Das Internet der unsicheren Dinge
Geräte, die im Internet der Dinge (IOT) miteinander vernetzt sind, erfassen und analysieren Daten und verwenden diese weiter. Das birgt einige neue Sicherheitsrisiken in sich
„Iot-geräte, etwa im smarten Zuhause, machen vieles leichter, reißen aber oft auch Lücken ins Heimnetz.“
Smarte Fitnessarmbänder, Smart-homesysteme, smarte Autos – plötzlich sind alle Geräte „intelligent“, also vernetzt und funktionieren automatisch. Das Internet der Dinge (Internet of Things, IOT) bildet ein Netzwerk, bei dem Gegenstände von selbst zusammenarbeiten. Der Mensch darf sich zurücklehnen und profitieren.
Die „smarte“Zahnbürste vermittelt, wie gründlich jeder Zahn geputzt wurde. Die Türklingel überträgt den Besucher im Livevideo aufs Handy. Die Waschmaschine bestellt ihr Waschpulver selbst. Von unterwegs lässt sich der Kühlschrankinhalt überprüfen und der Abendfilm im TV zur Aufnahme programmieren.
Selbst wenn es die smarte Technik noch nicht in den Alltag der breiten Bevölkerung geschafft hat und bislang noch weniger als ein Prozent der deutschen Haushalte „vernetzt“sind, setzt sich der Trend zur Verknüpfung von Geräten über das Internet fort. Optimistische Zahlen aus Branchensicht gehen davon aus, dass bis 2020 über 30 Milliarden Geräte mit dem Internet verbunden sein werden.
Doch während der zentrale Lichtschalter am Bett das Leben des Seniors in der Nacht sicherer machen soll, lässt die It-sicherheit bei der Entwicklung neuer Technologien oft zu wünschen übrig, vermehrt aus Kostengründen. Denn IOT ist auch sehr komplex und kompliziert. So wird der neu gewonnene Komfort im vernetzten Zuhause auch schnell zum Einstiegstor für Hacker und Kriminelle. Die Entwickler von Iot-geräten stehen beispielsweise vor der Entscheidung: Sollen sie vorhandene Geräte mit älteren Mikrocontrollern erweitern und so eine Internetverbindung und Cloud-basierte Anwendungen ermöglichen, aber damit möglicherweise Sicherheitsrisiken in Kauf nehmen? Oder sollen sie neu entwickelte Mikrocontroller einsetzen?
An Iot-geräte werden verschiedene Anforderungen gestellt. Hierzu gehört eine niedrige Energieaufnahme, hohe Rechenleistung sowie eigentlich auch die Sicherheit. Denn bereits in der Vergangenheit sind Probleme aufgetaucht, bei denen Iot-geräte für digitale Attacken missbraucht wurden. So wurden im Jahr 2016 tausende Iotgeräte für Distributed Denial-of-service (Ddos)-angriffe ausgenutzt und legten da
durch große Teile des Internets lahm. Von diesem Angriff waren auch Firmen wie Amazon, Netflix, Spotify und Twitter betroffen, um nur einige größere Unternehmen zu nennen.
Für Hersteller und Dienstleister bedeuten derartige Angriffe und Ausfälle nicht nur einen Image-, sondern auch einen immensen wirtschaftlichen Schaden. It-sicherheitsforscher gehen davon aus, dass vergleichbare Angriffe, die Iot-geräte ausnutzen, in Zukunft zunehmen werden.
Sicherheitslücken: Verkannte Risiken der kleinen Geräte
Durch „intelligente“Geräte, die mit dem Internet verbunden sind und „von außen“, sprich nicht nur innerhalb eines geschlossenen Firmennetzes, angesprochen werden können, entstehen neue Wertschöpfungsmöglichkeiten, aber auch neue digitale Risiken.
Mögliche Gefahren entstehen auf vier verschiedenen Ebenen. Die erste Ebene ist die Hardware-ebene, auf der das Iot-gerät mit seiner Umgebung interagiert. Diese Interaktion erfolgt meist über Sensoren. Dabei besteht die Möglichkeit, bestimmte Signalarten so zu manipulieren, dass Sensoren gestört werden und es zu Fehlfunktionen kommt. Gefahren der zweiten Ebene, der Netzwerkebene, betreffen den Informationsaustausch zwischen Komponenten. Es besteht die Möglichkeit, dass Angreifer die verwendete Software dazu bringen, ungewollte Aktionen auszulösen.
