Sicherheit für das Internet der Dinge (IoT)

Durch die Konvergenz der physischen mit der digitalen Welt entsteht ein Innovationsschub, der Märkte revolutioniert. Repräsentative Studien bestätigen, dass Sicherheit die grösste Herausforderung des IoT darstellt. Denn Störungen und Manipulation des Internet of Things (IoT) wirken auf die physische Welt zurück. Auf dieser Seite finden Sie eine Einführung in das Thema und Antworten für Hersteller und Anwender. Daneben finden Sie im Bereich Ressourcen Beispiele bekannter IoT-Angriffe und -Schwachstellen, vertiefende Artikel und Lösungen, um Ihre Sicherheit zu erhöhen.

Bild: Kraftwerk als Beispiel für IoT
Energieerzeuger und -verbraucher werden als Smart Grid miteinander vernetzt


Was kann passieren?

Drei Beispiele verdeutlichen, dass sowohl Hersteller wie auch Anwender den Aspekt IoT-Sicherheit ernst nehmen müssen.

 

Bild: Chrysler Grand Cherokee
IoT-Sicherheitslücke des Jeep Grand Cherokee führte zu Rückrufaktion

Automobil | Fiat Chrysler

 

Der Automobilhersteller Fiat Chrysler lancierte 2015 für sein Modell Jeep Grand Cherokee das Infotainmentsystem Uconnect. Dies erlaubt die Bedienung des Fahrzugs über ein Mobile App, z.B. um Türen zu öffnen, Musik von Handy zu streamen oder das Fahrzeug zu finden. Das SUV des Kunden ist dabei in den USA über den Mobilfunktanbieter Sprint mit dem Internet verbunden - ein klassisches Beispiel für IoT.

Zwei Sicherheitsforschern gelang es im Juli 2015, sich über diese Schnittstelle aus dem Internet mit dem Fahrzeug zu verbinden. Leider war  das Infotainmentsystem unzureichend von kritischen Fahrzeugfunktionen getrennt. So war es möglich, dass die Hacker über den CAN-Bus des Fahrzeugs Bremse, Beschleunigung und sogar das Lenkrad steuern konnten. Es überrascht daher nicht, dass Fiat Chrysler noch im selben Monat reagierte und 1.4 Millionen Fahrzeuge für ein Sicherheitsupdate zurück in die Werkstätten rief.

 

Bild: Ablauf des Zugriffs auf die Fahrzeugsysteme

Industrieautomation | Siemens

 

Die speicherprogrammierbaren Simatic-Steuerungen werden weltweit in Industrieanlagen eingesetzt, um Prozesse zu steuern - so auch in der iranischen Atomanlage Natanz, wo sie Gaszentrifugen für die Uran-Anreicherungen kontrollieren.

2010 wurde der Computer-Wurm Stuxnet entdeckt, welcher diverse Simatic-Anlagen über USB-Sticks infizierte. Stuxnet war entwickelt worden, um speziell in der Anlagen in Natanz Schaden anzurichten. Er führte dort zum Ausfall von Hunderten der Gaszentrifugen. Gleichzeitig war Stuxnet durch ein Rootkit tief im Computersystem versteckt und gaukelte den Betreibern historische Anlagendaten vor. Es dauerte Monate bis die Betreiber die Ursache der Zentrifugenausfälle identifizieren konnten.

 

Bild: Siemens Simatic S7 Steuerung
Stuxnet gilt als erster grosser IoT-Angriff

Ablauf des Angriffs Stuxnet auf die Anlage in Natanz
Bild: Memory Scraping Software wurde in Kassen eingespielt
Angriff via IoT-System verursachte für Target hohe Folgekosten

Gebäudeautomation | Target Corporation

 

Dass IoT-Systeme nicht nur Ziel von Angriffen sein können, sondern auch also Sprungbrett für Angriffe auf andere Systeme dienen können, zeigt Beispiel des Einzelhändlers Target. Dieser unterhält in den USA ca. 1'800 Supermärkte, welche mit Gebäudeautomationssystemen belüftet und klimatisiert werden. Einer der Automationslieferanten rüstete mehrere Märkte in Pennsylvania aus. Um laufend Wartung und Optimierungen an der Anlage vornehmen zu können, erhielt der Lieferant via Target-Intranet Fernzugriff auf das Automationssystem.

