Internet der Dinge-Sicherheit bezeichnet die Praxis, nicht nur IoT-Geräte, sondern auch die von diesen Geräten genutzten Netzwerke zu schützen. IoT-Sicherheit soll Daten vertraulich halten und sowohl die Privatsphäre der Nutzer als auch die Einhaltung von Richtlinien durch IoT-Geräte und unterstützende Technologien gewährleisten.
Das Internet der Dinge hat sich bereits als attraktives Ziel für Bedrohungsakteure erwiesen, da es datenreich ist und die wachsende Angriffsfläche Hackern größere Möglichkeiten bietet, Schaden anzurichten.
Siehe auch: Eindämmung von Cyberangriffen im IoT
Trends bei der IoT-Sicherheit
Zunehmend komplexe IoT-Umgebungen
Die durchschnittliche Anzahl vernetzter Geräte in den meisten US-Haushalten betrug 2020 zehn. Komplexe IoT-Umgebungen werden zunehmend zum Normalfall. Aufgrund des immer komplexeren Netzes miteinander verbundener Funktionen lassen sich diese Umgebungen immer schwieriger kontrollieren und verwalten.
Betriebstechnologie (Operational Technology, OT) ist in industriellen Umgebungen bereits weit verbreitet. Solche Lösungen benötigen jedoch mehr Daten, um fundiertere Entscheidungen zu treffen. Dafür müssen mehr Messgeräte und Sensoren eingesetzt werden.
Infolgedessen verschwimmt die Grenze zwischen passivem IoT und OT zunehmend, wodurch die OT-Umgebung größeren Risiken ausgesetzt wird. Das aus der zunehmenden Komplexität von IoT-Implementierungen resultierende Sicherheitsrisiko besteht in der Entstehung einer Vielzahl neuer Angriffsvektoren für Bedrohungsakteure.
Regulierung
Der IoT-Markt war aufgrund fehlender globaler regulatorischer Abstimmung häufig mit Marktfriktionen und einer Verwässerung von IoT-Sicherheitsstrategien konfrontiert. Zusätzlich zu Branchen wie der Mobilfunkkonnektivität, die bereits stark reguliert sind, entstehen weitere Vorschriften, etwa die Regelungen der UN für intelligente Fahrzeuge.
In den USA und Europa sind Gesetzesvorhaben in Arbeit, die die Möglichkeit zur Bereitstellung von IoT bis 2024 regulieren sollen. Die aktuelle regulatorische Entwicklung zeigt, dass die Regulierung bald alle IoT-Hersteller, -Anbieter und -Verbraucher betreffen wird.
Die USA und Europa arbeiten an Initiativen, die mit dem Standard ETSI EN 303 645in Einklang stehen sollen. Die Europäische Kommission hat die Initiative für internetverbundene Funkanlagen und tragbare Funkanlagen verabschiedet, um die Sicherheit internetverbundener Geräte durch die Festlegung grundlegender Kriterien für IoT-Geräte zu stärken. Zudem veröffentlichte das National Institute of Standards and Technology (NIST) ein Whitepaper mit dem Titel „Baseline Security Criteria for Consumer IoT Devices“. Diese beiden Beispiele verdeutlichen die Notwendigkeit einer Kennzeichnung für Verbraucher sowie der erforderlichen Härtung und Prüfung der Cybersicherheit.
Auch Regierungen und Aufsichtsbehörden werden größere Anstrengungen zur Regulierung der IoT-Sicherheit unternehmen, da Verbraucher mehr Sicherheit fordern und die Zahl der Sicherheitsverletzungen weiter steigt.
Siehe auch: 7 Herausforderungen für Unternehmensnetzwerke
Zusammenarbeit und Kooperation
IoT-Ökosysteme zeichnen sich durch heterogene Geräte, Konnektivität, Implementierungen und Grundlagen aus. Daher wird eine effektive Bereitstellung von IoT-Diensten durch die Zusammenarbeit von Experten aus den zahlreichen beteiligten Technologien und Fachgebieten verbessert. Dies führt nicht nur zu komplexeren und vielschichtigeren Lösungen, sondern hilft auch bei der Bewältigung neuer Herausforderungen für die IoT-Sicherheit.
Mehr Technologieführungskräfte werden sich für eine bessere Zusammenarbeit innerhalb der Branche sowie für den branchenübergreifenden Wissensaustausch zur IoT-Sicherheit interessieren. Der Bedarf an verstärkter Zusammenarbeit und Kooperation wird weiter steigen, da die Auswirkungen neuer Herausforderungen durch technologische Innovationen größer werden.
