HANDLUNGSFELDER IM BEREICH IOT-SICHERHEIT - Impulspapier | Dezember 2020 - forschung-it ...
←
→
Transkription von Seiteninhalten
Wenn Ihr Browser die Seite nicht korrekt rendert, bitte, lesen Sie den Inhalt der Seite unten
Wissenschaftliche Arbeitsgruppe Nationaler Cyber-Sicherheitsrat
© vegefox.com/AdobeStock
HANDLUNGSFELDER IM BEREICH
IOT-SICHERHEIT
Impulspapier | Dezember 2020
Zusammenfassung trachten die Sicherheitssituation „intelligenter“ Geräte mit
Ziel dieses Impulspapiers ist es, Sicherheitsrisiken, die sich durch den folgenden Eigenschaften:
das Internet der Dinge (Internet of Things, IoT) ergeben, zu dis-
kutieren und Handlungsempfehlungen zum Umgang mit diesen f Es handelt sich um sogenannte eingebettete Anwen-
Risiken zu geben. IoT-Geräte sind meist kleine, vergleichswei- dungen oder „Embedded Systems“, d. h. der steuernde
se leistungsschwache, vernetzte Geräte, welche in allen Le-
Computer („die Intelligenz“) ist in das Gerät integriert.
bens- und Produktionsbereichen zu finden sind. Besonders an
Der Mensch nimmt hierbei primär die Anwendung selber
IoT- Geräten ist, dass sie aufgrund ihrer Allgegenwärtigkeit und
wahr, z. B. einen Fitnesstracker oder ein intelligentes
Vernetzung nicht nur selbst Angriffen ausgesetzt sind, sondern
auch Dritte gefährden können. Ein wesentliches Sicherheits- Küchengerät – der Computer tritt in den Hintergrund.
risiko ist eine Massenüberwachung der Anwenderinnen und f Die Geräte sind vernetzt, in der Regel kabellos, beispiels-
Anwender durch den massenhaften Missbrauch der durch die weise über WiFi, Bluetooth oder Mobilfunk.
IoT-Geräte erhobenen Daten. IoT-Geräte können auch ein Ein- f Die Geräte interagieren zumeist mit ihrer Umwelt, ent-
fallstor in das interne Netzwerk darstellen und dieses so gefähr- weder passiv, indem Umgebungsgrößen wie Temperatur
den. Fremde Netze können gefährdet werden, wenn IoT-Ge- oder Blutzuckerspiegel erfasst werden oder aktiv, indem
räte für verteilte Überlastangriffe (DDoS-Angriff) missbraucht Aktionen wie das Ein- und Ausfahren eines Sonnen-
werden. Letztlich können sogar physische Schäden verursacht schutzes veranlasst werden.
werden, wenn IoT-Geräte Aktuatoren steuern. Aufgrund dieser f Die Geräte verfügen über weniger Rechenleistung als
vielfältigen Risiken müssen IoT-Geräte besonders gut abgesi-
heutige PCs oder Laptops.
chert werden. Jedoch unterliegen diese meist sehr kleinen und
vergleichsweise günstigen Geräte einem enormen Kostendruck
Der Fokus unserer Betrachtung liegt dabei in erster Linie
und sehr kurzen Time-to-Market Zyklen, was dazu führt, dass
Sicherheit als zunächst unsichtbare Eigenschaft vernachlässigt auf den Geräten selbst und nur nachgelagert auf den Netz-
wird; es kommt zu einem Marktversagen. Da das IoT eine große werkaspekten und eventuell zugehörigen Cloud-Services,
Chance für wichtige deutsche Industrien wie dem Maschinen- die bei der Konzipierung und Umsetzung einer vollumfas-
bau oder der Haushaltsgeräteindustrie darstellt, ist es auch aus senden IT-Sicherheitslösung für das IoT ebenfalls berück-
volkswirtschaftlicher Sicht wichtig, dass starke Sicherheitsme- sichtigt werden müssen. Die Spannbreite der so definierten
chanismen zur Verfügung stehen. Um diese zu erreichen, müs- IoT-Geräte ist sehr groß. Nachfolgend sind, wirklich nur
sen zunächst Sicherheitsstandards etabliert werden und es be- beispielhaft, einige IoT-Anwendungsdomänen genannt: der
darf der gezielten Förderung von Sicherheitsforschung für IoT. Smart-Home-Bereich, digitale Sprachassistenten, die Medi-
Diese Förderung muss zum einen gezielt die Besonderheiten zintechnik (z. B. ärztliche Diagnosegeräte oder Sensoren zur
von IoT berücksichtigen, auf der anderen Seite jedoch auch für
Glukosemessung) oder auch die intelligente Landwirtschaft.