Die Gefahren der dritten Ebene betreffen die Back-end- oder Cloudlösung. Diese kann Schwachstellen enthalten, etwa durch den Einsatz veralteter Software, durch die das Iot-gerät für bösartige Aktionen missbraucht werden könnte.
Die Applikationsebene ist die vierte Ebene und umfasst Schwachstellen in der Bedienung einer Webanwendung oder eines mobilen Geräts.
Iot-geräte sind Türöffner für Botnetze und andere Schädlinge
Besitzer eines Iot-geräts können sich schnell mit Malware infizieren (www.pcwelt. de/u_equo). So wurden etwa Kunden der Deutschen Telekom im November 2016 Opfer eines Angriffs und wären beinahe Bestandteil eines großen, weltumspannenden Botnetzes (www.pcwelt.de/lcgx9a) geworden. Versucht wurde, die Router über Port 7547 anzugreifen und sie mit dem Mirai-botnetz zu verbinden. Wartungsserver können über diesen Fernwartungsport beispielsweise Updates auf dem Router installieren.
Glücklicherweise funktionierte der Angriff nicht einwandfrei, so dass die zirka 900 000 angegriffenen Router der Telekom nicht für ein größeres Botnetz missbraucht werden konnten, sondern teilweise nur ausfielen. Trotzdem entstand ein enormer wirtschaftlicher Schaden für die Telekom.
Diese Attacke verdeutlicht zudem, dass viele Angriffe für den einzelnen Benutzer gar nicht zu erkennen sind. Deshalb gilt grundsätzlich der Rat: Iot-geräte sollten stets in einem separaten Netzwerk isoliert werden, da sie eine nicht einzuschätzende Gefahr für das lokale Netzwerk darstellen, in dem sich private Dokumente, Videos und Bilder befinden.
Doch nicht immer benötigen Angreifer hochkomplexes Wissen über mögliche Angriffsvektoren. So staunte ein Smart-lockbenutzer nicht schlecht, als plötzlich sein Nachbar auch ohne Schlüssel in der Wohnung stand. Mit Smart Lock lässt sich beispielsweise die Haustür über eine Smart
phone-app steuern. Befindet sich nun das Smartphone (oder Tablet) im Haus und ist zusätzlich ein Sprachassistent aktiv, reicht ein gekipptes Fenster aus, um sich die Haustüre öffnen zu lassen. So verschaffte sich der Nachbar durch den Ruf „Hey Siri, unlock the front door“(„Hey Siri, öffne die Haustüre“) Zutritt zur fremden Wohnung. Hierbei ist allein der Befehl ausschlaggebend, der Sprachassistent ist nicht fähig, Menschen anhand ihrer Stimme zu unterscheiden.
Risikominimierung durch Penetrationstests
Smart-home-hersteller bemühen sich um eine leichte Handhabung ihrer Geräte. Sie sollen ohne It-kenntnisse auf Knopfdruck funktionieren und von überall aus steuerbar sein. Die Sicherheit bleibt da meist auf der Strecke. Die Gebrauchsanleitungen weisen nicht darauf hin, dass die nötigen Einstellungen für Iot-geräte Löcher in die schützende Firewall reißen oder dass sensible Daten unverschlüsselt über das Internet übertragen werden.
Bei zunehmender Anzahl von Iot-haushaltsgeräten sollten die damit einhergehenden Risiken nicht allein auf den Anwender abgewälzt werden. Es ist kaum zu erwarten, dass Privatanwender eine Vielzahl eingesetzter Geräte regelmäßig auf dem aktuellen Sicherheitsstandard halten können. Ganz abgesehen davon ist es den meisten Anwendern kaum möglich zu beurteilen, wie gut die Softwarequalität von Produkten ist, wie lange es Updates gibt und ob vor Markteinführung Sicherheitstests durchgeführt wurden.
