Von Yasmin Billeter und Armand Portmann<\/p>\n\n\n\n
Wenn der K\u00fchlschrank mit dem Fitnesstracker spricht und das Smartphone die Lichtanlage steuert, ist es voll da: das Internet der Dinge (IoT). IoT-Ger\u00e4te sind selbstverst\u00e4ndlich und vereinfachen den Alltag. Sie bergen aber auch Gefahren. Wie zum \u00abklassischen\u00bb Internet geh\u00f6rt auch zum IoT eine unvorstellbar grosse Anzahl an Ger\u00e4ten. \u00abDiese Zahl wird weiter wachsen und mit ihr werden auch die Cyberattacken zunehmen\u00bb, sagt Cyber-Security-Spezialist Armand Portmann<\/a>. Er ist Mitverfasser einer Studie zum Thema \u00abSicherheitsstandards im IoT\u00bb. Die Resultate daraus wurden f\u00fcr einen Bericht des Bundesrats<\/a> verwendet. Der Bericht zeigt, dass trotz vieler Best Practices und Leitf\u00e4den verbindliche Sicherheits-Richtlinien f\u00fcr das IoT fehlen. Die Verantwortung zum Eigenschutz liegt, wie auch bei der klassischen IT, bei den Unternehmen und Privatanwendenden.<\/p>\n\n\n\n Herr Portmann, was macht IoT-Ger\u00e4te so unsicher?<\/strong><\/p>\n\n\n\n Armand Portmann: Alleine die riesige Zahl von IoT-Ger\u00e4ten ist problematisch. Ein Software-Fehler taucht in tausenden von Ger\u00e4ten auf. Dies wird von Angreifern gerne ausgen\u00fctzt.<\/p>\n\n\n\n Die Schw\u00e4chen von IoT-Ger\u00e4ten sind aus der klassischen IT-Welt bekannt.<\/p>\n<\/blockquote>\n\n\n\n Die Schw\u00e4chen von IoT-Ger\u00e4ten sind aus der klassischen IT-Welt bekannt: Die Software ist nicht sauber programmiert, wird nicht aktualisiert oder kann gar nicht aktualisiert werden. Ein Klassiker sind auch von den Herstellern vorgegebene Passw\u00f6rter, die von den Benutzenden nicht abge\u00e4ndert werden.<\/p>\n\n\n\n Vor welchen Cyberangriffen m\u00fcssen sich Besitzerinnen und Besitzer von IoT-Ger\u00e4ten wappnen?<\/strong><\/p>\n\n\n\n M\u00f6glich sind z.B. Zugriffe auf Kameras und Mikrofone, um in die Privatsph\u00e4re einzudringen. Gr\u00f6ssere Wellen haben in den vergangenen Jahren aber Angriffe geworfen, bei denen IoT-Ger\u00e4te nur das Mittel zum Zweck waren, um Services im Internet zu st\u00f6ren oder ganz lahm zu legen. Auch im industriellen Umfeld werden IoT-Devices angegriffen: Dort wird versucht, Messwerte oder Stellwerte zu manipulieren. Dadurch werden die gesteuerten Prozesse gest\u00f6rt, woraus den Anlagebetreibern grosse Sch\u00e4den entstehen k\u00f6nnen.<\/p>\n\n\n\n Wie kann ich mich sch\u00fctzen?<\/strong><\/p>\n\n\n\n 1. Kaufen Sie qualitativ hochwertige Produkte. Das heisst: ohne gravierende Sicherheitsm\u00e4ngel, mit guten Voreinstellungen und mit Update-M\u00f6glichkeit. Testberichte k\u00f6nnen hierbei eine Hilfestellung bieten. Es k\u00f6nnte sich auch lohnen, nicht einfach das billigste Produkt zu kaufen.<\/p>\n\n\n\n 2. Stellen Sie sicher, dass Ihr Produkt regelm\u00e4ssig aktualisiert wird.<\/p>\n\n\n\n 3. \u00c4ndern Sie das vom Hersteller vorgegebene Passwort des Ger\u00e4ts. Es sollte mindestens zehn Zeichen lang sein mit Gross- und Kleinbuchstaben, Zahlen und Sonderzeichen; W\u00f6rter und Namen sollten vermieden werden.