„IoT und Smart Devices – mit Sicherheit digital und smart“ Motto der vierten Woche des European Cyber Security Month

eco Verband und AV Test geben fünf Tipps für adäquate IoT-Security im Unternehmen

[datensicherheit.de, 25.10.2018] Im Jahr 2021 werden etwa 25 Milliarden IoT (Internet of Things)-Geräte mit dem Internet verbunden sein, prognostizieren Marktforscher von Gartner. Dazu gehören Kameras, Thermostate, Türöffnungsanlagen und Lichtanlagen. Doch die Sicherheit kommt dabei häufig zu kurz. Eine Studie der zu Gartner gehörenden CEB stellt fest: Fast 20 Prozent der befragten Unternehmen hat in den vergangenen drei Jahren mindestens einen IoT-basierten Angriff beobachtet. [1]

„Viele Hersteller und Anbieter von IoT-Geräten und Diensten vernachlässigen ihre Sorgfaltspflicht gegenüber ihren Kunden, weil sie Lösungen schnell auf den Markt bringen möchten“, sagt Maik Morgenstern, Mitglied der Kompetenzgruppe Security im eco Verband und Geschäftsführer und Technischer Leiter AV-TEST. Markus Schaffrin, Security-Experte und Geschäftsbereichsleiter Mitgliederservices im eco Verband ergänzt: „Maschinen, Anlagen, Logistik und Produkte kommunizieren und kooperieren im Internet der Dinge direkt miteinander. Damit der Weg zur Industrie 4.0 erfolgreich ist, müssen Unternehmen ihre vernetzten Anlagen und Steuerungssysteme professionell schützen.“

Was Verantwortliche dabei beachten sollten, das haben Morgenstern und Schaffrin in fünf Tipps zusammengefasst:

1. Security aus einem Guss schaffen
   Betriebssicherheit und Produktions-Kontinuität haben höchste Priorität. Damit eine Industrie 4.0 IT-Strategie die Sicherheitsanforderungen erfüllt, muss sie aus einem Guss sein und Sicherheitslücken im Kommunikationssystem vermeiden sowie Fernzugriffe auf das Produktionssystem kontrollieren. Dabei helfen eindeutige Verantwortlichkeiten über die gesamte Sicherheitsinfrastruktur hinweg, also von der Beschaffung der Geräte bis hin zur Planung, Implementierung und zum Betrieb. Auch klare Verantwortlichkeiten gestalten die Sicherheitsstrukturen effizienter.
2. Unternehmensnetzwerke segmentieren
   Unternehmen minimieren ihre Angriffsfläche, wenn sie ihr Netzwerk intelligent aufbauen. Empfehlenswert ist es, das Unternehmensnetzwerk dynamisch zu segmentieren, um die Folgen einer Hacker-Attacke zu minimieren. Beispielweise lässt sich ein Unternehmensnetzwerk in verschiedene virtuelle LANs (VLANs) aufteilen. IoT-Devices können ein eigenständiges Segment bilden, das von anderen Segmenten isoliert ist.
3. Auf geeignete Sicherheitslösungen setzen
   Für viele Fertigungsanlagen und Produktionsroboter gibt es keine Firmware-Updates; auch mit Anti-Viren-Software lassen sich die Systeme häufig nicht bestücken. Das Netzwerk sollte daher mithilfe geeigneter IT-Sicherheitslösungen geschützt sein, die ein hohes Maß an Standardisierungen bieten, etwa für den verschlüsselten Fernzugriff auf Anlagen sowie eine realistische Risikoeinschätzung durch die Verantwortlichen. Diese Sicherheitslösungen müssen alle IoT-Devices überwachen, auf ungewöhnlichen Traffic hinweisen und verdächtige Verhaltensweisen entdecken. Eine intelligente, auf das Internet der Dinge hin optimierte Firewall wehrt unberechtigte Zugriffe von außen ab.
4. Mitarbeiter qualifizieren
   Eine Cyber-Abwehrstrategie für das Internet der Dinge steigert die Awareness der Mitarbeiter. Sie sensibilisiert diese für mögliche Gefahren, damit sie auch unter Stress richtig reagieren. Insbesondere IT-Security-Mitarbeiter brauchen das Know-how, IoT-Lösungen und -Projekte sicher umzusetzen. Die Fähigkeit, Schwachstellen zu erkennen und zu patchen ist eine wichtige Herausforderung, für die Verantwortliche stets neue Angriffsvektoren kennenlernen müssen. Kontinuierliche Weiterqualifizierungen sind daher eine Voraussetzung für Sicherheit im IoT.
5. Security-by-Design von Anfang an
   Sicherheits- und Vertrauensfunktionen von Anfang an mitzudenken ist Schadensprävention. Zu Security-by-Design gehören auch technische Mindestsicherheitsstandards, die Unternehmen definieren und einführen. Auf Geräte, die sich nicht updaten lassen, selbst wenn sich dort neue Sicherheitslücken finden, sollten Unternehmen verzichten. Security, die auch ohne Beteiligung der Nutzer funktioniert, gilt es hingegen zu fördern. Dadurch wird Industrial-IoT oder Industrie 4.0 für viele Unternehmen tatsächlich zur Chance und kann das volle Potenzial entfalten.

[1] https://www.gartner.com/newsroom/id/3869181

Weitere Informationen zum Thema:

datensicherheit.de, 24.10.2018
IoT-Botnetze nutzen weiterhin erfolgreich Standardpasswörter aus

datensicherheit.de, 10.09.2018
Multi-Exploit-Botnets Mirai und Gafgyt zielen auf IoT- und Linux-Geräte

datensicherheit.de, 08.09.2018
Studie: Wenig Mitspracherecht bei IoT-Entscheidungen für Sicherheitsverantwortliche

datensicherheit.de, 07.09.2018
Kooperation beim Schutz des Industrial Internet of Things

datensicherheit.de, 30.07.2018
Studie: Unternehmen vernachlässigen IoT-Sicherheit

datensicherheit.de, 29.06.2018
Ransomware der Dinge: Das IoT-Gerät als Geisel

datensicherheit.de, 29.11.2016
Unternehmens-IT: Leichtsinnige Trägheit lädt Mirai-Schadsoftware geradezu ein