Rechtssicherheit bei Sicherheitsforschung, insbesondere außer-
Obwohl der Fokus dieses Impulspapieres auf den einge-
halb von Academia sicherstellen.
betteten Endgeräten liegt, sollte nicht außer Acht gelassen
werden, dass diese vernetzt sind. Oft erfolgt die Vernetzung
Ausgangslage IoT in einem zentralen Serversystem, so dass IoT-Geräte häufig
Der Begriff „IoT“ wird zum Teil unterschiedlich ausgelegt, mit der Cloud verschmelzen. Ein prominentes Beispiel ist
von daher ist die nachfolgende Definition hilfreich. Wir be- die Vernetzung der Endgeräte bei der zu Google gehören-
Impulspapier | Dezember 2020 1Wissenschaftliche Arbeitsgruppe Nationaler Cyber-Sicherheitsrat
den Firma Nest (u. a. Thermostate, Rauchmelder, Überwa- satzbereich der jeweiligen IoT-Komponente ist. Mögliche
chungskameras) für das Smart Home und deren Verbindung Szenarien reichen hier vom Smart Home, in dem durch ver-
über die Google-Cloud. netzte Kameras die Privatsphäre verletzt wird oder durch in-
telligente Türschlösser ein spurenloser Einbruch ermöglicht
Cybersicherheit im Kontext von IoT-Geräten weist eine Rei- wird, über moderne Autos, in deren Bordnetz über die Diag
he von Spezifika aus, welche sie von der Sicherheitssitua noseschnittstelle eingedrungen werden kann, um Sicher-
tion anderer IT-Strukturen unterscheidet. Zum einen ist das heitssysteme zu deaktivieren, bis zur Insulinpumpe, die nicht
Schadenspotential durch die enge Kopplung an die reale, oder falsch dosiert.
physische Welt sehr groß. Dieses reicht von bösartigen Ma-
nipulationen von Medizinprodukten, welche gesundheit In diesem Kontext ist außerdem ein vermehrter Einsatz
lichen Schäden zur Folge haben könnten, über Produkti- IoT-spezifischer Ransomware denkbar. Im Unterschied zu
onsausfällen bei Angriffen auf industrielle IoT-Geräte bis hin klassischer Ransomware geht es hier nicht um die Blocka-
zu möglichen massiven Verletzungen der Privatsphäre oder de von Daten, wie sie beispielsweise wiederholt bei Angrif-
dem Ausspionieren von Geschäftsgeheimnissen. Eine andere fen auf Krankenhäuser vorgekommen ist, sondern um eine
Eigenart der IoT-Sicherheit ist, dass Hersteller und Betreiber Sperrung der Gerätefunktion des jeweiligen Gerätes bis zur
oft kein Spezialwissen über Cybersicherheit haben. Ein sub Zahlung eines Lösegelds. In einem Beispiel aus dem Jahre
tileres Problem ist, dass bei allen beteiligten Akteuren – End- 2016 wurde dieses Konzept anhand eines internetfähigen
nutzern, Betreibern und Herstellern – die Wahrnehmung des Thermostats demonstriert: Das mit der Ransomware infi-
IoT-Gerätes als „Cyber-Anwendung“ oft nicht ausgeprägt ist zierte Thermostat heizte den Raum bis zu der (unangeneh-
und somit die entsprechenden Sicherheitsrisiken auch weni- men) Temperatur von 37 Grad Celsius auf und verlangte die
ger wahrgenommen werden. Zahlung von einem Bitcoin für die Freigabe der Temperatur-
steuerung. In einem anderen Szenario wurden Heizung und
Schadenspotential durch IoT-Angriffe Klimaanlage gleichzeitig betrieben und erzeugten auf diese
Verglichen mit traditionellen IT-Systemen birgt das IoT als Weise hohe Energiekosten, bis das Lösegeld bezahlt wurde.
