Das »Internet der Dinge« ist keine Fantasie mehr, sondern Wirklichkeit. Intelligente Armbänder, Uhren und Thermostat sowie Fitnesstracker sind da, und werden genutzt. Aber was geschieht mit den Datenmengen? Lässt sich – unter Einhaltung des Datenschutzes – Sicherheit überhaupt noch gewährleisten? Oder läuten das Internet der Dinge und die allgegenwärtige Vernetzung unweigerlich das Ende des Datenschutzes ein? Die IT-Branche steht vor einer gewaltigen Herausforderung.

Megatrend auf der Elektronikmesse CES: »Internet of Things« vernetzt fast alles (Bild: CES)Mit dem »Internet der Dinge« (Internet of Things, IoT) kündigt sich eine Art neues Internet an. »Das Internet der Dinge wird Daten in einer Größenordnung produzieren, zu der unsere heutigen Vorstellungen von Big Data geradezu lächerlich wirken«, sagt Thomas Rohrmann, beim Analytics-Spezialist SAS in der DACH-Region unter anderem für das strategische Messaging rund um IoT zuständig. »Gerade im Bereich der Machine-to-Machine-Communication. Voll mit Sensoren ausgestattet produzieren zum Beispiel Maschinen wie eine Boeing TBytes an Daten – pro Flugstunde. Solche Mengen von Sensorprotokolldaten stellen dann schon Infrastrukturen und den Mensch als Analysten vor eine Herausforderung.«

Dies scheint die Industrie indes noch im Griff zu haben, da es sich bei Sensorprotokolldaten von Maschinen noch um relativ geschlossene Systeme handelt. Aber was ist mit Wearables und Smart-Devices? Ob es nun der Schwangerschaftstest mit Bluetooth-Anbindung oder der Vibrator mit eigener Smartphone-App, die Smartwatch als Ergänzung des Smartphones oder die Vernetzung von Haushaltsgeräten ist – fast alles kommt inzwischen mit eigener App und/oder Internet-Anbindung auf den Markt.

Sicherheit spielt geringere Rolle als Time-to-Market

Udo Schneider, Security Evangelist DACH, Trend Micro DeutschlandWie so oft spielen bei der Entwicklung eher Design und Time-to-Market eine Rolle als die Sicherheit. »Und das, obwohl der Missbrauch smarter Endgeräte als Einfallstor ins Firmennetz nicht unterschätzt werden sollte«, betonte Sicherheitsexperte Udo Schneider, Pressesprecher beim japanischen IT-Sicherheitsanbieter Trend Micro, kürzlich auf der »CeBIT Preview«-Veranstaltung in München. »Ähnlich wie bei mobilen Endgeräten, die den Zugriff auf Firmendaten erlauben, beispielsweise auf E-Mails, Kontakte, Kalender oder das Customer-Relationship-System, handelt es sich in der Regel um private Geräte – ohne Fokus auf Sicherheit und ohne Kontrolle durch das Unternehmen.«

Schneider malt ein »Paradies für Cyberkriminelle« an die Wand. Denn die meisten der Consumer-IoT-Geräte seien schlampig programmiert. Ein Bluetooth-Modul in größeren Stückzahlen bei einem chinesischen Hersteller kostet laut Schnieder nur 0,50 US-Dollar, ein WLAN-Modul nur 1,50 US-Dollar. »Und die Software lässt man sich von einem IT-Studenten für 3.000 Euro schreiben.«

Für solche Geräte kann ein Anti-Viren-Softwarehaus kein Paket mehr schreiben. »Beim Frontend sind wir, da es keine Standards gibt, verloren«, sagt Schneider. Und die eigentliche Verarbeitung der Daten von den IoT-Geräten findet dann meist in den »Backends« statt, im klassischen Rechenzentrums-/Cloud-Umfeld also. Hier könnte man zwar ansetzen mit Datensicherheit, meint Schneider, aber: »Weil die Backends als Anhängsel des Endgeräts wahrgenommen werden, sind solche Umgebungen oft weder unter Sicherheitsprinzipien entwickelt worden noch werden sie regelmäßig geprüft.«

Trend Micro mutmaßt: Cyberkriminelle wollen mit dem Internet der Dinge in Unternehmensnetzwerke eindringen

Was wie der personalisierte Albtraum für Sicherheitsverantwortliche klingt, ist für Cyberkriminelle geradezu das Paradies. Letztere stehen damit nach Ansicht von Schneider vor der simplen Frage der Gewinnmaximierung: »Konzentrieren sie sich auf das Hacken der einzelnen Smart-Devices, oder machen sie gleich ‚Nägel mit Köpfen’ und attackieren das Backend? Dort treffen sie auf ein einfach zu erreichendes Sammelsurium verschiedenster Technologien, was die Angriffsfläche vergrößert: Je mehr Technologien eingesetzt werden, umso größer die Auswahl möglicher Exploits. Im Erfolgsfall haben sie das gesamte Backend unter Kontrolle, inklusive aller daran angeschlossener Geräte.«

