IoT und Sicherheit: was Sie wissen müssen

Warren Buffet sagt, dass Cybersicherheit die größte Bedrohung für die Menschheit ist, sogar gefährlicher als Atomwaffen. Das mag etwas übertrieben klingen, aber der Schutz vernetzter Geräte und Netzwerke – und das Verständnis, wie man das effektiv umsetzt – wird von größter Bedeutung sein, da IoT weiterhin zu einem entscheidenden Bestandteil Ihrer Geschäftsstrategie wird.

Unternehmen betonen weiterhin, dass die Bewältigung von Sicherheitsfragen ihnen wichtig ist und weiterhin ganz oben auf ihrer Agenda steht – doch trotz erhöhter Risiken und Schwachstellen und der Folgen, wenn Sicherheit nicht berücksichtigt wird, wird nicht nur auf ihr eigenes Unternehmen, sondern auch auf die Gesellschaft insgesamt nachteilig getan.

IoT-Sicherheit bedeutet nicht nur, technisch sicher zu sein, sondern auch, die Nutzer darüber zu informieren, was mit ihren Informationen und Geräten passiert, damit sie fundierte Entscheidungen darüber treffen können, wie diese Informationen verwaltet werden sollen. Es geht auch darum, die Mitarbeiter darin zu schulen, wie sie mit Daten und Geräten umgehen.

Daten dienen als Fenster in unser Leben – und wenn es um Ihr Unternehmen geht, können sie nicht nur zu Ihrem Unternehmen, sondern auch zu den Geschäften Ihrer Kunden führen. Sensible Daten sind äußerst wertvoll und können in den falschen Händen eine ernsthafte Bedrohung darstellen.

Die Folgen, Sicherheitsrisiken nicht anzugehen, sind weitreichend. Bis alle drei Ebenen der IoT-Sicherheit verwaltet und unter Kontrolle sind, bleiben Ihr Unternehmen und Ihre Kunden verwundbar.

IoT & Sicherheit: Der Hintergrund

Viele Unternehmen sind traditionell davon ausgegangen, dass jede IoT-Lösung sicher ist, und obwohl sie über qualifizierte IT-Abteilungen verfügen, die insgesamt mit digitaler Sicherheit arbeiten, haben sie sich oft nicht darauf konzentriert, einen Implementierungsplan speziell für ihre IoT-Lösungen zu entwickeln. Gleichzeitig haben Sicherheitsexperten schon lange auf das potenzielle Risiko großer Zahlen ungesicherter vernetzter Geräte hingewiesen, wobei einige sagen, dass es mehrere große globale Angriffe geben werde, bevor Sicherheit ernst genommen wird – wenn das geschieht, werden alle erkennen, wie wichtig es für jedes Unternehmen ist, das IoT einsetzt, eine Sicherheitsstrategie zu haben.

Mit steigendem Bewusstsein hat sich auch die Qualität der Sicherheitsmaßnahmen verbessert. Das bedeutet, dass die meisten IoT-Komponenten ein gewisses Maß an Sicherheit besitzen, aber es bleibt dem Entwickler oder Entwerfenden der Lösung überlassen, sicherzustellen, dass diese Komponenten gut zusammenarbeiten. Mit anderen Worten: Es gibt kein Wundermittel – man muss trotzdem eine eigene Sicherheitsstrategie entwickeln und umsetzen.

Drei IoT-Sicherheitsebenen, die Sie berücksichtigen sollten:

• Physische Technologie – alles von Hardware über Software bis hin zu Infrastruktur
• Rechteverwaltungssystem – wer hat Zugang zu welchem
• Informationen – wie Sie mit Kunden und Endnutzern kommunizieren – und was mit Ihren Informationen passiert

IoT & Sicherheit: Angriffe, Risiken und Selbstschutz

Angriffe und Schutz sind zwei Seiten derselben Medaille. Und Angriffe oder Probleme (Risiken) können sowohl von innen als auch von außen kommen, sodass die Folgen, Sicherheitsrisiken nicht zu adressieren, vielfältig sind.

