Neue Risiken durch IoT in Industriesystemen
von Christian Koch
Damit aus dem Internet of Things nicht ein Internet of Threats wird!
Das Internet der Dinge (IoT) ist insbesondere im Industrieumfeld eine noch junge Technologie. Daher steht bei der Entwicklung von IoT-Komponenten und OT-Lösungen („Operational Technologies“) für viele Unternehmen noch immer die Funktionalität im Vordergrund. Die Produktentwicklung hat genug damit zu tun, die neuen Kommunikationstechniken, das komplizierte Zusammenspiel von Sensoren, Aktoren und PLCs („Programmable Logic Controller“), in den Griff zu bekommen. Wichtig ist, dass die Produkte und Lösungen funktional laufen – Sicherheitsaspekte sind, wenn überhaupt, nur ein Randthema.
Doch IoT bringt nicht nur neue Möglichkeiten, sondern auch neue Risiken. Die Verbindung technischer Systeme mit dem Firmennetzwerk und dem Internet über standardisierte Kommunikationsschnittstellen erlaubt eine umfassende Kontrolle und Steuerung dieser Systeme. Allerdings nicht nur für berechtigte Nutzer, sondern bei unzureichender Absicherung auch für Angreifer. Diese können dabei nicht nur Informationen gewinnen, sie können auch die Steuerung der betreffenden Systeme übernehmen und sogar Fehlfunktionen auslösen. Man kann sich entsprechende Schadensszenarien leicht ausmalen; erst recht, wenn IoT auch in kritischen Infrastrukturen zum Einsatz kommt, beispielsweise in der Strom- und Wasserversorgung.
„Vielfach werden in IoT-Lösungen technische Komponenten verwendet, die über keine oder nur unzureichende Schutzmechanismen verfügen.“
Neue Risiken, das bedeutet konkret neue Angriffspunkte. Der einfachste ist der direkte Zugriff auf Anlagen. So erhalten externe Service-Unternehmen oft für Wartungsarbeiten einen Zugriff auf die Steuerung von Anlagen und Maschinen, mitunter verschaffen sie ihn sich auch selbst, indem sie zur Erfüllung von Wartungsverträgen entsprechende Bauteile implementieren. Das muss nicht in böser Absicht geschehen, aber über diese Verbindungen ist der unkontrollierte Zugriff auf Steuersysteme von extern möglich und per „Hopping“ von System zu System steht dem Service-Dienstleister dann auch bei unzureichender Absicherung und nicht vorhandener Segmentierung des Netzwerkes mehr oder weniger das gesamte Netz seines Kunden offen. Dies gilt besonders, wenn im IoT-Endgerät oder der Maschine eine LTE-Komponente verbaut ist; man kann dann die Kommunikation nach außen kaum unterbinden. Das gezielte Scannen und Stören von Funkverbindungen, das hier gelegentlich vorgeschlagen wird, ist jedenfalls klar verboten.
Vielfach werden in IoT-Lösungen technische Komponenten verwendet, die über keine oder nur unzureichende Schutzmechanismen verfügen. Sie verwenden zum Beispiel eine unsichere Hard- und Software-Architektur oder unsichere Kommunikationsprotokolle und lassen sich nicht aktualisieren. Die Hersteller und Anlagenbauer sind nicht für das Thema IoT- / OT-Security sensibilisiert. Wenn etwa Bauteile in der Klimatechnik oder in Brandmeldeanlagen nicht geschützt sind, so können Angreifer die Raumtemperatur oder Luftfeuchtigkeit verändern, was in einem Rechenzentrum katastrophale Folgen haben kann. Das Beispiel Rechenzentrum zeigt deutlich die ungeklärten Zuständigkeiten für Security in Unternehmen. Die Server und Anwendungen im Rechenzentrum werden von der IT meist nach Sicherheitsvorgaben betrieben, das Rechenzentrum selbst mit allen Non-IT-Komponenten liegt aber in einer anderen Zuständigkeit und unterliegt keinen exakten Vorgaben für Security.
Dieser Text stammt aus dem Open-Content-Buchprojekt „Handbuch Internet of Things“. Lesen Sie hier weiter…
CC BY-SA 4.0 DE
Sie dürfen:
- Teilen — das Material in jedwedem Format oder Medium vervielfältigen und weiterverbreiten
- Bearbeiten — das Material remixen, verändern und darauf aufbauen und zwar für beliebige Zwecke, sogar kommerziell.
- Der Lizenzgeber kann diese Freiheiten nicht widerrufen solange Sie sich an die Lizenzbedingungen halten.
- Bitte berücksichtigen Sie, dass die im Beitrag enthaltenen Bild- und Mediendateien zusätzliche Urheberrechte enthalten.
Unter den folgenden Bedingungen:
- Namensnennung — Sie müssen angemessene Urheber- und Rechteangaben machen, einen Link zur Lizenz beifügen und angeben, ob Änderungen vorgenommen wurden. Diese Angaben dürfen in jeder angemessenen Art und Weise gemacht werden, allerdings nicht so, dass der Eindruck entsteht, der Lizenzgeber unterstütze gerade Sie oder Ihre Nutzung besonders.
- Weitergabe unter gleichen Bedingungen — Wenn Sie das Material remixen, verändern oder anderweitig direkt darauf aufbauen, dürfen Sie Ihre Beiträge nur unter derselben Lizenz wie das Original verbreiten.