komplexes Netzwerk miteinander verbundener Geräte ver- Der Einsatz von IoT-Ransomware in Endgeräten ist auch in
schiedene neuartige Angriffsmöglichkeiten und Gefahren. kritischeren Bereichen, beispielsweise bei Fahrzeugen, in der
Dafür gibt es mehrere Ursachen: Zum einen werden vie- Industrie oder in der Medizintechnik, vorstellbar.
le IoT-Geräte nicht von Grund auf für den vernetzen Ein-
satz konzipiert und es fehlt „Security by Design“, d. h. sie Gefahren für die Privatsphäre von Individuen bestehen auch
sind oftmals nur unzureichend abgesichert. Sobald eine durch den potentiellen massenhaften Missbrauch der von
Schwachstelle gefunden und verbreitet wird, können An- IoT-Geräten gesammelten Daten oder einer damit verbun-
greifer diese von überall auf der Welt ausnutzen und durch denen Massenüberwachung durch staatliche oder private
die Reichweite und Verbreitung des IoT enorme Schäden Akteure. Die gesammelten Daten bestehen inzwischen nicht
verursachen. Schließlich gibt es auf Seiten der Endbenutzer nur aus Bildern, Audio- und Videomitschnitten oder Bewe-
von IoT-Geräten nicht das gleiche Sicherheitsbewusstsein gungsdaten, sondern erfassen mehr und mehr Bereiche, wie
wie dies beispielsweise bei PCs oder Smartphones der Fall beispielsweise die persönliche Gesundheit in Form von Vital-
ist. Dies führt zusammen mit oftmals komplizierten oder daten oder auch Verhaltensdaten im Straßenverkehr. Diese
nicht vorhandenen Update-Mechanismen dazu, dass einmal Daten können einerseits direkt von den Anbietern, welche
entdeckte Schwachstellen auf den Geräten persistieren. De- sich deutschen und europäischen Datenschutzstandards
tails zu Sicherheitsupdates und zum Sicherheitslebenszyklus oft entziehen, zweckentfremdet werden, und andererseits
befinden sich im Abschnitt zu den besonderen technischen über spezielle technische Schnittstellen oder über direkte
Rahmenbedingungen der IoT-Sicherheit. Im Folgenden wer- Angriffe in die Hände von Dritten geraten. Insbesondere die
den einige der durch die Verbreitung des IoT entstandenen Agglomeration verschiedener Datensätze birgt dabei ein bis-
neuartigen Bedrohungen erläutert. her ungeahntes Schadenspotential sowohl für Individuen als
auch für die Gesellschaft als Ganzes.
Neuartige Angriffsmöglichkeiten
Am naheliegendsten und zugleich besonders gefährlich sind Eine bedrohliche Form IoT-basierter DDoS-Angriffe (ver-
Angriffe auf IoT-Geräte, die durch ihre Aktuatoren selbst teilter Denial-of-Service-Angriffe) trat im Oktober 2016 in
direkt in die physische Welt eingreifen, da bei der Kompro- Erscheinung. Hierbei wurden eine Vielzahl verschiedener
mittierung eines solchen Geräts ein physischer Schaden gekaperter IoT-Geräte, wie beispielsweise Drucker, Router,
droht. Dieser wird umso gefährlicher, je kritischer der Ein- IP-Kameras oder Babyphones, zu einem großen Botnetz
Impulspapier | Dezember 2020 2Wissenschaftliche Arbeitsgruppe Nationaler Cyber-Sicherheitsrat
zusammengeschaltet und starteten gleichzeitig DNS-Such- 3) Eine Problematik liegt darin begründet, dass Anbieter
anfragen beim Anbieter „Dyn“. Infiziert wurden die Geräte von IoT-Geräten oft wenig Spezialwissen auf dem Gebiet
dabei mithilfe des Schadprogramms Mirai, welches darauf der Cybersicherheit besitzen. Unter den Anbietern sind
spezialisiert ist, die Sicherheit verschiedener IoT-Geräte mit- viele Unternehmen, deren Wurzeln nicht im IT-Bereich,
hilfe eines Brute-Force-Ansatzes zu umgehen. Die gleich- sondern beispielsweise im Maschinenbau oder der
