Sicherheitsrisiko IoT-Geräte – die unterschätzte Gefahr

Was genau ist IoT – und welche Vor- und Nachteile bringt es mit sich?

Im Internet of Things (IoT) – zu Deutsch „Internet der Dinge“ – sind Geräte mit smarten Funktionen sowohl mit dem Internet als auch untereinander drahtlos vernetzt. Neben Haushaltsgeräten und Alltagsgegenständen, wie etwa intelligenten Klima- und Lichtsystemen, Warnmeldern und Druckern, sind es auch Maschinen im industriellen und medizinischen Bereich, die miteinander kommunizieren und aus dem Internet erreichbar gemacht werden, um bspw. Statusinformationen auf einem Smartphone bereitstellen zu können. Technische Grundlage für die Kommunikation über das IP-Netz sind Prozessoren und Sensoren, die in den Geräten implementiert sind. Indem IoT-Geräte und -Maschinen Prozesse automatisieren und mit dem Anwender proaktiv in Kontakt treten, können sie Arbeitsabläufe verbessern, Produktionsvorgänge beschleunigen und nicht zuletzt Betriebskosten senken. Mithilfe von IoT-Technologien lassen sich zudem Verbraucher- und Geschäftsdaten in Echtzeit übermitteln, was eine schnelle Optimierung des Kundenerlebnisses und der betrieblichen Abläufe ermöglicht. Die IoT-gestützte Überwachung von Arbeitsplätzen wiederum schützt Mitarbeiter vor Verletzungen und Überlastung. Leider bergen intelligente Geräte aber auch Sicherheitsrisiken in sich, die sich auf die gesamte Informationssicherheit eines Unternehmens oder einer Organisation auswirken.

Generell kann zwischen direkt adressierbaren IoT-Geräten und IoT-Geräten, die eine zentrale Steuereinheit voraussetzen, unterschieden werden. Direkt adressierbare Geräte werden in den meisten Fällen mit einer eigenen IP-Adresse ans LAN angeschlossen und können autark agieren oder durch eine Steuereinheit zentrale verwaltet werden. Daneben gibt es IoT-Geräte, die ausschließlich direkt mit Steuereinheiten kommunizieren, z. B. über Funknetze wie Bluetooth oder ZigBee, und somit nicht direkt an bestehende Datennetze angeschlossen werden. Im Vergleich zur IT in der Produktion gibt es jedoch keinen Datenverkehr, der nur in die klassische Nord-Süd-Richtung fließt (vom eigenen Netz nach außen), sondern auch in Ost-West-Richtung, also etwa von einer Maschine zur anderen.

Um ein Ausufern des Ost-West-Verkehrs zu verhindern, sollte eine Netzsegmentierung stattfinden. Zudem sollte der Netzwerkverkehr analysiert werden, um Anomalien rechtzeitig zu hinterfragen: Warum benötigt beispielsweise der IoT-Sensor einer Maschine Kontakt zu einem externen Server? Die klassische Suche nach Malware reicht im Internet-of-Things-Bereich leider häufig nicht aus.

Hinzu kommt: Bei der Entwicklung von IoT-Geräten werden Aspekte der Informationssicherheit typischerweise nicht oder nur wenig beachtet. Sei es aus budgetären Gründen oder um Rechenkapazitäten einzusparen, Gründe gibt es viele. Viele Nutzer nehmen die versteckten Risiken auf die zu leichte Schulter und die erfolgreichen Cyberangriffe spitzen sich zu. Somit bietet IoT neben einem großen praktischen Nutzen auch große Herausforderungen an die IT Security.

Darum geht von IoT-Geräten ein hohes Sicherheitsrisiko aus

IoT-Geräte stellen vor allem deshalb ein beliebtes Angriffsziel für Cyberkriminelle dar, weil sie größtenteils schlecht abgesichert sind. Wie der IoT Threat Report 2020 von Palo Alto Networks zeigt, laufen nur 2 Prozent des gesamten IoT-Geräteverkehrs verschlüsselt ab. Dadurch ist es für Hacker ein Leichtes, offengelegte Daten über eine Command-and-Control-Struktur abzugreifen. 57 Prozent aller IoT-Geräte sind für Attacken mittleren oder hohen Grades anfällig.

Woran liegt es nun, dass die Sicherheit von IoT-Geräten derart vernachlässigt wird? Zunächst einmal legen Käufer kein allzu großes Augenmerk auf die Sicherheit eines IoT-Geräts, sondern interessieren sich oft nur für die innovativen Funktionen und den zukunftsweisenden Nutzen des Produkts. Wie ein trojanisches Pferd integrieren Unternehmen IoT-Geräte in ihre Netzwerkumgebung, ohne sich der verborgenen Sicherheitsrisiken bewusst zu sein. Den Herstellern kann das nur recht sein: Müssten sie ihre Produkte mit effektiven Sicherheitsfunktionen ausstatten, wären sie auch dazu gezwungen, den Preis zu erhöhen. Angesichts des starken Wettbewerbs wären sie dann kaum noch konkurrenzfähig.

Im Produktionsumfeld kommt erschwerend hinzu, dass die Geräte oder Maschinen mitunter zehn Jahre und länger eingesetzt werden. Diese lange Nutzungsdauer führt noch zu einem anderen Problem: Häufig sind absolut veraltete Betriebssystem-Versionen anzutreffen. Teilweise sind von den Herstellern die Systeme gar nicht für den Unternehmenseinsatz ausgelegt und bekommen nach kurzer Zeit keine Updates mehr.

Wer sich ein IoT-Gerät zulegt, muss sich darüber bewusst sein, dass viele Modelle auf Basis von herstellereigenen Betriebssystemen laufen, die häufig große Sicherheitslücken aufweisen. Eine besonders hohe Gefahr geht dabei von NAS-Speichern, PCs, Smart-TVs und Media Playern aus. Da die Software nur selten oder gar nicht gepatcht wird, bleiben Schwachstellen auch dann bestehen, wenn sie längst bekannt sind. Hacker haben also genügend Zeit, ein Exploit zu entwickeln und strategisch ausgefeilte Angriffe zu starten. Ein zusätzliches Risiko stellen voreingestellte Gerätepasswörter dar, die von den Nutzern oftmals nicht geändert werden.

Im Gesundheitswesen laufen laut des IoT Threat Report 2020 über 80 Prozent der medizinischen IoT-Geräte auf nicht unterstützten Betriebssystemen. Die meisten Sicherheitsprobleme und Bedrohungen (51 Prozent) entstehen dabei in Zusammenhang mit bildgebenden Systemen, auf denen sensible Patientendaten gespeichert sind. Außerdem vermischen 72 Prozent der VLANs im Gesundheitswesen IT- und IoT-Ressourcen, sodass sich Schadsoftware von Computern auf ungeschützte IoT-Geräte übertragen kann und umgekehrt.