Top 3 IoT-Sicherheitsrisiken laut Tele2 IoT:

• Daten- und Gerätediebstahl
• Daten- und Gerätemanipulation
• Übereinstimmung mit Datenspeicherung

Außerdem kann es sehr schwierig sein, Sicherheitsverletzungen zu erkennen. Wenn du nicht die Einsicht oder das Wissen über IT und Sicherheit hast, bemerkst du es vielleicht gar nicht, bis es zu spät ist.

Wenn wir über Sicherheit sprechen, meinen wir die Angriffsoberfläche – im Grunde genommen, wie viel Exponierung man hat. Es ist so einfach wie zu wissen, dass man im Winter nach draußen fährt, je mehr Haut man freiliegt, desto schneller friert man wird. Sicherheit zu adressieren ist dasselbe: Je weniger Risiko man hat, desto geringer ist das Risiko. Du wirst keine Unterkühlung bekommen, wenn du die richtige Abdeckung hast.

Die meisten Geräte werden mit Standardpasswörtern ausgeliefert, und die Verwendung von Standardpasswörtern ist die Wurzel der meisten Schwachstellen. Es ist schnell und einfach für jemanden zu überprüfen, wenn du nicht richtig passwortgeschützt bist, daher ist es entscheidend, die Standardpasswörter zu ändern. Und wenn dein Gerät im öffentlichen Internet ist, wird es schnell von Suchmaschinen indexiert, die dann eine Liste von Geräten erstellen, bei denen die Tür weit offen steht, und dann zack! Du hast ein Sicherheitsproblem.

Nicht zu aktualisieren ist für Unternehmen, die IoT einführen, genauso ein großes Problem wie für Laien, die sich nicht die Mühe machen, ihren Browser oder ihr Betriebssystem zu aktualisieren. Aktualisieren ist eine einfache, unkomplizierte Möglichkeit, die Sicherheit zu erhöhen – doch es ist ein Schritt, der oft übersehen wird.

Kein verifizierter Update-Zyklus ist ebenfalls ein Risiko und kann dazu führen, dass jemand Zugriff auf Ihre Geräte erhält und sie manipuliert – also ferngesteuert.

Ein weiteres Szenario ist, dass jemand Zugang zu Ihren Geräten erhält, nicht um etwas zu verändern oder zu manipulieren, sondern um Ihre Geräte als Mittel zu nutzen, um andere Geräte anzugreifen. Mit anderen Worten: Sie erschaffen eine Armee von Geräten, mit denen man Ihr Unternehmen angreifen kann. Nehmen wir das MIRAI-Botnet: Unsichere IoT-Geräte brachten einen Großteil der zentralen Internetinfrastruktur der USA lahmzulegen, darunter Twitter, Netflix, CNN usw., und es entstand ein Chaos.

Das MIRAI-Botnet könnte ein ziemlich extremes Beispiel sein, aber schau dir dein eigenes Unternehmen an und frage dich, wo die Risiken liegen. Wo in Ihrem Setup können Sie Schwachstellen erkennen und was können Sie tun, um sie zu beheben?

Changing default passwords and updating regularly are two steps you should be implementing right away.

Als Laien machen wir uns bei Sicherheitsfragen Sorgen, ob unsere Social-Media-Konten gehackt wurden oder unsere Bankdaten kompromittiert wurden, aber Hacking ist auch im IoT ein großes Problem.

If you are hacked any data could be modified – and any data that is modified cannot be trusted.

Wenn Ihr Kernkraftwerk beispielsweise bestimmte Verhaltensweisen an die Behörden meldet, könnte ein Hacker diese Daten während des Transports verändern, was dazu führt, dass Entscheidungen auf falschen Fakten basieren. Der Hacker könnte Audit-Trails modifizieren und es sehr schwierig und kostspielig machen, zu erkennen, welche Informationen korrekt sind und welche nicht.

Natürlich haben nicht alle Hacks das theoretische Potenzial für solch drastische Konsequenzen. Nehmen wir den fiktiven Farmer John, der kleine Sensoren auf seinen weiten Feldern installiert hat. Man denkt vielleicht, dass es für jemanden außer ihm wertvoll ist, zu wissen, wie feucht sein Boden ist oder wann er erntet, aber wenn das Erntefenster nur drei oder vier Tage beträgt und seine Geräte kompromittierte Informationen senden oder sie nicht funktionieren und er nicht merkt, dass sie nicht funktionieren, könnte er seine ganze Ernte verlieren. Das würde nicht nur seinen Gewinn beeinträchtigen, sondern auch die Lebensmittelversorgungskette.