Mittels Phishing erlangten im Jahr 2013 Hacker vom Lieferanten die Target-Intranet-Zugangsdaten. Sie drangen in das Target-Netz ein und installierten auf Kreditkartenterminals sogenannte Memory-Scraping Malware, um Kreditkarteninformationen zu entwenden. Insgesamt wurden die Kreditkartendaten von 40 Millionen Target-Kunden entwendet. Gemäss Target-eigenen Angaben beliefen sich die Folgekosten für die Entschädigung der Kunden, Banken und Kredikartenherausgeber auf 290 Millionen Dollar. Der Image-Schaden ist darin nicht berücksichtigt.

 

Bild: Ablauf des Zugriffs auf die Kreditkartendaten von Target-Kunden

IoT ≠ IT?

Was IoT von IT unterscheidet

 

Praktisch jeder IT-Verantwortliche bringt heute ein Grundwissen in IT-Security mit. Grössere Organisationen beschäftigen gar einen Chief Information Security Officer (CISO), welcher sich unternehmensweit der Informationssicherheit annimmt.

Ganz anders verhält es sich mit IoT. So ist beispielsweise Windows XP - ein System, für das Microsoft seit 2014 keine Sicherheitsupdates mehr veröffentlicht - eines der meist genutzten Betriebssysteme in der Produktionssteuerung ist. Wie kann das sein?

Bild: Turbinen
IoT-Systeme haben lange Nutzungszyklen und sind kaum standardisiert

  • Die Ursache hierfür liegt einerseits darin, dass IoT-Anlagen viel weniger standardisiert sind als IT-Systeme. In der Industrieautomation kommt eine unüberschaubare Anzahl Protokolle wie ProfiBus, AS-i, Modbus oder OPC zum Einsatz. Für die meisten dieser Protokolle bestehen darüber hinaus herstellerspezifische "Dialekte", die dazu führen, dass Komponenten unterschiedlicher Hersteller nicht kompatibel zueinander sind. Hersteller und Betreiber der IoT-Systeme sind zu sehr mit der Gewährleistung der Funktionalität beschäftigt als dass sie sich ernsthaft der IoT-Sicherheit annehmen könnten. Dies trifft in noch viel grösserem Masse für gerade im Entstehen begriffene IoT-Bereiche wie Smart Home zu. Hier kocht jeder Hersteller sein eigenes "Security-Süppchen".
  • Viele Hersteller und Anwender wiegen sich in Sicherheit, da ihr System ja proprietär und wenig bekannt ist. Dieser "Security by Obscurity"-Ansatz gilt in der reinen IT schon seit vielen Jahren als veraltet. Er missachtet ferner die Tatsache, dass mit Suchmaschinen wie Shodan.io gezielt nach offenen IoT-Systemen gesucht werden kann.
  • Daneben werden IoT-Systeme viel länger genutzt als der typische Switch, Server oder eine Firewall. Bei den heute auch mit Computernetzwerken verbundenen Liftanlagen, Zutrittskontrollsystemen, Haushaltsgeräten oder medizinischen Apparaten ist von einer Nutzungsdauer von 10 Jahren oder länger auszugehen. Regelmässige Security Patches werden in diesem Zeitraum meist nicht eingespielt. Entweder werden solche vom Hersteller gar nicht zur Verfügung gestellt oder der Update-Prozess wäre zu aufwendig.

Antworten für Hersteller und Anwender von IoT-Systemen finden Sie im Bereich Antworten.

 

  IT IoT
Anlagenlebenszyklus 2-3 Jahre 10-15 Jahre
Kommunikationsprotokolle Standardisiert Zahlreich und proprietär
Sicherheitskonzepte Standardisiert "Security by obscurity"
Patch Management
Regelmässig Lückenhaft
Schutzziele Vertraulichkeit und Integrität Verfügbarkeit

Vergleich IT- und IoT-Sicherheit