Tatsächliche Vorfälle, tatsächliche Folgen und was wir daraus lernen können
Über IoT-Sicherheit wird häufig in abstrakten Begriffen diskutiert.
Verschlüsselung. Zertifikate. Zero-Trust.
Wichtige Themen – doch sie vermitteln nicht immer ein Gefühl der Dringlichkeit.
Nichts eignet sich dafür besser als reale Vorfälle.
In den letzten Jahren haben mehrere viel beachtete Sicherheitsvorfälle im Bereich des Internets der Dinge (IoT) dieselbe beunruhigende Wahrheit deutlich gemacht:
Die meisten Sicherheitsvorfälle im Bereich des Internets der Dinge (IoT) werden nicht von raffinierten Hackern verursacht,
, sondern durch grundlegende Schwachstellen in der Architektur und im Betrieb.
In diesem Blog werden reale IoT-Sicherheitsszenarien, deren Folgen und – was am wichtigsten ist – die Möglichkeiten, wie sie hätten verhindert werden können, beleuchtet.
Der Mythos „Wir kümmern uns später darum“
Eine der gefährlichsten Annahmen im Bereich des Internets der Dinge lautet:
„Wir werden Sicherheitsmaßnahmen einführen, sobald das Produkt in Betrieb ist.“
Im Bereich des IoT bedeutet „später“ oft:
- nach der Bereitstellung der Geräte
- nach der Reparatur der Hardware
- nachdem die Verbindung gesperrt wurde
Zu diesem Zeitpunkt sind die Möglichkeiten begrenzt, und die Kosten steigen sprunghaft an.
Vorfallmuster Nr. 1: Geräte, die mit dem öffentlichen Internet verbunden sind
Eines der häufigsten Sicherheitsprobleme im Bereich des Internets der Dinge (IoT) ist die bloße Offenlegung.
In vielen Fällen:
- Die Geräte waren über das öffentliche Internet erreichbar
- Die Standardports waren offen
- Die Authentifizierung war unzureichend oder fehlte gänzlich
Die Angreifer benötigten keine Zero-Day-Exploits.
Sie haben lediglich das Internet durchforstet.
Folgen:
- Geräteübernahme
- Datenlecks
- Betriebsstörung
- Rufschädigung
Grundursache: Fehlende Isolierung auf Netzwerkebene.
Sicherheitsvorfallmuster Nr. 2: Flache Netzwerke und uneingeschränktes Vertrauen
Ein weiteres immer wieder auftretendes Problem ist der Einsatz flacher Netzwerkarchitekturen.
In diesen Konfigurationen:
- Alle Geräte befinden sich im selben Netzwerksegment.
- Ein kompromittiertes Gerät kann andere Geräte infizieren
- Seitliche Bewegungen sind einfach
Folgen:
- Kleine Verstöße werden zu einem systemischen Problem
- Die Angreifer bewegen sich quer durch die Flotte
- Die Vorfälle eskalieren rasch
Grundursache: Keine Segmentierung. Keine Steuerung des Explosionsradius.
Vorfallmuster Nr. 3: Keine Einsicht, bis es zu spät ist
Viele Unternehmen entdecken Sicherheitsvorfälle im Bereich des Internets der Dinge erst, nachdem:
- Kunden beschweren sich
- Dienste fallen aus
- Auf den Rechnungen werden ungewöhnliche Datenverbrauchswerte ausgewiesen
Bis dahin ist der Schaden bereits angerichtet.
Folgen:
- langsame Reaktion
- unklarer Ausmaß der Auswirkungen
- längere Ausfälle
Grundursache: Fehlende Echtzeit-Transparenz und -Überwachung.
Die tatsächlichen Kosten von Sicherheitslücken im Internet der Dinge
Sicherheitsvorfälle im Bereich des Internets der Dinge (IoT) beschränken sich selten auf den technischen Bereich.
Daraus wird schnell:
- rechtliche Fragen
- Probleme bei der Einhaltung von Vorschriften
- Vertrauenskrisen bei Kunden
- Anliegen auf Vorstandsebene
In regulierten Branchen können sie zudem zu folgenden Folgen führen:
- Geldbußen
- obligatorische Rückrufe
- erzwungene Neugestaltungen
Die indirekten Kosten übersteigen häufig bei weitem die Kosten für die technische Lösung.
Wie diese Vorfälle hätten verhindert werden können
Die meisten Alpträume im Bereich der IoT-Sicherheit haben dieselben vermeidbaren Schwachstellen gemeinsam.
- Isolierung auf Netzwerkebene: Einsatz privater APNs oder gleichwertiger Mechanismen, um Geräte vom öffentlichen Internet fernzuhalten.
- Segmentierung und Eindämmung: Entwurf von Architekturen, die von Ausfällen ausgehen und den Wirkungsradius begrenzen.
- Sicherheitskonzept über den gesamten Lebenszyklus: Geräte sollen über ihre gesamte Lebensdauer hinweg geschützt werden, nicht nur bei der Markteinführung.
- Einsatzbereitschaft: Klare Zuständigkeiten, Prozesse zur Reaktion auf Vorfälle und die Fähigkeit, schnell zu handeln.
Sicherheit ist ein operativer Bereich
Eine der wichtigsten Erkenntnisse aus tatsächlichen Vorfällen lautet wie folgt:
Die IoT-Sicherheit ist nicht nur ein technisches Problem.
Sie ist eine betriebliche Disziplin.
Technologie ermöglicht Sicherheit – doch erst die betrieblichen Abläufe entscheiden darüber, ob sie in der Praxis funktioniert.
Abschließender Gedanke
Im Nachhinein erscheint jeder Sicherheitsvorfall im Bereich des Internets der Dinge offensichtlich.
Die Warnzeichen waren bereits vorhanden:
- Exposition
- mangelnde Sichtbarkeit
- übermäßiges Vertrauen
- verspätete Entscheidungen
Der Unterschied zwischen Organisationen, die Vorfälle überstehen, und solchen, die dies nicht tun, ist einfach:
Sie planen bereits im Voraus für den Fall eines Ausfalls.