Innerhalb der EU besteht ein großes Risiko darin, nicht mit der DSGVO, der Datenschutzverordnung der EU, nicht zu konform zu sein. Nicht konform zu sein ist nicht nur schlecht für Sie – Sie werden mit hohen Bußgeldern rechnen, die sich enorm auf Ihren Gewinn auswirken – es ist auch schlecht für Ihre Kunden und Endnutzer.

Die Übertragung sensibler Daten zwischen Ihren Geräten und Ihrem Operationszentrum könnte zu Abhören führen, bei dem jemand Informationen über Ihr Unternehmen oder einen Ihrer Kunden erhält, die Sie nicht haben möchten – und die er nicht haben sollte.

Ein einfaches Beispiel wäre ein verbundener Herzschrittmacher: Nach der DSGVO hat der Patient/Kunde das Recht, alle sensiblen Informationen privat und geschützt übertragen zu lassen. Wenn diese Informationen kompromittiert sind, sagen Sie einfach, weil jemand in Ihr System eindringen konnte, haben Sie große Probleme.

Nicht alle Sicherheitsrisiken beinhalten Datenpannen, aber jeder Angriff, der Sie daran hindert, Produkte oder Dienstleistungen zu verkaufen – oder sogar daran, Ihre Kunden zu fakturieren – kann eine Vielzahl unerwünschter Probleme verursachen.

Sich jeglicher Schwachstellen bewusst zu sein und gleichzeitig die richtigen Maßnahmen zum Schutz zu ergreifen, verringert potenzielle Sicherheitsrisiken.

Sich selbst schützen

Die meisten Schwachstellen, die von der Hacker-/Hacker-Community ausgenutzt werden, sind seit mehr als sechs Monaten bekannt. Obwohl Schwachstellen normalerweise einen Patch haben und ein Update verfügbar ist, hast du eine große Gefahr, wenn du ein Jahr wartest, weil je länger du mit dem Update wartest, desto häufiger werden die Scans. Dadurch werden immer mehr Angreifer von Ihrer Schwachstelle erfahren, was es viel einfacher macht, Ihr System zu durchbrechen.

Es gibt zwei Arten von Angreifern, die man beachten sollte:

1. Opportunistisch

2. Zielgerichtet

Opportunistische Hacker scannen und nutzen jede Schwachstelle ständig aus. Man kann es sich wie einen Einbrecher vorstellen, der durch eine Nachbarschaft geht und jede Tür ausprobiert, um zu sehen, welche nicht abgeschlossen ist. Es ist kostengünstig und sie wissen, dass sie jederzeit Glück haben können und eine Riesenmenge an Informationen finden. Was sie mit diesen Informationen machen, ist ungewiss.

Andererseits spielen Hacker, die gezielte Angriffe durchführen, nicht mit den Chancen. Sie wollen Zugang zu bestimmten Systemen und arbeiten an einem viel höheren Maß an Engagement. Ein gezielter Angriff erfordert mehr Arbeit, um in ein bestimmtes System einzudringen: Hacker müssen ihn finden und wissen, was sie damit machen sollen. Es ist viel schwieriger, sich vor gezielten Angriffen zu schützen, einfach weil diese Art von Angreifern viel hartnäckiger ist.

Wenn du ein Tracking-Gerät benutzt, solltest du idealerweise aufgefordert werden, die Software zu aktualisieren, aber während dein Handy, dein Tablet oder dein Laptop dir Push-Benachrichtigungen zum Aktualisieren geben, sind die meisten IoT-Geräte nicht clever genug, um sich selbst zu aktualisieren, sodass du das möglicherweise manuell machen musst.

Manchmal ist es jedoch nicht möglich, Ihre IoT-Geräte zu aktualisieren, was bedeutet, dass Sie sie austauschen müssen, um Ihr System aufzurüsten. Dies ist ein wichtiger Aspekt, den Sie bei der Wahl Ihrer IoT-Lösung berücksichtigen sollten.

