WannaCry hat zuletzt deutlich gezeigt, dass Cybersecurity bei der Vernetzung von Geräten mit dem Internet der Dinge noch nicht den nötigen Stellenwert hat. Botnetze bedienen sich verstärkt vernetzter Geräte, abseits klassischer Desktops PCs und Notebooks. Prominente Beispiele sind hier mit dem Internet verbundene Sicherheitskameras. Viele dieser Geräte werden mit minimalen Sicherheitsstandards auf den Markt gebracht. Oft besitzen die Geräte nicht einmal eine Firewall. Ganz zu schweigen von regelmäßigen Sicherheitsupdates.
Aus diesem Grund plädieren wir dafür, vor der Entwicklung eines IoT-Systems deren Anforderungen sehr genau gegen die daraus resultierenden Sicherheitsanforderungen abzuwägen.
Anforderungen: Welche Funktionen soll die IoT-Lösung erfüllen?
Bevor über das Sicherheitskonzept einer IoT-Lösung nachgedacht werden kann, müssen zuerst alle Anforderungen an das System selbst beschrieben werden. Hierzu sollten verschiedene Fragen aus Sicht des Kunden gestellt werden. Solche Fragen können zum Beispiel sein:
- Wie lässt sich mein Prozess mit der Lösung effizienter gestalten?
- Wie kann ich meine bestehenden Produkte für neue (digitale) Geschäftsmodelle z.B. Services „fit“ machen?
Ausgehend von diesen Fragen sollte man sich dann auf die Details der Umsetzung konzentrieren. Wie genau können die Anforderungen umgesetzt werden. Aktuelle IoT-Lösungen zeigen, dass die Fragen der Datenerfassung und -verarbeitung zentral sind:
- Wo werden die Daten erfasst?
- Wie sollen die Daten erfasst werden?
- Wann werden die Daten erfasst?
- Wo werden die Daten gespeichert?
- Wo werden die Daten verarbeitet?
- Wie werden die Daten gesichert?
Diese Fragen sind für das IT-Security Konzept essentiell. Bei der Erstellung des Sicherheitskonzeptes müssen diese Fragen vollständig beantwortet sein. Die Antworten auf diese Fragen können unter Umständen das Sicherheitskonzept stark beeinflussen. Daher muss man gegebenenfalls diese Fragen bei der Definition des Sicherheitskonzeptes neu stellen, um den Lösungshorizont zu erweitern.
Angriffspunkte: Was sind die häufigsten Bedrohungen für das IIoT?
Weiter empfehlen wir unabhängig von den Fragen zu prüfen wie und wo die 10 häufigsten Bedrohungen für industrielle Steuerungssysteme auftreten können. Diese Liste hat das Bundesamt für Sicherheit in der Informationstechnik veröffentlicht:
- Social Engineering und Phishing
- Einschleusen von Schadsoftware
- Infektion mit Schadsoftware über das Internet oder Intranet
- Einbruch über Fernwartungszugänge
- Menschliches Fehlverhalten
- Internetverbundene Steuerungskomponenten
- Technisches Fehlverhalten
- Kompromittierung von Cloud Komponenten
- (D)DoS-Angriffe
- Kompromittierung von mobilen Endgeräten
Diese Liste soll helfen sich noch einmal systematisch zu überlegen wo genau die Schwachpunkte einer IoT-Lösung in puncto IT-Sicherheit liegen.
Schnittstelle: Bidirektional oder unidirektional?
Auf Basis der Anforderungen muss überlegt werden ob mit dem IoT-System ausschließlich Daten erfasst werden sollen oder ein System aktiv gesteuert werden soll. Sollen zum Beispiel nur Daten erfasst werden, reicht eine Schnittstelle, mit der Daten aus dem angeschlossenen System gesendet werden. Dadurch lässt sich das System vor äußerem steuerndem Zugriff deutlich einfacher sichern. Sollte es dennoch erforderlich sein, dass die angeschlossenen Fremdsysteme von außen gesteuert werden sollen, muss diese Schnittstelle genau betrachtet und entsprechend abgesichert werden.
Trennung der Infrastruktur:
Um die Sicherheit zu erhöhen sollte die IoT Infrastruktur von der restlichen IT Infrastruktur getrennt sein. In der Fertigungsindustrie ist es zum Beispiel gängig, die Industrie-PCs von Werkzeugmaschinen in einem separaten Netzwerk zu betreiben. Aber hier fangen die Details schon an. Was bedeutet separates Netzwerk? Handelt es sich nur um eine eigene Domäne die letztendlich auf derselben Hardwareinfrastruktur aufsetzt wie die normalen Desktop-PCs? Um die Sicherheit signifikant zu erhöhen, müssen die Netzwerke komplett voneinander getrennt sein. Im Extremfall wird die gesamte Netzwerkhardware doppelt aufgebaut und betrieben. Eine Alternative zu Ethernetnetzwerken können Netzwerke auf Basis von 4G/5G sein. Diese Netzwerke lassen sich schnell und ohne Investitionen in neue Hardware aufbauen und sind automatisch getrennt von den anderen Firmennetzwerken.
Serverbetrieb: Onsite oder in der „Cloud“?
Eine zentrale Frage bei IT-Sicherheitskonzepten ist sicher die Frage der Datenspeicherung. Vermehrt stellt sich für die Unternehmen die Frage, ob die Daten auf eigenen Servern oder auf fremden Servern gespeichert werden. Viele Unternehmen denken bei der Cloud an einen anonymen Datenspeicher der sich irgendwo auf der Welt befindet. Dem ist aber oft nicht so. Viele Dienstleister bieten die Möglichkeit, eigene Server zu mieten. Bei der Auswahl der Dienstleister kann man ebenfalls den Standort beeinflussen. Zum Beispiel kann man vertraglich vereinbaren, dass die Server ausschließlich in Deutschland stehen dürfen. Gerade KuM sollten sich sehr genau die Frage stellen, ob es Ihre Kernkompetenz ist, eigene Server zu betreiben. Neben den Betriebskosten sollte die Frage hinsichtlich der Datensicherung und der IT-Security beantwortet werden. Können wir unsere Daten besser sichern, als dafür spezialisierte Dienstleister?
Wichtig aus unserer Sicht ist es, sich schon in der Konzeptphase mit der IT-Sicherheit zu beschäftigen um nicht hinterher für viel Geld Sicherheitslücken schließen zu müssen. Und Unternehmen sollten sich offen mit dem Thema der Speicherung von Daten auf externen Servern beschäftigen, da dies oft weniger Risiken birgt als man im ersten Moment vielleicht annimmt.
