Embedded-Systeme haben ihre eigenen, ganz spezifischen Sicherheitsanforderungen. Im Interview erklärt Roland Marx, Senior Product Manager Embedded IoT Solutions, Swissbit AG warum Security by Design für IoT-Geräte von den Entwicklern gefordert werden muss und wie bestehende (unsichere) Systeme mit einem Secure Element als digitalen Ausweis, mit eindeutiger Identifikation und Verschlüsselung, nachgerüstet werden können.

Herr Marx, Sie beschäftigen sich mit der Sicherheit von Embedded-IoT-Systemen. Sind die Sicherheitsrisiken nicht dieselben wie bei anderen IT-Systemen?

Leider nein. Embedded-Systeme weisen spezifische Sicherheitslücken auf und sind schwerer abzusichern als klassische IT-Systeme. Sie können sowohl remote als auch durch direkten physischen Zugang angegriffen werden – sei es, um ihre Funktionen zu manipulieren oder ihre Vernetzung für weiterführende Angriffe auf andere Systeme zu missbrauchen. Besonders attraktiv für Hacker sind Zugangsschlüssel zu Datenbanken, Netzwerken, VPNs, IoT-Endpunkten, Clouddiensten, aber auch die Netzwerk- beziehungsweise Internetanbindung. Über diese Wege lassen sich Angriffe auf angrenzende oder übergeordnete Systeme ausweiten.

Roland Marx,
Senior Product Manager Embedded IoT Solutions,
Swissbit AG

Was macht Embedded IoT-Geräte besonders anfällig für Cyberangriffe?

Drei Faktoren spielen eine zentrale Rolle. Zum einen haben Embedded-Systeme im Vergleich zu vielen anderen Technologien einen sehr langen Produktlebenszyklus: Sie sind oft jahrzehntelang im Einsatz – denken Sie an Flugzeuge, Verteidigungssysteme, Kraftwerke. Während IT-Systeme beispielsweise mit Betriebssystem-Updates regelmäßig Sicherheits-Patches erhalten, werden Embedded-Systeme viel seltener oder nie aktualisiert. Ein weiteres Problem ist die erschwerte Aktualisierung. Selbst wenn Sicherheitslücken bekannt werden, lassen sich Updates oft nur schwer umsetzen. Viele Geräte sind physisch nur mit erheblichem Aufwand erreichbar, etwa wenn sie in weit verstreuten Überwachungsstationen arbeiten. Zudem sind Embedded-Systeme in ihrer Anpassungsfähigkeit stark eingeschränkt. Die monolithische Natur des Betriebssystems in einigen Systemen und die begrenzten Speicher- und Verarbeitungskapazitäten der eingebetteten Hardware schränken Sicherheitsmaßnahmen ein, die Entwickler nach der Inbetriebnahme hinzufügen können.

Ein weiteres Beispiel, das jeder kennt: Selbst da wo es Zugangscontroller und Security gibt, verwenden viele Hersteller Standardpasswörter, die bei allen Geräten gleich sind. Ändert der Besitzer diese nicht aktiv, gelangt ein Hacker, der das Handbuch kennt, ohne Umschweife in das System.

Existieren vor dem Hintergrund einer besonderen Bedrohungslage auch besondere Vorschriften und Regularien, um Risiken einzudämmen?

In der EU gehören dazu zum Beispiel die Radio Equipment Directive (RED), der Cyber Resilience Act (CRA) und Network & Information Security (NIS2). In den USA kommen der FDA-Act für medizinische Geräte und PCI DSS für Finanzdienstleistungen dazu. Kalifornien hat mit SB-327 sogar ein eigenes IoT-Gesetz. In Japan greift das IoT Security and Safety Framework (IoT-SSF). Zusätzlich gibt es Industriestandards, die eingehalten werden sollten. Dazu zählen der Cyber Security Standard für IoT-Geräte nach EN 303 645, das Security Framework für industrielle Automatisierungs- und Steuerungssysteme IEC 62443-4-2 sowie das NIST Cybersecurity für IoT-Programme nach NISTIR 8259A.

Welche sonstigen Folgen, beispielsweise hinsichtlich der Haftung und Geldbußen, hat es für Unternehmen, wenn sie diesen Vorschriften nicht entsprechen?