Auch werden Sicherheitsaspekte viel zu häufig der kurzfristigen Wirtschaftlichkeit unterworfen. Anstatt in schlecht programmierter Software regelmäßig Sicherheitslücken aufwändig zu stopfen, sollten Entwickler It-sicherheit schon im Entstehungsprozess beachten. Das senkt auf lange Sicht die Kosten. Ein entscheidendes Instrument der Risikominimierung ist der Iot-penetrationstest. Ein Mittel für Penetrationstests, also für Angriffe mit dem Ziel, Sicherheitslücken zu entdecken, ist das Tool Metasploit. Es kennt Hunderte von Sicherheitslücken auch in Iot-geräten und testet diese in einem eigenen Netzwerk.
Das ist wichtig bei den Komponenten des IOT
Die genaue Auswahl an Tests und Tools wird passend zum Iot-gerät und dessen Anforderungen getroffen, da ein Penetrationstester seine Testzeit optimal ausschöpfen und möglichst viele Erkenntnisse gewinnen möchte. Es ist zudem wichtig, die Funde und erzielten Testergebnisse für den Auftraggeber genau zu dokumentieren und Empfehlungen für die Behebung von Schwachstellen auszusprechen, so dass das It-sicherheitsniveau nachhaltig gesteigert werden kann.
Ist die Sicherheit des Gerätes auf einen Stand gebracht worden, die entsprechend der oben exemplarisch genannten oder anderer vergleichbarer Spezifikationen ausreichend ist, kann die Markteinführung beginnen.
Auf dem Back-end laufen üblicherweise verschiedene Dienste. Diese können Schwachstellen aufweisen oder auf veralteter Software basieren. Sind Schwachstellen vorhanden, besteht die Gefahr einer Rechte-ausweitung des Angreifers, die zur Kompromittierung des Systems führt. Das entsprechende Iot-gerät ließe sich dann für bösartige Aktionen missbrauchen.
Die Interaktion von Iot-geräten erfolgt meist in unterschiedliche Richtungen. So werden die Geräte häufig mit Webanwendungen oder mobilen Apps bedient. Der dahinterliegende Webservice sowie der Datenverkehr zum Back-end, aber auch die Anwendungen können verwundbar sein und Schwachstellen aufweisen.
Auch besteht die Gefahr, dass ein Angreifer den Datenverkehr manipuliert, um die Software so zu ungewollten Aktionen zu bringen. Ist das Iot-gerät nicht in der Lage, die Legitimität einer Anfrage zu prüfen, steht es dann unter der Kontrolle des Angreifers. Herstellung und mögliche Implementierungsfehler in der Hardware dürfen ebenfalls nicht außer Acht gelassen werden. Das denkbar schlimmste Szenario für Hersteller ist, dass sich Angreifer unautorisierte Zugriffsrechte auf dem Gerät verschaffen und eigenen Code zur Ausführung bringen. Auch die verbauten Sensoren können manipuliert werden. Es kommt dann zu Fehlmessungen und Funktionsstörungen. So können nicht nur Signale zwischen Sensor und Gateway, sondern auch zwischen Gateway und Back-end angegriffen werden. Die Folge: Das Iot-gerät führt ungewollte Aktionen aus.
Maßnahmen und Konzepte: Itsicherheit als Teil der Entwicklung
Hackerattacken, wie der eingangs erwähnte Ddos-angriff aus dem Jahr 2016 mit einer enormen Anzahl verwundbarer Iot-geräte, zeigen einen deutlichen Handlungsbedarf, wenn es um Iot-sicherheitslösungen geht.
Häufig fehlt den Herstellern das Bewusstsein, dass neben der Funktionalität der Geräte auch die Sicherheit einen enormen Stellenwert hat. Eine Analyse unterschiedlicher Geräte zeigt, dass Produkte teilweise nur begrenzte oder sogar überhaupt keine Sicherheitsmechanismen besitzen. Dabei benötigen Angreifer oft nur eine einzige Lücke, um ein verwundbares System unter ihre Kontrolle zu bekommen.