zeitigen Suchanfragen führten zu einer Überlastung des Medizintechnik liegen. Dies kann dazu führen, dass zum
DNS-Dienstes von Dyn und damit dazu, dass diverse gro- einen in den Technikabteilungen der Unternehmen das
ße Internetplattformen und Services (u. a. Amazon, Netflix, notwendige Spezialwissen nur ungenügend vorhanden
Twitter, GitHub) in Nordamerika und Europa für einen Zeit- ist, zum anderen fehlt in der Firmenhierarchie mög-
raum von etwa zweieinhalb Stunden nicht wie gewohnt über licherweise die Aufmerksamkeit für das Thema IT-
ihre URLs erreichbar waren. Unsichere IoT-Geräte können Sicherheit. Ein damit verwandtes Problem besteht darin,
also auch – wie in diesem Fall – als Werkzeug für klassische dass es Anbieter von IoT-Geräten gibt, die aufgrund ihrer
Cyberangriffe missbraucht werden. Firmengröße nicht selbst die notwendigen Sicherheits-
spezialisten beschäftigen können. Dieses Problem kann
Ganz allgemein dienen unsichere IoT-Geräte auch als zu- beispielsweise bei Mittelständlern, selbst bei den soge-
sätzliches Einfallstor in interne Netzwerke. Wo in der Ver- nannten Hidden Champions in Deutschland, die nicht
gangenheit nur der Heimrouter Konnektivität bot und in aus der IT-Branche stammen, beobachtet werden.
vielen Fällen zumindest rudimentär abgesichert werden
konnte, sind viele aktuelle IoT-Geräte, z. B. aus dem Smart- Besondere technische Rahmenbedingungen der
Home-Kontext, über diverse Schnittstellen erreichbar und IoT-Sicherheit
entsprechend verwundbar. Generell besitzt jedes im weitesten Sinne sicherheitsrele-
vante System oder Gerät die Asymmetrie zwischen An-
Die hier dargestellten Schadensarten zeigen nur einen klei- greifer und Verteidiger: Während ein Angreifer lediglich
nen Ausschnitt des denkbaren Schadenspotentials durch eine Schwachstelle finden muss, um das System zu bre-
Angriffe auf das Internet der Dinge von heute und morgen. chen, muss es von dem Verteidiger gegen jeden möglichen
Um darauf aufbauend konkrete Handlungsempfehlungen Angriff geschützt werden. Dieses Ungleichgewicht wird im
für eine bessere Absicherung des IoT abzuleiten, werden IoT-Umfeld zusätzlich verstärkt. Während die Vielzahl der
nachfolgend die speziellen wirtschaftlichen und technischen Geräte und deren Verbreitung ein lohnendes Ziel für „Hob-
Rahmenbedingungen betrachtet. by-Hacker” bis hin zu staatlich finanzierten Einrichtungen
darstellen kann, werden die Geräte selbst oft unter hohem
Wirtschaftlich-technische Besonderheiten Kostendruck von vergleichsweise wenigen Entwicklern kon-
Bei der Umsetzung digitaler Schutzmechanismen gibt es im struiert und geschützt. Trotz einer großen Diversität der IoT-
IoT-Kontext eine Reihe von Spezifika, die diese erschweren: Geräte kommen einzelne Modelle bzw. die darin enthalten-
den Mikrochips dennoch in sehr großen Stückzahlen auf den
1) Ein generelles Hindernis für IoT-Anbieter ist das Fehlen Markt. Hinsichtlich der Skalierbarkeit kann sich damit auch
von Standards, nach denen Produkte als „sicher“ einge- ein relativ hoher Aufwand für den Angreifer auszahlen, wenn
stuft werden. im Ergebnis direkt eine Vielzahl an Geräten unter die eigene
2) Ein wichtiger Hemmschuh ist das Marktversagen in Kontrolle gebracht werden kann. Dieses gilt insbesonde-
Bezug auf sichere IoT-Geräte. Dieses wird durch das re dann, wenn sich die gefundene Schwachstelle über das
inhärente Spannungsfeld zwischen Kostendruck und Internet ausnutzen lässt und keinen physikalischen Zugriff
Time-to-Market einerseits und dem Fakt, dass die (mehr) erfordert.