Verstöße gegen den Cyber Resilience Act (CRA) können schwerwiegende Folgen haben. Unternehmen riskieren den Verlust der CE-Kennzeichnung. Für verschiedene Verstöße gegen den CRA drohen Bußgelder in Höhe von bis zu 15 Millionen Euro oder bis zu 2,5 % des Jahresumsatzes.

Welche Maßnahmen lassen sich aus den Vorschriften und Standards ableiten? Können Sie uns Beispiele beziehungsweise Vorgehensweisen nennen, die sich durch alle Regelwerke erstrecken?

Eine Reihe branchen- und produktbezogener Standards sollen für die Erfüllung rechtlicher Anforderungen sorgen. Neben reinen Produktanforderungen, wie sie beispielsweise in der EN303645 für IoT-Produkte beschrieben sind, geht etwa der Industriestandard IEC 62443 auch auf Maßnahmen ein, wie ein Netzwerk aus Produktions- und Steuersystemen sicher aufgebaut und abgeschottet werden sollte. Ein zentrales Prinzip wird aber überall gefordert: »Security by Design«. Das bedeutet, dass Sicherheit von Anfang an in die Architektur eines Systems eingebettet sein muss. Entwickler müssen also bereits in der Designphase bedenken, wie Geräte ausgenutzt, umgangen oder manipuliert werden könnten und wer daran ein Interesse haben könnte. Dagegen muss das Gerät durch seinen Aufbau geschützt werden.

Was trägt Swissbit zur IoT-Sicherheit bei?

Eine konkrete Lösung wäre zum Beispiel unser Security Upgrade Kit für Embedded-Systeme. Das Kit besteht aus einer microSD-Karte in Industriequalität mit einem speziellen Flash-Controller, erweiterter Firmware sowie passender Dokumentation, Software und Tools. Es bietet Hardware-basierte Zugriffskontrolle, Echtzeit-Datenverschlüsselung mit AES 256 und erlaubt die individuelle Anpassung von Schutzprofilen. Anwendungsbereiche sind unter anderem der Kopierschutz sensibler Daten oder der Schutz der Systemintegrität durch Secure Boot.

Welchen Vorteil bietet Ihr Ansatz?

Unsere Sicherheitsprodukte basieren auf einem Secure Element für Verschlüsselung und Authentisierung. Einen solchen Hardware-Anker analog zu einem aufgelöteten Trusted Platform Module (TPM) auf einer SD-Karte bereitzustellen, hat den Vorteil, dass er nachgerüstet werden kann. Da die Geräte meist sowieso ein Speichermedium benötigen und ein Interface für eine Speicherkarte besitzen, bietet sich diese als Formfaktor für eine Sicherheitslösung an. Das Secure Element fungiert als digitaler Ausweis, mit dem sich das Gerät in der IoT-Kommunikation eindeutig identifizieren und seine Daten verschlüsseln kann. Ein weiterer positiver Aspekt der Nachrüstbarkeit: Cyber Security ist bekanntlich ein ewiger Wettlauf. Die Entwicklung von Angriffs- und Verteidigungsmethoden verläuft in Zyklen, die nur schwer mit dem Produktlebenszyklus von IoT-Geräten in Einklang gebracht werden können. Es kann also nötig werden, den M2M-Kommunikationsteilnehmern von Zeit zu Zeit einen neuen »Ausweis« mit verbesserten Kryptografietechniken zur Verfügung zu stellen. Mit unserem Lösungsansatz ist dies möglich.

Herr Marx, vielen Dank das embedded-sichere Gespräch

Illustration: © Pavlo I, Woranuch Athiwatakara, GenAI | Dreamstime.com | Dreamstime.com

999 Artikel zu „Security by Design“

News | IT-Security | Strategien | Tipps

Security by Design: Vom Nice-to-have zum Must-have

22. April 2025

Die Anforderungen an die Cybersecurity waren nie höher. Es reicht daher nicht mehr aus, die Anwendungssicherheit als notwendiges Übel abzuhaken und irgendwo zwischen Entwicklung und Deployment anzusiedeln – Unternehmen brauchen eine Security-by-Design-Strategie. Cycode, der Pionier im Bereich Application Security Posture Management (ASPM), nennt die vier maßgeblichen Stufen auf dem Weg in den Sicherheitsolymp. Der…