A mobile network system makes it difficult to go from one device to another, so someone who compromises one device will have a tough time accessing the rest. This reduces the ability of attacks/infections spreading.

Natürlich steht nichts dagegen, dass man seine Geräte ins öffentliche Internet stellen muss. Bei einem privaten APN sind Ihre Geräte nie dem (öffentlichen) Internet zugänglich, daher werden sie nie in einer Suchmaschine angezeigt. Beachten Sie jedoch, dass selbst wenn Sie ein kompromittiertes Gerät aus dem Internet nehmen und in ein privates Netzwerk legen, es dennoch kompromittiert sein kann – aber der Schaden, den es anrichten kann, und das Risiko der Exposition werden geringer. Außerdem sind Ihre Geräte nicht nur voneinander, sondern auch von anderen Kunden isoliert, was die Sicherheitsmaßstäbe deutlich erhöht.

Wie Sie sich schützen: Die IoT-Sicherheitscheckliste

• Aktualisieren Sie Ihre Software regelmäßig und pünktlich.
• Ändere deine Standardpasswörter.
• Sichere Zugangsdaten.
• Begrenze die Exposition (Firewalls, private Netzwerke usw.).
• Beschränke den Zugriff auf Systeme (nur Personen und Computer, die Zugriff benötigen).
• Stellen Sie Ihr geschäftskritisches Fabrikkontrollsystem nicht auf dasselbe System wie Ihr Firmenbüro. Integriere starke Prozesse für die Mitarbeiter.
• Haben Sie ein erfahrenes IT-Team, informieren Sie sich und suchen Sie aktiv nach Sicherheitsverletzungen.
• Integrieren Sie Sicherheit als Teil Ihres IoT-Design- und Strategieprozesses.
• Risikoanalyse – Sie hilft Ihnen, die verschiedenen Risikostufen zu unterscheiden und entsprechend zu bewerten.

Private APN-Faktenbox

Dienst	Private APN	Private APN mit IPSec VPN	Private APN mit Private Interconnect
Datenübertragung sicher	+	++	+++
Industrie	N/A	++	+++
Skalierung der Datenübertragungskapazität	+	++	+++

Aus Sicherheitssicht sollten Sie Zero Trust haben und starke Prozesse, Audits, Kontrollen, Überwachung und Risikobewertungen implementieren. Es ist nicht so, dass du deinen Mitarbeitern nicht vertraust, sondern dass du dich nicht darauf verlassen kannst, dass nichts kompromittiert wird. Der Laptop von jemandem könnte kompromittiert werden, ohne dass er es weiß, und das könnte ausreichen, um Hacker in ein sicheres System zu bringen. Vor diesem Hintergrund sollten Sie Ihr geschäftskritisches Fabrikkontrollsystem nicht auf dasselbe System wie Ihr Firmenbüro stellen. Wenn jemand einen Virus auf seinem Laptop zu Hause bekommt und ihn dann ins Büro bringt, kann das nicht nur andere Arbeitsmaschinen betreffen, sondern auch Ihren Fabrikboden infizieren – und es wird sehr schwierig sein, diese Infektion loszuwerden.

Ein durchdachter Implementierungsplan für Ihre IoT-Sicherheitsstrategie ist genauso wichtig wie eine umfassende IoT-Strategie: Sie sparen Geld und verringern potenzielle Kopfschmerzen.

Es ist von größter Bedeutung, die Risiken und Probleme zu verstehen, die auftreten können, während man sich darüber informiert, wie man sich schützen kann. So wie Sie ein IT-Team haben, das sicherstellt, dass Ihre Computer geschützt sind, sollten Sie auch ein Team haben, das sicherstellt, dass Ihre IoT-Lösung nicht anfällig für Angriffe ist. Die Wahl der richtigen Technologie und das Ergreifen der notwendigen Maßnahmen, um sie zu schützen, hilft, Ihre Lösung und auch Ihre Informationen sowie die Daten Ihrer Kunden sicher zu halten.

Erfahren Sie hier mehr über Sicherheit.

Wenn Sie mehr erfahren möchten, nehmen Sie bitte Kontakt mit uns auf.