It-sicherheit sollte deshalb fester Bestandteil der Planungs- und Entwicklungsphase sein. Passende Architekturen und geeignete sicherheitsbezogene Entwürfe müssen schon früh in den Entwicklungsprozess einfließen, um Folgekosten zu minimieren. Angriffsflächen lassen sich beispielsweise reduzieren, wenn im Vorfeld entschieden wird, welche Komponenten für den tatsächlichen Betrieb des Gerätes benötigt werden. Kostendruck bei der Entwicklung und Produktion ist ein entscheidender Faktor. Bietet ein Hersteller mehrere Ausstattungsvarianten an, so wird mit hoher Wahrscheinlichkeit nicht für jede Variante eine eigene Platine entwickelt. Alle Erweiterungsmodule sind mit zusätzlichen Kosten verbunden. Der Hersteller versucht meist, einheitliche Bauteile in großer Stückzahl zu fertigen, um Kosten zu sparen. Unterschiede finden sich dann häufig nur in der Firmware, die in den günstigen Varianten Funktionen ungenutzt lässt.
Bereits bei der Konzeption eines Iot-gerätes sollten grundlegende Funktionsbestandteile auf Sicherheit hin untersucht werden. Denn die Kommunikation zwischen Schnittstellen und deren Absicherung ist ein neuralgischer Punkt. Dabei ist etwa zu beachten, dass Signale manipuliert sein oder aus gerätefremden Quellen stammen könnten. Um solche Mängel aufzudecken, sollte das Produkt vor Markteinführung einem Sicherheitstest durch einen unabhängigen Dienstleister unterzogen werden. Ziel dieses Sicherheitstests ist es, mögliche Schwachstellen aufzudecken und Wege zur Behebung aufzuzeigen.
Aber auch wenn bei der Entwicklung die zum Zeitpunkt gängigen Sicherheitsvorkehrungen getroffen wurden, gibt es keine Garantie, dass das Endprodukt frei von Sicherheitsproblemen ist. Neue Lücken werden regelmäßig entdeckt und veröffentlicht. Möchte der Hersteller das Vertrauen der Anwender gewinnen, so ist es wichtig, offen mit aufgedeckten Schwachstellen umzugehen. Werden bekannte Lücken behoben und Updates zur Verfügung gestellt, ist es weniger wahrscheinlich, dass Angreifer eine Schwachstelle erfolgreich ausnutzen können.
Ausblick: Das sollten die Iot-gerätehersteller ändern
Noch immer ist das Bewusstsein für Gefahren im Zusammenhang mit Internet of Things (Iot)-geräten nicht ausreichend vorhanden. Hersteller verschweigen zum Teil die Risiken, die der Anwender mit dem Einsatz von Iot-geräten eingeht. In Bedienungsanleitungen wird meist nicht auf versteckte Funktionen und Dienste hingewiesen. Ein Iot-gerät ist für den Anwender oft eine Blackbox, deren exakte Funktionen und Sicherheit er nicht überblicken kann. Also ist der Hersteller in der Pflicht: „Für Hard- und Software muss es so etwas wie ein Mindesthaltbarkeitsdatum geben, einen Zeitraum, für den der Hersteller einen einwandfreien Zustand garantiert und bei Mängeln haftet“, regte Arne Schönbohm, Chef des Bundesamts für Sicherheit in der Informationstechnik, im Mai 2017 an.
Ein wünschenswerter Vorschlag, jedoch nur schwer umsetzbar, da der Markt global und intransparent ist. Somit bleibt zu hoffen, dass immer mehr Hersteller „It-sicherheit“– neben Funktionalität – als ein zentrales Qualitätsmerkmal ihrer Iot-produkte verstehen.
Gleichzeitig sollten aber auch Verbraucher diese Sicherheit immer einfordern und gleichzeitig grundlegende Regeln für den sicheren Umgang mit Iot-geräten – etwa sichere Passwörter, regelmäßige Updates, Netzwerkseparierung – beachten.
Wer bereit ist, für die Sicherheit seines eigenen Heimnetzwerks zu investieren, kann einen Sicherheitsrouter einsetzen. So soll etwa die Bitdefender Box alle Iot-geräte im Heimnetz schützen können. Der Sicherheitsrouter kostet 200 Euro, nach dem ersten Jahr sind 100 Euro pro Jahr für Updates nötig (www.bitdefender.de/box).