Damit nicht genug, denn die Smart-Devices dienen damit auch als Eintrittspunkt in das jeweilige Firmennetzwerk, als potentielle »Brückenköpfe« für Cyberkriminelle. »Darauf sollten Sicherheitsverantwortliche vorbereitet sein«, rät Schneider, »und mithilfe von Breach-Detection- und Forensik-Systemen auch schädliches Kommunikationsverhalten privater Smart-Devices im Firmennetzwerk sichern und auswerten können. Und schon erweitert sich der Fokus smarter Endgeräte auf die klassische Sicherheit im internen Netzwerk.«

Denn die Kompromittierung der Smart-Devices ist nach Meinung des Trend-Micro-Sicherheitsspezialisten gar nicht der eigentliche Zweck, auch jene des Backend ist eher als »Beifang« zu verstehen: »Der Fokus liegt auf den Unternehmensnetzwerken.«

Logrhythm warnt: Durch das IoT wird das Aufspüren von Bedrohungen immer schwieriger

Roland Messmer, Regional Director Central EMEA, LogrhythmDieser Einschätzung folgt auch Roland Messmer, Regional Director Central EMEA von LogRhythm: »Viele Unternehmen sind sich der Sicherheitsgefahren nicht bewusst, die IoT mit sich bringt – oder sie ignorieren diese. Oft nimmt IoT innerhalb ihrer IT-Sicherheitsstrategie keinen hohen Stellenwert ein. Ein fataler Fehler, wie ein Beispiel verdeutlicht: Ein smarter, vernetzter Kühlschrank ist sicher praktisch. Doch kann das Gerät Sicherheitslücken beinhalten, über die Hacker sich möglicherweise Zugriff auf das Firmennetzwerk verschaffen können. Hier sollten Firmen nicht die Kreativität der Kriminellen unterschätzen! Hinzu kommt, dass mit der Zahl der vernetzten Gegenstände auch die Zahl angreifbarer Schwachstellen wächst.«

Eine große Herausforderung für Unternehmen ist deshalb der Umgang mit den Daten, die diese IoT-Geräte über das Netzwerk senden. Angesichts des ständig wachsenden Datenvolumens benötigen Firmen einen bei weitem besser koordinierten und effizienteren Ansatz für das Aufdecken von Bedrohungen und das Ausführen geeigneter Gegenmaßnahmen.

»Sicherheitsteams sollten ihre Netzwerke heutzutage kontinuierlich überwachen, denn angesichts der zunehmenden Verbreitung des IoT wird das Aufspüren von Bedrohungen immer schwieriger«, betont Messmer. »Die meisten Unternehmen haben viel Geld in Technologien investiert, die stündlich tausende Gefahren entdecken können. Doch dieser konstante Datenstrom potenzieller Gefahrenmeldungen kann IT-Sicherheitsteams überfordern.«

Messmer ist deshalb der Ansicht, dass intelligente Sicherheitsmechanismen heute wichtiger denn je sind: »Sie versetzen Organisationen in die Lage, die tatsächlich risikoreichen Bedrohungen herauszufiltern.« Dadurch lasse sich Zeit für das Erkennen und Reagieren auf die relevanten Bedrohungen verkürzen. »Solange Unternehmen ihre Netzwerküberwachung und die Antwortzeiten nicht verbessern«, warnt der Logrhythm-Manager, »besteht die Gefahr, dass sie ihre vorhandenen Sicherheitsstrategien gefährden und geschäftswichtige Informationen einem erhöhten Risiko aussetzen.«

Bitdefender meint: Neuartige Internet-Geräte bieten mehr Angriffsfläche

Was das Internet der Dinge angeht, wird nach Meinung von Florin Talpes, CEO des rumänischen Antiviren-Spezialisten Bitdefender, 2016 ein entscheidender Punkt werden: »Eine deutsche Familie hat heute schon 14 Geräte, die irgendwie vernetzt sind. Das können Fernseher sein, Smartwatches, Klimaanlagen und so weiter.« Und bis auf Smart-TVs würden es ja die meisten Smart-Home-Geräte nicht erlauben, dass man Software auf ihnen installiert, also müsse man den Schutz im Netzwerk sicherstellen.

»Früher waren Viren extrem simpel und laut. Sie haben Daten gelöscht, sie haben Popups eingeblendet, sie waren sichtbar, heute ist das Gegenteil der Fall«, erklärt Talpes. »Angreifer versuchen, sich zu verstecken und im Hintergrund zu arbeiten. Angreifer gucken immer nach den ‚Low hanging Fruits’, das ist ihr Geschäftsmodell. Und diese neuen Devices sind genau das, sie bieten mehr Angriffsfläche.

