Das "Internet der Dinge" - das Ende von Sicherheit und Datenschutz?

Dass die Sicherheit bei Smart-Devices zu kurz kommt, liegt oft an Komfortaspekten oder dem Versuch, die Produkteinführungszeit („time-to-market“) kurz zu halten. Wobei sich Sicherheitsfragen nicht auf die Angreifbarkeit der eigentlichen Geräte beschränken, sondern bis zu Durchgriffsmöglichkeiten auf Firmennetzwerke reichen. Was also können Unternehmen und Privatanwender in Zeiten des „Internets der Dinge“, von Wearables und Smart-Devices tun? Welche Rolle spielen Breach-Detection- und Forensik-Systeme? Lässt sich – unter Einhaltung des Datenschutzes – Sicherheit überhaupt noch gewährleisten? Oder läuten das Internet der Dinge und die allgegenwärtige Vernetzung unweigerlich das Ende des Datenschutzes ein?

Ob es nun der Schwangerschaftstest mit Bluetooth-Anbindung oder der Vibrator mit eigener Smartphone-App, die Smartwatch als Ergänzung des Smartphones oder die Vernetzung von Produktionsanlagen ist – fast alles kommt inzwischen mit eigener App und/oder Internet-Anbindung auf den Markt. Wie so oft spielen bei der Entwicklung eher Design und „Time-to-Market“ eine Rolle als die Sicherheit. Und das, obwohl der Missbrauch smarter Endgeräte als Einfallstor ins Firmennetz nicht unterschätzt werden sollte: Ähnlich wie bei mobilen Endgeräten, die den Zugriff auf Firmendaten erlauben, beispielsweise auf E-Mails, Kontakte, Kalender oder das Customer-Relationship-System, handelt es sich in der Regel um private Exemplare – ohne Fokus auf Sicherheit und ohne Kontrolle durch das Unternehmen.

Albtraum für Sicherheitsverantwortliche, Paradies für Cyberkriminelle

Bei der Diskussion um die Sicherheit von Smart-Devices darf man nicht vergessen, dass sich die meisten dieser Geräte keinesfalls im luftleeren Raum befinden. Vielmehr findet die eigentliche Verarbeitung meist in den „Backends“ statt, im klassischen Rechenzentrums-/Cloud-Umfeld also. Weil die Backends als „Anhängsel“ des Endgeräts wahrgenommen werden, sind solche Umgebungen oft weder unter Sicherheitsprinzipien entwickelt worden noch werden sie regelmäßig geprüft.

Was wie der personalisierte Albtraum für Sicherheitsverantwortliche klingt, ist für Cyberkriminelle geradezu das Paradies. Letztere stehen damit vor der Frage der Gewinnmaximierung: Konzentrieren sie sich auf das Hacken der einzelnen Smart-Devices oder machen sie gleich „Nägel mit Köpfen“ und attackieren das Backend? Dort treffen sie auf ein einfach zu erreichendes Sammelsurium verschiedenster Technologien, was die Angriffsfläche vergrößert: Je mehr Technologien eingesetzt werden, umso größer die Auswahl möglicher Exploits. Im Erfolgsfall haben sie das gesamte Backend unter Kontrolle, inklusive aller daran angeschlossener Geräte.

Eine Frage der Gewinnmaximierung

Damit nicht genug, denn die Smart-Devices dienen auch als Eintrittspunkt in das jeweilige Firmennetzwerk, als potentielle „Brückenköpfe“ für Cyberkriminelle. Darauf sollten Sicherheitsverantwortliche vorbereitet sein – und mithilfe von Breach-Detection- und Forensik-Systemen auch schädliches Kommunikationsverhalten privater Smart-Devices im Firmennetzwerk sichern und auswerten können. Und schon erweitert sich der Fokus smarter Endgeräte auf die klassische Sicherheit im internen Netzwerk.

Denn die Kompromittierung der Smart-Devices ist gar nicht der eigentliche Zweck, auch jene des Backend ist eher als „Beifang“ zu verstehen: Der Fokus liegt auf den Unternehmensnetzwerken.

Trend Micros Sicherheitsansatz

Um smarte Endgeräte im Besonderen und die Komponenten des „Internets der Dinge“ im Allgemeinen absichern zu können, bedarf es laut Eva Chen, der CEO Trend Micros, einer mehrstufigen Herangehensweise. Trend Micros Ansatz umfasst drei Schichten.

• Die erste ist eine Sicherheits-Programmierschnittstelle (API), mit der auf einfache Weise virtuelle Patches bereitgestellt werden können – beispielsweise, um einen Remote-Angriff zu verhindern.
• Die zweite Schicht befindet sich im Netzwerk. Damit können Angriffe von außen so schnell wie möglich blockiert werden, bevor sie das Innere erreichen. IT-Verantwortliche benötigen einen Überblick darüber, wie viele IoT-Geräte sie haben. Dann können sie Sicherheitslücken auf diesen neuen Geräten blockieren und eine Signatur dafür erstellen – ein „Intrusion-Prevention-System der nächsten Generation“ (Next-Generation IPS). Das Patchen von Sicherheitslücken im Internet der Dinge stellt die Beteiligten jedoch vor größere Probleme als bei IT-Systemen; daher der Begriff „Next-Generation IPS“. Damit können Unternehmen „Zeit kaufen“, um zu entscheiden, ob sie patchen möchten. Hier spielt Trend Micros Übernahme von TippingPoint eine Rolle, denn smarte Endgeräte aus dem Internet der Dinge werden in sensiblen Branchen zum Zug kommen: In den Finanz-, Gesundheits- und Fertigungsbranchen. Diese „neuen“ Netzwerke sollten von den Unternehmensnetzwerken getrennt sein, beide sollten nicht miteinander verbunden sein und über separate Schutzvorrichtungen verfügen.
• Die dritte Schicht ist die Cloud: Kein „Internet der Dinge“ ohne die Cloud. Unternehmen benötigen einen angemessenen Schutz und müssen sicherstellen, dass die Cloud immer verfügbar ist. Nur so kann das Internet der Dinge erfolgreich sein. Zwar ist das Risiko für Privatanwender höher – sie sind einfacher zu hacken –, der durch einen Angriff hervorgerufene Schaden ist aber auf Unternehmensseite viel höher. Daher müssen Unternehmen die Hersteller ihrer eingesetzten Geräte zertifizieren und die von den Geräten gesammelten Informationen sichern können.