Entwicklung und Integration starker Sicherheitsmecha-
nismen sowohl Kosten erzeugen als auch die Entwick- Aus technischer Sicht muss man zwischen zwei IoT-Topolo-
lungszyklen verlängern kann, begünstigt. Nicht nur aber gien unterscheiden:
besonders bei IoT-Anwendungen kommt die Beob-
achtung zum Tragen, dass man „Sicherheit nicht sieht”, f Insbesondere die Einführung des Internetprotokolls
sprich, es für den Endkunden schwer ist, die Sicherheit IPv6 in Kombination mit 5G ermöglicht auch auf lange
entsprechender Geräte einzuschätzen. Hieraus ergibt Sicht, dass eine Vielzahl von Geräten eine „echte“ Inter-
sich für Anbieter das Problem, den Aufwand für starke netadresse besitzen. Dieses ermöglicht eine sicherheits-
Sicherheitsfunktionen entsprechend beim Gerätepreis zu kritische Topologie, bei der IoT-Knoten ohne zentralen
berücksichtigen. Zugangspunkt mit dem Internet verbunden sind und
Impulspapier | Dezember 2020 3Wissenschaftliche Arbeitsgruppe Nationaler Cyber-Sicherheitsrat
somit direkt möglichen Angreifern ausgesetzt sind genommen. Insbesondere für IoT-Geräte im Consumer-
beziehungsweise als Teil eines Botnetzes nach außen Bereich ist dieses oft nicht gegeben. Beispielsweise können
kommunizieren können. Die IoT-Endgeräte selbst sind Lampen mit Internetzugang oft als relativ unkritisch angese-
dabei häufig nicht vollständig autarke Systeme, sondern hen werden, gleichzeitig können sie jedoch einem Angreifer
auf eine zentrale Auswertung und Reaktion angewiesen. möglicherweise einen Zugangspunkt in das gesamte Netz-
Im Szenario ohne lokalen Zugangspunkt befindet sich werk geben, oder er kann, wie oben beschrieben, das IoT-
diese Auswertung meist beim Hersteller in einer Cloud, Gerät als Bot missbrauchen.
und die Geräte führen auch nur die Anweisungen aus, die
beim Hersteller generiert werden. Dass Auswertung und Gleichzeitig sind die Sicherheitsaspekte klassischer Syste-
Reaktion oft auch auf außereuropäischen Servern ge- me dem Benutzer oft sehr präsent, etwa durch die Anwen-
schehen, stellt große Anforderungen an den Datenschutz dung selbst (z. B. Online-Banking), durch reguläre Updates,
und die Datensouveränität. Sicherheitswarnungen nach Selbsttests oder durch Berichte
f Die zweite Topologie beschreibt Endgeräte in lokalen in der Presse zu Malware und Ransomware. Kleineren IoT-
Netzen, die über einen lokalen Zugangspunkt mit dem Geräten fehlt es aber oftmals schlichtweg an einer Anzeige,
Internet verbunden sind. Dieser Zugangspunkt dient über welche Warnungen zugänglich gemacht werden könn-
häufig dazu, die einzelnen Knoten zu steuern bzw. deren ten. Gleichzeitig erfordert das Aufspielen von Sicherheits-
Daten zu sammeln, vielmals über eine dedizierte Funk- updates in einigen Fällen einen deutlich erhöhten Aufwand
technologie wie Bluetooth, ZigBee oder auch LTE. Aus als zum Beispiel vollautomatische Software-Updates, die für
Sicht eines möglichen Angreifers stellt dieses zentrale Laptops und PCs seit langem selbstverständlich sind. Ver-
Element das wesentliche Ziel dar, es kann aber aufgrund stärkend wirkt hierbei, dass insbesondere beim Aufbau von
höherer Leistungsfähigkeit auch besser abgesichert und Botnetzen das IoT-Gerät selbst gar nicht das Ziel ist und die
aktualisiert werden. eingeschleuste Schadsoftware z. B. erst bei ihrem Einsatz als
DDoS-Bot im besten Fall bemerkt werden könnte.
