitsrisiko gemacht. Ob Router, Drucker, Smart-TV, Spielzeug oder Waschmaschinen - vernetzte Geräte werden für Cyberkriminelle zum Werkzeug für illegales Krypto-Mining, DDoS-Angriffe bis hin zur Lösegelderpressung durch angedrohte Datenlöschung, wie im Fall des Spielzeugherstellers Spiral Toys. Dessen Datenleck machte 2017 Schlagzeilen, bei dem mehr als 800.000 Nutzer betroffen waren. Die IoT-Malware-Landschaft entwickelt sich stetig weiter, während die Sicherheitsvorkehrungen meist noch rudimentär sind. Das Anfang des Jahres entdeckte Botnet "Hide and Seek" bettet, im Gegensatz zur berüchtigten DDoS-Mirai-Malware, eine Vielzahl von Befehlen wie Datenexfiltration, Code-Ausführung und Interferenz mit dem Betrieb des Geräts ein. Die Sicherheitsrisiken im IoT-Bereich sind Großteils auf das rasante Tempo zurückzuführen, mit dem IoT-Devices weltweit implementiert werden - 20 Milliarden installierte Geräte sind nach Schätzungen von Gartner bis Ende 2020 zu erwarten. Im hart umkämpften Technologiesektor hat der Eifer, als erster mit erschwinglichen IoT-Geräten auf den Markt zu kommen, dazu geführt, dass viele Hersteller selbst einige der grundlegendsten Sicherheitsprinzipien zugunsten schneller Entwicklungszyklen außer Acht gelassen haben.

  • Implementierung einer Public Key Infrastructure

    Die digitale Transformation hat inzwischen eine Vielzahl von Branchen erreicht. Nicht zuletzt angetrieben durch die rasante Weiterentwicklung des Internet of Things (IoT) und die darin liegenden unternehmerischen Möglichkeiten. Wie etwa den, sich Wettbewerbsvorteile gegenüber der Konkurrenz zu verschaffen. Richtig aufgesetzt haben IoT-Projekte das Potenzial, betriebliche Abläufe zu rationalisieren, neue Umsatzquellen zu erschließen und Dienstleistungen besser auf die Bedürfnisse der Kunden zuzuschneiden. So erheben und sammeln IoT-Geräte Unmengen von Daten, die Firmen analysieren und für sich nutzbar machen können. Dazu muss allerdings eines gewährleistet sein: Sowohl die Geräte als auch die Daten müssen vertrauenswürdig sein. Sonst hätte es wenig Sinn, sie aufwendig zu analysieren und zueinander in Beziehung zu setzen. Will man die ambitionierten Ziele der digitalen Transformation erreichen, braucht es zwingend eine Vertrauensbasis für IoT-Anwendungen. Eine Technologie, die sich in dieser Hinsicht bereits bewährt hat, wird hier zu einem der zentralen Bausteine: eine auf Best Practices basierende Public Key Infrastructure (PKI).

  • KI: Kein Ersatz für IT-Sicherheitsteams

    Ob Spear-Phishing, Ransomware oder Zero-Day-Exploits, Netzwerke sind ständig in Gefahr gehackt zu werden. Die wachsende Bedrohung geht einher mit immer komplexeren IT-Landschaften, mehr Daten und weniger IT-Personal. Um ihre Netzwerke unter diesen schwierigen Umständen effektiver zu schützen, setzen viele Unternehmen inzwischen auf Technologien wie KI-basierte Verhaltensüberwachung. Sie nutzt die Möglichkeiten von Datenanalyse und maschinellem Lernen um einen der größten Risikofaktoren im Netzwerk zu minimieren: den Benutzer. Nutzer sind die Einfallstore, die sensible Unternehmensdaten gefährden, sei es ein kompromittiertes Nutzerkonto im Netzwerk, ein Insider-Angriff oder unbedachtes Verhalten eines Mitarbeiters.

  • Cyber-Erpressung auf Bestellung

    CryptoLocker, GoldenEye, Locky, WannaCry - Ransomware hat mit der Geiselnahme von Dateien durch Verschlüsselung in den letzten Jahren eine beachtliche und unrühmliche Karriere hingelegt. Und da sich Kriminelle auch bei Digitalisierungstrends wie as-a-Service-Angeboten nicht lumpen lassen, hat die Untergrundökonomie mit Ransomware-as-a-Service (RaaS) rasch ein lukratives Geschäftsmodell für sich entdeckt, das in kürzester Zeit enormes Wachstum erlebt hat. Das Prinzip ist denkbar einfach - wie in der legalen Wirtschaft sind die Dienstleistungen ganz auf die Bedürfnisse einer möglichst breiten Kundschaft zugeschnitten: Auf Ransomware-as-a-Service-Plattformen können nun auch technisch wenig versierte Kriminelle ins Cyber-Erpressergeschäft einsteigen und sich von Schadware-Entwicklern die entsprechende Service-Leistung gegen Abgabe einer festen Gebühr oder einer Provision basierend auf den Lösegeldeinnahmen besorgen.

  • Investitionen in IT-Sicherheit legitimieren

    Wenn man so oft direkt mit unterschiedlichen Unternehmen und Menschen zu tun hat wie der Vertrieb, erkennt man schnell bestimmte Reaktionsschemata. Ebenso wie zuverlässig wiederkehrende Schwierigkeiten beim Implementieren von IT-Sicherheitsmaßnahmen. Den größten Teil unserer Zeit verbringen wir damit zu erläutern warum Cybersicherheit derart wichtig ist und wie ein Unternehmen von bestimmten Maßnahmen am besten profitiert. Trotzdem erhält man regelmäßig dieselben Antworten: "Ich verstehe absolut wovon Sie sprechen, und ich gebe Ihnen sogar Recht. Nur, wie soll ich die zusätzlichen Ausgaben gegenüber der Geschäftsleitung rechtfertigen?" Es gibt allerdings einige grundlegende Argumente die Kunden helfen, Sicherheitsansätze und Lösungen gegenüber der Geschäftsführung oder anderen Zeichnungsbefugten plausibel zu machen.