<\/p>\n\n\n\n Warum steht es um die Sicherheit von IoT-Ger\u00e4ten so schlecht?<\/strong><\/p>\n\n\n\n Die Produkte sind f\u00fcr viele Menschen attraktiv und sie schaffen sie an, ohne sich dabei um die Sicherheit zu k\u00fcmmern. Sicherheit war zumindest in der Vergangenheit kein Kaufargument. <\/p>\n\n\n\n Im Entwicklungsprozess der Hersteller spielt die Sicherheit oft nur eine untergeordnete Rolle.<\/p>\n<\/blockquote>\n\n\n\n Auch im Entwicklungsprozess der Hersteller spielt die Sicherheit oft nur eine untergeordnete Rolle. Aus Kostengr\u00fcnden wird zu h\u00e4ufig bei der Software gespart.<\/p>\n\n\n\n Wo steht die Schweiz punkto Sicherheit bei IoT-Ger\u00e4ten?<\/strong><\/p>\n\n\n\n IoT-Ger\u00e4te werden weltweit und in grossen Mengen verkauft. Ein Teil davon landet auch in der Schweiz in den L\u00e4den, nat\u00fcrlich mit den gleichen Schw\u00e4chen wie \u00fcberall sonst auch. Allenfalls f\u00fchrt die h\u00f6here Kaufkraft dazu, dass bei uns etwas bessere Ger\u00e4te verkauft werden.<\/p>\n\n\n\n Besteht auch im industriellen IoT Nachholbedarf?<\/strong><\/p>\n\n\n\n Ja, das ist so. Dringend notwendige Sicherheitsmassnahmen sind noch nicht \u00fcberall umgesetzt. Zum Teil fehlt es ganz einfach an geschultem Personal. Dies ist auch in unseren Weiterbildungen zur Information & Cyber Security<\/a> sp\u00fcrbar: Wir haben regelm\u00e4ssig Teilnehmende aus der Industrie und von den Betreibenden von kritischen Infrastrukturen<\/a> in unseren Kursen.<\/p>\n\n\n\n Amazon, Apple, Google und die <\/strong>Zigbee Alliance<\/strong><\/a> wollen einen Standard festlegen, um die Kompatibilit\u00e4t zwischen Smarthome-Produkten zu erh\u00f6hen. Sicherheit gilt dabei als massgeblicher Designgrundsatz.<\/strong> Bestimmen Techgiganten die Sicherheitsstandards?<\/strong><\/p>\n\n\n\n Grosse Hersteller haben Marktmacht und k\u00f6nnen beeinflussen, was wir in unsere Wohnung stellen. Es gab Beispiele, wo sich deshalb nicht das technisch beste Produkt durchsetzte. Es ist aber auch m\u00f6glich, dass Grosskonzerne positiv auf die Qualit\u00e4t und die Sicherheit hinwirken. Sie k\u00f6nnen sich heute nicht mehr einfach um Fragen der Sicherheit foutieren, denn dieses Thema ist in den Medien sehr pr\u00e4sent und das Bewusstsein der Anwendenden w\u00e4chst.<\/p>\n\n\n\n Haben Regierungen auch etwas zu sagen?<\/strong><\/p>\n\n\n\n F\u00fcr Regierungen ist es schwierig, die Sicherheit von IoT-Produkten zu beeinflussen. In der Regel geben sie Empfehlungen ab, verbindliche Richtlinien gibt es nicht. Deutschland hat seit 2015 eine Meldepflicht f\u00fcr Sicherheitsvorf\u00e4lle bei kritischen Infrastrukturen. <\/p>\n\n\n\n F\u00fcr Regierungen ist es schwierig, die Sicherheit von IoT-Produkten zu beeinflussen.<\/p>\n<\/blockquote>\n\n\n\n Die Schweiz empfiehlt seit 2018 den Minimalstandard zur Verbesserung der IKT-Resilienz, also der Widerstandf\u00e4higkeit gegen\u00fcber Cyberangriffen. Diese Initiative steht im Rahmen der Nationalen Strategie zum Schutz der Schweiz vor Cyber-Risiken (NCS)<\/a>.<\/p>\n\n\n\n\n
\n
\n