Unabhängig von der konkreten Topologie weisen IoT-Geräte
viele Sicherheitseigenschaften klassischer eingebetteter Bei der eigentlichen Entwicklung der Sicherheits-Updates
Anwendungen auf: Sie sind im Allgemeinen relativ leicht zu- ergibt sich auch ein weiterer fundamentaler Unterschied:
gänglich (Smart Home, digitaler Schlüssel, Medizinprodukte Betriebssysteme und Standardsoftware werden von großen
etc.) und nicht „unzugänglich” als Server in einem Rechen- Herstellern mit viel Energie entwickelt und auch gewartet,
zentrum. Neben rein netzwerkbasierten Angriffe ermöglicht sodass diese eine hohe initiale Sicherheit aufweisen und
dies auch eine ganze Reihe physikalischer Angriffe. Zum erforderliche Updates schnell entwickelt werden können.
Beispiel kann durch Beobachten der elektromagnetischen Weiterhin sind auch Meldeadressen bzw. -prozesse für ge-
Abstrahlung Rückschluss auf den verwendeten geheimen fundene Sicherheitsschwachstellen etabliert, sowohl bei den
Schlüssel gezogen werden (sogenannte Seitenkanalangriffe), Herstellern selbst, als auch durch unabhängige Dritte (z. B.
was je nach Anwendung zu einem vollständigen Sicherheits- Behörden oder Vereine). Gleichzeitig haben immer mehr
verlust des ganzen Systems führen kann. der großen Hersteller sogenannte Bug-Bounty-Programme,
die eine Meldung von Sicherheitslücken monetär entloh-
Entsprechende Gegenmaßnahmen wurden in der wissen- nen, auch um den Anreiz, diese im Darknet zu verkaufen,
schaftlichen Literatur untersucht, werden aber wegen der zu unterdrücken. Die genannten Sicherheitsmerkmale sind
einhergehenden Kosten und des Zeitaufwandes oftmals insbesondere für die Vielzahl an kleineren Herstellern auf
nur in Hochsicherheitsanwendungen, wie beispielsweise bei dem IoT-Markt nicht etabliert. Ein weiterer Aspekt ist, dass
digitalen Zahlungsmitteln, eingesetzt. Für diese Anwendun- Hersteller von IoT-Endgeräten häufig auf Software-Biblio-
gen vergibt (und fordert) das Bundesamt für Sicherheit in der theken von Drittanbietern zurückgreifen. Damit ist es dem
Informationstechnik (BSI) Zertifizierungen, denen umfang- Hersteller meist nicht möglich zu beurteilen, ob das eigene
reiche Tests in akkreditierten Prüflaboren vorrausgegangen Produkt von einer Sicherheitslücke einer Bibliothek betrof-
sein müssen. fen ist – und dem Endbenutzer erst recht nicht.
An der Schnittstelle zwischen den IoT-Geräten und ihren Regulatorische Rahmenbedingungen der IoT-
Benutzern liegt eine weitere technische Besonderheit. Klas- Sicherheit
sische Computer werden durch Home-Banking, Passwörter, Besonders wichtig für eine erfolgreiche Umsetzung der
Antivirussoftware usw. als sicherheitskritisches Gerät wahr- Handlungsempfehlungen ist eine Abstimmung der regula-
Impulspapier | Dezember 2020 4Wissenschaftliche Arbeitsgruppe Nationaler Cyber-Sicherheitsrat
torischen Maßnahmen auf internationaler bzw. europäi- schutz für IoT-Geräte stellt ein zentrales Handlungsfeld dar.
