Illustration: Absmeier, Methodshop
- »IoT und Smart Devices – mit Sicherheit digital und smart« ist Motto der vierten Woche des European Cyber Security Month im Oktober 2018.
- Fünf Tipps für adäquate IoT-Security im Unternehmen.
Im Jahr 2021 werden etwa 25 Milliarden IoT (Internet of Things)-Geräte mit dem Internet verbunden sein, prognostizieren Marktforscher von Gartner. Dazu gehören Kameras, Thermostate, Türöffnungsanlagen und Lichtanlagen. Doch die Sicherheit kommt dabei häufig zu kurz. Eine Studie der zu Gartner gehörenden CEB stellt fest: Fast 20 Prozent der befragten Unternehmen hat in den vergangenen drei Jahren mindestens einen IoT-basierten Angriff beobachtet [1].
»Viele Hersteller und Anbieter von IoT-Geräten und Diensten vernachlässigen ihre Sorgfaltspflicht gegenüber ihren Kunden, weil sie Lösungen schnell auf den Markt bringen möchten«, sagt Maik Morgenstern, Mitglied der Kompetenzgruppe Security im eco Verband und Geschäftsführer und Technischer Leiter AV-TEST. Markus Schaffrin, Security-Experte und Geschäftsbereichsleiter Mitgliederservices im eco Verband ergänzt: »Maschinen, Anlagen, Logistik und Produkte kommunizieren und kooperieren im Internet der Dinge direkt miteinander. Damit der Weg zur Industrie 4.0 erfolgreich ist, müssen Unternehmen ihre vernetzten Anlagen und Steuerungssysteme professionell schützen.« Was Verantwortliche dabei beachten sollten, das haben Morgenstern und Schaffrin in fünf Tipps zusammengefasst:
- Security aus einem Guss schaffen
Betriebssicherheit und Produktionskontinuität haben höchste Priorität. Damit eine Industrie 4.0 IT-Strategie die Sicherheitsanforderungen erfüllt, muss sie aus einem Guss sein und Sicherheitslücken im Kommunikationssystem vermeiden sowie Fernzugriffe auf das Produktionssystem kontrollieren. Dabei helfen eindeutige Verantwortlichkeiten über die gesamte Sicherheitsinfrastruktur hinweg, also von der Beschaffung der Geräte bis hin zur Planung, Implementierung und zum Betrieb. Auch klare Verantwortlichkeiten gestalten die Sicherheitsstrukturen effizienter.
- Unternehmensnetzwerke segmentieren
Unternehmen minimieren ihre Angriffsfläche, wenn sie ihr Netzwerk intelligent aufbauen. Empfehlenswert ist es, das Unternehmensnetzwerk dynamisch zu segmentieren, um die Folgen einer Hackerattacke zu minimieren. Beispielweise lässt sich ein Unternehmensnetzwerk in verschiedene virtuelle LANs (VLANs) aufteilen. IoT-Devices können ein eigenständiges Segment bilden, das von anderen Segmenten isoliert ist.
- Auf geeignete Sicherheitslösungen setzen
Für viele Fertigungsanlagen und Produktionsroboter gibt es keine Firmware-Updates; auch mit Anti-Viren-Software lassen sich die Systeme häufig nicht bestücken. Das Netzwerk sollte daher mithilfe geeigneter IT-Sicherheitslösungen geschützt sein, die ein hohes Maß an Standardisierungen bieten, etwa für den verschlüsselten Fernzugriff auf Anlagen sowie eine realistische Risikoeinschätzung durch die Verantwortlichen. Diese Sicherheitslösungen müssen alle IoT-Devices überwachen, auf ungewöhnlichen Traffic hinweisen und verdächtige Verhaltensweisen entdecken. Eine intelligente, auf das Internet der Dinge hin optimierte Firewall wehrt unberechtigte Zugriffe von außen ab.
- Mitarbeiter qualifizieren
Eine Cyber-Abwehrstrategie für das Internet der Dinge steigert die Awareness der Mitarbeiter. Sie sensibilisiert diese für mögliche Gefahren, damit sie auch unter Stress richtig reagieren. Insbesondere IT-Security-Mitarbeiter brauchen das Know-how, IoT-Lösungen und -Projekte sicher umzusetzen. Die Fähigkeit, Schwachstellen zu erkennen und zu patchen ist eine wichtige Herausforderung, für die Verantwortliche stets neue Angriffsvektoren kennenlernen müssen. Kontinuierliche Weiterqualifizierungen sind daher eine Voraussetzung für Sicherheit im IoT.
- Security-by-Design von Anfang an
Sicherheits- und Vertrauensfunktionen von Anfang an mitzudenken ist Schadensprävention. Zu Security-by-Design gehören auch technische Mindestsicherheitsstandards, die Unternehmen definieren und einführen. Auf Geräte, die sich nicht updaten lassen, selbst wenn sich dort neue Sicherheitslücken finden, sollten Unternehmen verzichten. Security, die auch ohne Beteiligung der Nutzer funktioniert, gilt es hingegen zu fördern. Dadurch wird Industrial-IoT oder Industrie 4.0 für viele Unternehmen tatsächlich zur Chance und kann das volle Potenzial entfalten.
[1] https://www.gartner.com/newsroom/id/3869181
Eine Übersicht über AV-TEST geprüfte und zertifizierte IoT-Produkte gibt es unter https://www.av-test.org/de/internet-of-things/
Die Themen des European Cyber Security Month 2018:
Woche 1 – IT-Basisschutz leicht gemacht (1.-5. Oktober)
Woche 2 – Digitales Leben – Sicherheit vermitteln (8.-12. Oktober)
Woche 3 – Schutz vor Onlinebetrug (15.-19. Oktober)
Woche 4 – IoT und Smart Devices – mit Sicherheit digital und smart (22.-26. Oktober)
IoT verändert Sicherheitsdenken: Warum PKI immer wichtiger wird
Sicherheitsverantwortliche haben nur wenig Mitspracherecht bei IoT-Entscheidungen
Beim Einsatz von IoT-Anwendungen gilt in Unternehmen die größte Sorge der IT-Sicherheit