Angriffe aus dem IoT erkennen, analysieren und abwehren

Das Internet of Things (IoT) steht für ein System aus mit dem Internet vernetzten, smarten Geräten. Es ermöglicht, physische, aber auch virtuelle Geräte miteinander zu vernetzen. Die dabei entstehenden Daten werden in der Regel an die Cloud gesendet, um sie zu speichern und weiterzuverarbeiten. Im Zentrum stehen hier verbraucherorientierte Geräte und Services wie smarte Lautsprecher, Heizungsanlagen oder Fitnesstracker.

Das Industrial IoT (IIoT) bezeichnet die Ausprägungen des IoT im industriellen Kontext – hier geht es um vernetzte Geräte, Anlagen und Maschinen. Eine zentrale Rolle spielen dabei Sensoren, die Daten sammeln und den Austausch ermöglichen. So ermöglicht IIoT Maschine-zu-Maschine-Kommunikation ebenso wie vorausschauende Wartung. Das IIoT zielt darauf ab, die betriebliche Effizienz zu steigern, Produktionskosten zu senken und Prozesse zu beschleunigen. Auch neue Geschäftsmodelle werden möglich. 

Vernetzte Geräte und Anlagen bilden ein Einfallstor für Cyberkriminelle. Aufgrund der Internetverbindung werden Attacken wie Distributed Denial-of-Service (DDoS)-Angriffe oder das Einschleusen von Ransomware möglich. Ist einmal ein Gerät im vernetzten System gehackt, lassen sich weitere Teile der Umgebung angreifen. Dies kann zu einem Totalausfall der Geräte, zu Datenverlust und folglich finanziellen Einbußen führen. Aber auch die angedockte Cloud-Lösung kann Einfallstor für Angriffe wie Datendiebstahl sein. Hinzu kommen potenziell mangelnde Sicherheitsmaßnahmen bei der Firmware. 

Ein Seitenkanalangriff ist eine Variante von Hacking, bei der Algorithmen und Dateien indirekt angegriffen werden. Angreifer*innen machen sich dabei physische oder logische Nebeneffekte der Systeme zunutze, beobachten diese und generieren so Informationen über das eigentliche Angriffsziel. Typische Seitenkanäle sind beispielsweise Zeitverhalten, Stromverbrauch, elektromagnetische Abstrahlung und Zugriffsmuster auf Speicher. Manchmal genügt dem Angreifer schon eine einzige Beobachtung. In anderen Fällen müssen Hundertausende von Messungen durchgeführt und mit statistischen Methoden ausgewertet werden.

Unternehmen sollten auf die Eigenentwicklung einer funkbasierten Kommunikation verzichten. Typischerweise lassen sich Absicherungen solcher Implementierungen leicht überwinden. Vielmehr sollten sie auf standardisierte Verfahren und Protokolle setzen. Aber auch hier gibt es Fallstricke, viele Technologien bieten gute Mechanismen, die dann wiederrum falsch oder gar nicht genutzt werden. Hier können Expert*innen helfen, die wichtigsten Möglichkeiten zu verstehen.

Als Privatperson lässt sich nur schwer die Detailtiefe in der Kommunikation drahtloser IoT-Geräte erfassen. Der Markt ist dafür zu unübersichtlich. Man sollte darauf achten, dass die Einrichtung des Geräts nicht zu einfach ist: Für eine gute Verschlüsselung benötigen beide Geräte ein gemeinsames Geheimnis. Dies muss zwischen den Geräten ausgetauscht werden, etwa durch Eingabe eines starken Passworts, dadurch, dass beide Geräte für kurze Zeit sehr nah beieinander sind oder durch Scannen eines QR-Codes. Erfolgt dies nicht, ist Skepsis geboten.

Grundsätzlich gilt es für Unternehmen, schon im Vorfeld kompetente Ansprechpartner*innen für IT-Notfälle in der Organisation zu definieren und sicherzustellen, dass diese stets erreichbar sind. Im Angriffsfall gilt es, entscheidende Informationen zu IT-Notfällen umgehend weiterzugeben. Gegenmaßnahmen sollten nur in Absprache mit den für IT-Notfällen zuständigen Ansprechpartner*innen erfolgen. 

Über die kostenfreie Hotline Nummer 0800-274 1000 können sich betroffene Bürger*innen und KMU Hilfe beim BSI Cybersicherheitsnetzwerk (CSN) holen. Im CSN wird auch für mögliche Angriffe abseits der üblichen Büro-Anwendung, z.B. für die Anlagentechnik (OT), Hilfe angeboten. Zudem stehen die Die Zentralen Ansprechstellen Cybercrime (ZAC) der Polizeien des Bundes und der Länder Unternehmen und öffentlichen Einrichtungen als Ansprechpartner zur Verfügung.

Versicherungen bieten eine extra Cyberversicherung. Diese ist individuell vorab in einem Baukastensystem zu konfigurieren und abzuschließen. Flexible Baukastensysteme passen Leistungen und Deckungssummen an den persönlichen Bedarf an. Dabei sind die technischen und organisatorischen Voraussetzungen für den Abschluss einer Versicherung vorab zu prüfen. Mitarbeiter*innen von Notfallhotlines stehen im Schadensfall als Kontakt zur Verfügung.