scher Ebene. Hierbei sollten auch Regelungen für spezielle Dies beinhaltet sowohl strikte Limitierungen für das Sam-
IoT-Anwendungsdomänen (z. B. Hausautomation, Automo- meln und die Verwendung von Nutzerdaten, als auch ein
bilbranche etc.) und deren gesonderte Anforderungen be- Recht auf Löschung und Herausgabe der eigenen Daten zum
rücksichtigt werden. Auf diese Weise können entsprechende Zwecke eines Anbieterwechsels. Hierbei sollten alle mög-
Vorgaben und Standards der beteiligten Akteure – z. B. Her- lichen Aspekte des Datenschutzes betrachtet werden, also
steller, Betreiber, Endnutzer – etabliert werden. insbesondere die Zweckbindung der erhobenen Daten, die
Erforderlichkeit der Verarbeitung personenbezogener Da-
Das Bewusstsein gegenüber möglichen Sicherheitsgefahren ten, der Zugangs- und Zugriffsschutz und eine datenschutz-
und entsprechenden Lösungen sollte auf allen Ebenen ge- freundliche Architektur (daher eine Verarbeitung personen-
stärkt werden: Zum einen sollte eine breite Schulung hin- bezogener Daten im Endgerät sofern möglich).
sichtlich IT-Sicherheitsthemen der Bevölkerung verstärkt
und vereinheitlicht werden, in Form von Kampagnen, als Ein Ansatz zur Überprüfung solcher Standards besteht in der
schulische Ausbildung, als fester Bestandteil sowohl von Einführung einheitlicher Zertifizierungen für IoT-Geräte, die
technischen als auch von nicht technischen Berufsaus- von einer unabhängigen Instanz durchgeführt werden und
bildungen und Studiengängen, bis hin zu VHS-Kursen für neben der Einhaltung der grundlegenden Datenschutzstan-
Endanwender. Ein weiterer Punkt ist die gezielte Förderung dards auch einige der oben erwähnten technischen Aspekte
von IoT-Sicherheitsforschung, um Lösungsansätze in offe- berücksichtigen. Der Inhalt einer möglichen Zertifizierung
nen Spannungsfeldern zu entwickeln, beispielsweise Sicher- und deren Verbindlichkeit sollte differenziert nach bestimm-
heit by Design gegenüber agilen und auf Angriffe reagie- ten Bereichen (Systemarchitektur, Sicherheitseigenschaften
renden Sicherheitslösungen. Effiziente Lösungen in diesen etc.) und Anwendungen (Smart Home, Wearables etc. bzw.
Bereichen können insbesondere durch eine verstärkte inter- auch Sensor oder Akteur) erfolgen.
disziplinäre Ausrichtung der IT-Sicherheit erreicht werden,
beispielsweise durch die verstärkte Zusammenarbeit von IT- Für den Endkunden können die wesentlichen Zertifizie-
Sicherheitsforschern mit Ökonomen oder Medizinern. Zum rungsmerkmale durch einheitlich gestaltete IoT-Labels
anderen sollte unabhängig von einem eventuell fehlenden transparent gemacht werden. Diese ermöglichen einerseits
Sicherheitsbewusstsein der Benutzer Sicherheit und Schutz dem Verbraucher den Vergleich verschiedener Produkte auf
der Privatsphäre standardmäßig gefordert werden („Securi- einen Blick, und dienen andererseits als zusätzliches Ver-
ty and Privacy by Default“): Hersteller und Anbieter müssen kaufsargument für Hersteller, die sich um die Sicherheit und
ab Werk die sicherheits- und datenschutzfreundlichste Vor- Datenschutzkonformität ihrer Produkte bemühen. Ebenso
einstellung wählen. Andere Nutzungsmöglichkeiten müssen sollten die Kriterien der Zertifizierung dabei so transparent
gezielt durch den Benutzer verändert werden, inklusive ent- wie möglich sein, sodass aus einem Siegel eindeutig hervor-
sprechender Warnhinweise. geht auf welchen Teil eines Produkts sich die Prüfung be-
zieht.
