#TheInternetofThings: Wenn Ihre Waschmaschine und Ihr Blutdruckmessgerät zum Ziel von Cyberangriffen werden

Das Internet der Dinge ist ein weites und vielfältiges Ökosystem, in dem miteinander verbundene Geräte und Dienste Daten sammeln, austauschen und verarbeiten, um sich dynamisch an einen Kontext anzupassen. Einfacher ausgedrückt macht es unsere Kameras, Fernseher, Waschmaschinen und Heizsysteme „intelligent“ und schafft neue Möglichkeiten für die Art und Weise, wie wir arbeiten, interagieren und kommunizieren und wie Geräte reagieren und sich an uns anpassen.

Es ist wichtig zu verstehen, wie diese vernetzten Geräte gesichert werden müssen, und angemessene Sicherheitsmaßnahmen zu entwickeln und umzusetzen, um das Internet der Dinge vor Cyber-Bedrohungen zu schützen. Über die technischen Maßnahmen hinaus hat die Einführung des IoT viele neue rechtliche, politische und regulatorische Herausforderungen mit sich gebracht, die weitreichend und komplex sind. Um diese Herausforderungen zu bewältigen, ist eine Zusammenarbeit über verschiedene Sektoren und zwischen verschiedenen Interessengruppen hinweg unerlässlich.

Das Risiko, dass Kriminelle unsichere IoT-Geräte „als Waffe einsetzen“, wurde bereits in den Ausgaben 2014 und 2015 der Europol-Bedrohungsbewertungen im Bereich der organisierten Kriminalität im Internet und im Threat Landscape Report 2016 der ENISA identifiziert. Es wurde Ende 2016 Realität mehrere DDoS-Angriffe beispiellosen Ausmaßes, die vom Mirai-Botnetz ausgingen. Es ist davon auszugehen, dass Cyberkriminelle neue Varianten entwickeln und die Vielfalt der von dieser Art von Schadsoftware betroffenen IoT-Geräte vergrößern werden.

Diese gemeinsame Europol-ENISA-Konferenz, die erste zu diesem Thema, bot allen relevanten Interessenträgern die Möglichkeit, zusammenzukommen, die Herausforderungen zu diskutieren und mögliche Lösungen zu ermitteln und dabei auf bestehenden Initiativen und Rahmenwerken aufzubauen. Ein besonderer Schwerpunkt lag auf der Rolle der Strafverfolgungsbehörden bei der Reaktion auf den kriminellen Missbrauch des IoT.

Das zweitägige Treffen war ein Beweis für die Bereitschaft aller relevanten internationalen Akteure, dafür zu sorgen, dass die vielen Vorteile des IoT durch die gemeinsame Bewältigung der Sicherheitsherausforderungen und die Bekämpfung des kriminellen Missbrauchs solcher Geräte voll ausgeschöpft werden können, um letztendlich den Cyberspace sicherer zu machen für alle.

Die wichtigsten Schlussfolgerungen der Konferenz sind:

Werbung

• Die Notwendigkeit einer stärkeren Zusammenarbeit und des Engagements mehrerer Interessengruppen, um Interoperabilität sowie Sicherheitsfragen anzugehen, insbesondere angesichts neuer Entwicklungen wie Industrie 4.0, autonomer Fahrzeuge und der Einführung von 5G.
• Da die Sicherung des Endgeräts oft technisch schwierig und teuer ist, sollte der Schwerpunkt daher auf der Sicherung der Architektur und der zugrunde liegenden Infrastruktur liegen, um Vertrauen und Sicherheit über verschiedene Netzwerke und Domänen hinweg zu schaffen.
• Es müssen stärkere Anreize geschaffen werden, um die Sicherheitsprobleme im Zusammenhang mit dem IoT anzugehen. Dies erfordert das Erreichen eines optimalen Gleichgewichts zwischen Chancen und Risiken in einem Markt, in dem hohe Skalierbarkeit und kurze Markteinführungszeiten vorherrschen, die Positionierung von Sicherheit als entscheidender wirtschaftlicher Vorteil und die Positionierung in den Mittelpunkt des Design- und Entwicklungsprozesses.
• Um den kriminellen Missbrauch des IoT wirksam und effizient untersuchen zu können, ist die Abschreckung eine weitere Dimension, die eine enge Zusammenarbeit zwischen den Strafverfolgungsbehörden, der CSIRT-Gemeinschaft, der Sicherheitsgemeinschaft und der Justiz erfordert.
• Daraus ergibt sich für die Strafverfolgung ein dringender Bedarf, die technischen Fähigkeiten und das Fachwissen zu entwickeln, um IoT-bezogene Cyberkriminalität erfolgreich zu bekämpfen.
• Diese Bemühungen müssen durch eine Sensibilisierung der Endbenutzer für die Sicherheitsrisiken von IoT-Geräten ergänzt werden.
• Zur Sicherung des IoT-Ökosystems ist ein mehrgleisiger Ansatz erforderlich, der Maßnahmen auf Gesetzgebungs-, Regulierungs- und Richtlinienebene, Standardisierung, Zertifizierung/Kennzeichnung und technischer Ebene kombiniert und ergänzt, indem bestehende Initiativen und Rahmenwerke genutzt werden.
• Eine der wichtigsten Beobachtungen der Konferenz ist die Bedeutung grundlegender bewährter Praktiken für die Bewältigung dieser IoT-Sicherheitsherausforderungen. In den kommenden Monaten wird ENISA ihren Bericht „Baseline Security Recommendations for IoT“ veröffentlichen und damit die Lücke in diesem Bereich schließen.

Rob Wainwright, Exekutivdirektor von Europol, kommentierte: „Cyberkriminelle passen sich schnell an neue Technologien an und nutzen sie aus. Sie erfinden neue Wege, um das Leben von Menschen zu schikanieren und zu beeinflussen und in ihre Privatsphäre einzudringen, indem sie entweder persönliche Daten sammeln oder manipulieren oder indem sie virtuell in Smart Homes einbrechen.“ . Das Internet der Dinge wird nicht nur von Dauer sein, sondern wird voraussichtlich auch deutlich wachsen, da immer mehr Haushalte, Städte und Industrien vernetzt werden. Unsichere IoT-Geräte werden immer mehr zu Werkzeugen für Cyberkriminalität. Wir müssen jetzt handeln und zusammenarbeiten, um Lösungen zu finden die mit dem IoT einhergehenden Sicherheitsherausforderungen zu meistern und das volle Potenzial sicherzustellen.“

Auch ENISA-Geschäftsführer Professor Dr. Udo Helmbrecht kommentierte: „Die IoT-Revolution beginnt, unser Privatleben und die Infrastrukturen, die wir regelmäßig nutzen, wie Smart Homes, Smart Energy und Smart Health, zu verändern. Hersteller und Betreiber dieser Geräte brauchen.“ um sicherzustellen, dass „Security by Design“ in ihre Auswahl und ihren Einsatz einbezogen wurde. ENISA freut sich, eng mit Europol zusammenzuarbeiten, um wichtige Interessengruppen über die wichtige Rolle zu informieren, die das IoT einnimmt, und über die Notwendigkeit, sich der Cybersicherheit und Kriminalität bewusst zu sein Aspekte im Zusammenhang mit der Bereitstellung und Verwendung dieser Geräte“.