Mehr Daten
Mit der zunehmenden Zahl von IoT-Geräten steigt auch das Volumen der erzeugten Daten. Bei den Fragen rund um diese Daten geht es um deren Speicherort und Datenschutz. Doch unabhängig davon, ob Daten in der Cloud, am Edge oder in Rechenzentren gespeichert werden: All diese Daten müssen geschützt werden. Darüber hinaus bedeutet die Zunahme von Edge-Geräten, dass auch sie verwaltet und geschützt werden müssen.
Siehe auch: Die besten IoT-Plattformen für die Geräteverwaltung
Herausforderungen der IoT-Sicherheit
Risikoexposition durch das Wachstum der Zahl von IoT-Geräten
Die Zahl der IoT-Geräteist aufgrund des Einsatzes mehrerer IoT-Lösungen und -Implementierungen in einer Vielzahl von Anwendungen rasant gestiegen.
Während Unternehmen weiterhin versuchen, IoT-Initiativen in all ihren Geschäftsabläufen zu etablieren, um Leistung und Zusammenarbeit zu verbessern, können sie unbeabsichtigt vernetzte Geräte in ihre Netzwerke einführen. Da Hersteller die Konnektivität in eine immer größere Bandbreite von Geräten integrieren, verbinden Mitarbeiter ihre Geräte mit diesen Unternehmensnetzwerken.
Die Anbindung all dieser vernetzten Geräte an Unternehmensnetzwerke erhöht die Gefahr einer größeren Risikoexposition. Da es ihnen an angemessenen und ausreichenden Sicherheitskontrollen fehlt, ist bei diesen Geräten die Wahrscheinlichkeit am höchsten, dass sie Schwachstellen in Netzwerke einführen.
Um Risiken wie Sachschäden, Datendiebstahl sowie Daten- und Umsatzverluste zu verhindern, können Unternehmen Maßnahmen wie die Bestandsaufnahme und Bewertung ihrer IoT-Geräte sowie deren Klassifizierung und Schutz ergreifen.
Eine Bestandsaufnahme der IoT-Geräte eines Unternehmens stellt sicher, dass Unternehmen über alle mit ihren Netzwerken verbundenen Geräte Bescheid wissen. Dadurch sind sie beim Aufbau und bei der Umsetzung von Richtlinien und Kontrollen zur Verringerung des Risikos unbeabsichtigter Datenpannen umfassend informiert. Die Klassifizierung und der Schutz von Geräten können Unternehmen beim Aufbau der richtigen Kontrollen unterstützen.
Mithilfe des IoT-Gerätebestands können Unternehmen nachvollziehen, wie Geräte verwendet werden, welche geschäftlichen Auswirkungen und Schwachstellen sie haben und welche weiteren Indikatoren sicherstellen, dass Sicherheitsrichtlinien wirksam angewendet werden.
Fehlende Verschlüsselung
Eine der offensichtlichsten Herausforderungen der IoT-Sicherheit ist die fehlende Verschlüsselung bei der regulären Datenübertragung. Die fehlende Verschlüsselung des Datenverkehrs setzt IoT-Geräte verschiedenen Arten von Man-in-the-Middle-Angriffen (MITM) aus. Angreifer nutzen diese häufig, um Anmeldedaten abzufangen und letztlich Unternehmensnetzwerke zu kompromittieren. Auch teilweise verschlüsselte und falsch konfigurierte Daten bergen Risiken.
Unternehmen sollten sicherstellen, dass für MITM-Angriffe anfällige Daten bei der Speicherung auf IoT-Geräten mit der richtigen Verschlüsselung geschützt werden. Sie sollten Geräteschwachstellen bewerten und beheben sowie eine unzureichende Geräteverschlüsselung und schwache kryptografische Algorithmen beheben, um die Wahrscheinlichkeit eines Abfangens zu verringern.
Unternehmen können außerdem eine Transportverschlüsselung einsetzen und Standards wie TLS (Transport Layer Security) übernehmen. Zusätzlich können sie isolierte Netzwerke verwenden, um Geräte voneinander zu isolieren, und eine private und sichere Kommunikation einrichten.
Verwalten von Geräte-Updates
Das Durchführen von Updates und Sicherheitspatches für Software oder Firmware auf IoT-Gateways und -Geräten ist kein unkomplizierter Prozess. Dazu müssen verfügbare Updates nachverfolgt und gleichzeitig in verteilten Umgebungen angewendet werden, die durch unterschiedliche Geräte definiert sind und diverse Netzwerkprotokolle verwenden.