Ein weiteres entscheidendes Handlungsfeld besteht in der
Verbesserung der rechtlichen Lage von IT-Sicherheitsfor- Handlungsempfehlungen
schung. Forscher müssen die Möglichkeit haben rechtssi-
cher offensive Sicherheitsforschung an kommerziellen Gerä- Regulatorisch
ten durchführen zu können, und müssen dadurch entdeckte f Eine zentrale Forderung ist die Einführung und Durch-
Schwachstellen nach einem Responsible-Disclosure-Prozess setzung verbraucherfreundlicher Sicherheitsstandards
mit dem Hersteller auch veröffentlichen dürfen. Nur auf die- oder zumindest Richtlinien für IoT-Sicherheit, auf die
se Weise können auch weiterhin effektiv Schutzmaßnahmen sich Anbieter und Kunden berufen können. Dieses über-
gegen neuartige Angriffe und Sicherheitslücken entwickelt geordnete Ziel sollte in der Cybersicherheitsstrategie
werden. Je nach Kritikalität der Schwachstelle(n) ist auch verankert werden.
ein Coordinated Vulnerability Disclosure denkbar, also dass f Standardisierungen sollten mit einem vertretbaren Zeit-
unabhängige Stellen in die Veröffentlichung mit einbezogen und Kostenaufwand für die Hersteller erfüllbar sein.
werden müssen. f In Bereichen, wo Standardisierungen nicht praktikabel
sind, wird dem Gesetzgeber empfohlen, eine Produkt-
Die Einführung und vor allen Dingen die Durchsetzung ein- haftung durch die Hersteller einzuführen, wenn gewisse
heitlicher verbraucherfreundlicher Standards beim Daten- Sicherheitseigenschaften nicht erfüllt sind.
Impulspapier | Dezember 2020 5Wissenschaftliche Arbeitsgruppe Nationaler Cyber-Sicherheitsrat
f Die Behebung des Marktversagens durch konkrete Forschung
Vorgaben für die Sicherheit von IoT-Geräten durch den f Es wird empfohlen, dass das BMBF bzw. andere For-
Gesetzgeber, welche auf obenstehenden Sicherheits- schungsförderungsorganisationen spezielle Program-
standards bzw. -richtlinien basieren. me entwickeln, die passgenau technische Lösungen
f Der Bundesregierung wird empfohlen, eine zentrale An- für IoT-Sicherheit adressieren. Mögliche Themen sind
laufstelle für IoT-Sicherheitsvorfälle einzurichten. Hier Security-and-Privacy-by-Design für das IoT, Agilität
können Punkte wie Schwachstellenmeldungen, gemein- von Sicherheitslösungen, Sicherheitslebenszyklus oder
sames Notfallmanagement und Disclosure-Prozesse Datenschutz versus Vernetzung.
zum Wohle der Allgemeinheit behandelt werden. f Neben der Technologieförderung von Herstellern von
IoT-Geräten sollen zwecks besserer Skalierbarkeit auch
Unterstützung von IoT-Anbietern Cybersicherheitsunternehmen gefördert werden, die
f Der Bundesregierung wird empfohlen, Weiterbildungs- herstellerübergreifend IoT-Lösungen entwickeln.
angebote zu fördern, die sich speziell an IoT-Ingenieure
in der Industrie richten. Zielgruppe sollten insb. Fach-
kräfte sein, die die Anwendungsumgebung gut kennen,
aber noch keine umfassende Cybersicherheitsausbildung
haben.
f Auf der Verbandsebene soll ein deutsches Ökosystem
von beratungsorientierten Anbietern aufgebaut werden,
die IoT-Unternehmen bei der Planung und Umsetzung
von Sicherheitslösungen unterstützen können.
Wissenschaftliche Arbeitsgruppe Nationaler Cyber-Sicherheitsrat
Seit Oktober 2018 unterstützt die Wissenschaftliche Arbeitsgruppe den Nationalen Cyber-Sicherheitsrat. Sie berät aus Perspektive der
Forschung zu Entwicklungen und Herausforderungen im Hinblick auf eine sichere, vertrauenswürdige und nachhaltige Digitalisierung.
Mitglieder der Wissenschaftlichen Arbeitsgruppe sind: Prof. Dr. Claudia Eckert, Dr. Timo Hauschild, Prof. Dr. Jörn Müller-Quade, Prof. Dr.-Ing.
Christof Paar (Hauptautor dieses Impulspapiers), Prof. Dr. Gabi Dreo Rodosek, Prof. Dr. Alexander Roßnagel, Prof. Dr. Michael Waidner
Impulspapier | Dezember 2020 6Sie können auch lesen