Talpes plädiert, dass Security-Firmen mehr zusammenarbeiten sollten, um die neuen Herausforderungen zu meistern. »Das Internet der Dinge ist immer noch in einer sehr frühen Phase, allerdings in einer Boom-Phase. In dieser Phase sind die Hersteller zwar offen für eine Zusammenarbeit, aber bei dieser Diskussion geht es auch um Geld, um die Kosten für solche Lösungen.«

Shodan: Suchmaschine findet ungesicherte Webkameras, oder Kühlschränke, oder Stromkraftwerke

Shodan – die erste Suchmaschine für das Internet der Dinge (Bild: Shodan)Und wenn das Internet der Dinge eine Boomphase erlebt, und voraussichtlich in absehbarer Zeit 50 Milliarden Internet-Sensoren (laut Garnter) installierte sind, dann kommt eines fast zwangsläufig: eine ganz spezielle Suchmaschine. Sie gibt es jetzt, und heißt »Shodan«, laut eigenem Marketing: »world’s first search engine for Internet-connected devices«.

Sie findet zum Beispiel Webcams, Kühlschränke oder Stromkraftwerke. Ist jetzt für sich alleine genommen noch nichts Besonderes. Webcams in Touristengebieten sollen ja gefunden werden, das liegt schließlich im Interesse des Betreibers. Aber in die Suchanfragen lassen sich – für Bezahlkunden – Besonderheiten einbauen. So lassen sich beispielsweise explizit ungesicherte Webcams suchen und finden. Und das können dann auch zum Beispiel Babyphones sein.

Shodan findet auch ungesicherte Webcams oder Babyphones (Bild: Shodan)Eigentlich sollten die Bilder einer solchen Baby-Überwachungskamera nur zum Smartphone der Eltern in der Nähe gefunkt werden. Aber Billiggeräte, die meinst nur die Admin-Pin »0000« voreingestellt haben, und die von den Käufern nicht verändert wird, senden dann eben die Überwachungsbilder rund um die Welt.

Und hier kann das Internet der Dinge schnell zum Sicherheits-Albtraum werden, wenn normale, nicht IT-affine Menschen die Kaufentscheidungen allein anhand des Preises treffen, oder sich um Sicherheitseinstellung überhaupt nicht kümmern.

Internet der Dinge bedeutet: Potenziale für Komfort- und Effizienzsteigerungen zu erhalten

Trotzdem glaubt SAS-Manager Rohrmann, dass zwar die Mengen von Sensorprotokolldaten die IT-Infrastrukturen und den Mensch als Analysten schon vor eine Herausforderung stellen, aber: »Der Mensch ist nicht Getriebener, sondern treibt diese Entwicklung. Mit analytischen Techniken wie Machine-Learning, Deep-Learning oder High-Performance-Analytics können solche Datenmengen automatisiert ausgewertet und nutzbar gemacht werden. Wichtig ist: Trainiert werden diese Systeme immer noch vom Menschen.«

Nur der Mensch kann laut Rohrmann final bewerten was wirklich gut oder schlecht ist: »Wir sind eben eine erfinderische Spezies. Wie in vergangenen industriellen Revolutionen bauen wir uns gerade die notwendigen Werkzeuge, um aus diesen Datenmengen wertvolles Wissen zu generieren. Das wird uns in quasi jedem Lebens- und Wirtschaftsbereich von großem Nutzen sein.«

Was Beispiele angeht, denkt Rohrmann nicht an den oftmals vielzitierten intelligenten Kühlschrank, der automatische Milch nachbestellt, wenn diese zur Neige geht: »Es geht eher um fundamentalere Probleme: Lässt sich die globale Nahrungsmittelproduktion steigern, wenn eine intelligent vernetzte Landwirtschaft dank besserer Informationen Erntezeitpunkte oder den Düngemitteleinsatz effizienter bestimmen kann? Lassen sich Straßen und knapper Parkraum in Städten besser nutzen, wenn möglichst viele Informationen über die beabsichtigte Nutzung vorliegen und ausgetauscht werden? Wie nutzen wir Sensorinformationen für Durchbrüche in der Patientenbehandlung oder der Medikamentenforschung? Oder lässt sich der globale Energiebedarf senken, wenn zum Beispiel Räume nur dann geheizt werden, wenn sie auch genutzt werden?«

Und deshalb ist Rohrmann dem Internet der Dinge grundsätzlich positiv gegenüber eingestellt: »Prinzipiell gibt es nur ein Internet, und an den fundamentalen Ideen des Internets ändert sich erstmal nichts. Es geht weiter darum so viel wie möglich Informationen zu sammeln und Menschen bereitzustellen – und es wird auch weiterhin dafür genutzt werden um das Verhalten von Menschen besser zu verstehen, um Potenziale für Komfort- und Effizienzsteigerungen zu erhalten.«