Darüber hinaus werden drahtlose Updates von vielen Geräten möglicherweise nicht unterstützt, oder manche Geräte führen Updates mit einer Betriebsunterbrechung durch. Bei älteren Geräten fehlen möglicherweise Updates, oder sie werden letztlich von ihren Herstellern nicht mehr unterstützt.
Um diese Probleme zu bewältigen, entwickeln Unternehmen Strategien zur Geräteverwaltung oder setzen Geräteverwaltungssysteme ein, die diese Geräte automatisch überwachen und die erforderlichen Updates ausrollen. Diese Systeme sollten außerdem hervorheben, welche Geräte nicht unterstützt und verwundbar sind und welche ausgemustert werden sollten. Unternehmen sollten zudem sicherstellen, dass die von ihnen eingesetzten Geräte abwärtskompatibel sind.
Unzureichende Investitionen
Da Sicherheitsexperten in Unternehmen zunehmend das wachsende Ausmaß der durch IoT-Geräte bedingten Sicherheitsrisiken erkennen, wird ihnen bewusst, dass sie möglicherweise nicht ausreichend in IoT-Praktiken und -Lösungen für Unternehmen investieren, um die zunehmenden Sicherheitsherausforderungen wirksam zu bewältigen.
Unternehmen müssen ihre Sicherheitsbudgets erheblich aufstocken, um Initiativen wie die Einführung agentenloser Lösungen sowie Datenklassifizierung und Verschlüsselungspraktiken zu finanzieren. Außerdem müssen sie Partnerschaften mit Lösungsanbietern eingehen, um die Herausforderungen beim Umgang mit komplexen und sich ständig verändernden IT-Umgebungen und Bedrohungen zu bewältigen.
Geringe Rechenleistung
Da die meisten IoT-Anwendungen nur wenige Daten verwenden, verlängert sich ihre Akkulaufzeit und sinken ihre Kosten. Für die meisten dieser IoT-Geräte kann es jedoch schwierig sein, Over-the-Air-Updates durchzuführen, sodass sie Cybersicherheitsfunktionen wie Ende-zu-Ende-Verschlüsselung, Firewalls und Malware-Scanner nicht implementieren können. Dadurch sind diese Geräte anfälliger für Hackerangriffe.
Eine wirksame Methode zur Absicherung solcher IoT-Anwendungen besteht darin, sicherzustellen, dass das Netzwerk integrierte und kontinuierlich aktualisierte Sicherheitsfunktionen besitzt.
Zukünftige Trends bei der IoT-Sicherheit
Da erwartet wird, dass die weltweite Chipknappheit über 2022 hinaus anhält, gibt ihre Auswirkung auf nahezu alle Branchen Anlass zur Sorge, dass Hersteller von der Verwendung von Komponenten abweichen könnten, die auf einer grundlegenden Root of Trust (RoT) basieren, und stattdessen auf nicht standardisierte Quellen zurückgreifen. Dies könnte dazu führen, dass Hersteller gefälschte Chips mit Sicherheitslücken einbauen. Diese können außerdem Hintertüren enthalten, wodurch Kundenwerte einem hohen Ausnutzungsrisiko ausgesetzt werden.
Eine Zunahme von Zertifizierungsmaßnahmen, mit denen die Sicherheitsmerkmale von Komponenten gegenüber Geräteherstellern ausgewiesen werden, wird es diesen ermöglichen, vertrauenswürdige Komponenten zu beschaffen und so die Sicherheitsrisiken durch nicht standardisierte Chips zu verringern. Da viele Halbleiterunternehmen zugesagt haben, ihre Produktionskapazitäten zu erhöhen, wird auch der Bedarf an einer Standortzertifizierung steigen, um sicherzustellen, dass diese Produktionsstätten die Sicherheitsanforderungen erfüllen.
Darüber hinaus müssen diese Zertifizierungen wiederverwendbar sein, damit sie die Bereitstellung und Entwicklung des IoT nicht behindern. Solche Zertifizierungen werden die Kosten für Bewertungen durch Dritte senken und dazu beitragen, die IoT-Sicherheitsstandards zu vereinheitlichen.
Die Einführung von IoT-Sicherheit wird zunehmen, da negative Faktoren infolge der weltweiten Chipknappheit mit einem stärkeren Bewusstsein der Verbraucher sowie wirksameren Maßnahmen von Regierungen und Aufsichtsbehörden zusammentreffen und dieses Wachstum vorantreiben. Maßnahmen von Regulierungsbehörden und Verbrauchern für höhere IoT-Sicherheitsstandards werden Unternehmen letztlich dazu bewegen, einen proaktiveren Ansatz für die IoT-Sicherheit zu verfolgen.