Security-Richtlinien für IoT
„My Smart Home is my Castle“
Fortsetzung des Artikels von Teil 1
Der Druck ist zu noch gering
Denn durch diese Verknüpfung zwischen physischer Welt mit digitalen Systemen greift das Internet of Things unmittelbar in die Steuerung realer Objekte ein und kann in Worst-Case-Szenarien die Zahl und Schwere von Personen- und Sachschäden im Zuge von Unfällen erhöhen. Daneben erschwert es die meist eigenständige Arbeitsweise, einen Gerätemissbrauch so schnell wie möglich zu erkennen. Und genauso können funktionale Probleme im Verborgenen bleiben, wenn Selbsttest-Funktionen oder automatisierte Fehlermeldungen fehle. In der Folge kann das beispielsweise bedeuten, dass koordinierte Brute-Force-Angriffe auf Authentifizierungssysteme lange Zeit ungebemerkt bleiben und unbemerkt an Daten gelangen. Im Privatraum kommen dennoch häufig knapp ausgestattete Hardware und selten aktuelle oder intensiv auf Fehlerfreiheit geprüfte Software zum Einsatz. Denn der Druck von Nutzer- beziehungsweise Betreiberseite, sichere vernetzte Geräte anzubieten, ist im Vergleich zu klassischen IT-Lösungen oft noch zu wenig ausgeprägt. Vor dem Hintergrund massenhaft vernetzter Geräte wurden die potenziellen Risiken im Unterschied zu herkömmlichen IT-Systemen zuletzt durch Experten und Behörden neu bewertet, um deren Schutz- und Überwachungsmöglichkeiten in Anbetracht eines erhöhten IT-Angriffspotenzials zu vergrößern.
Mindestanforderungen zur Informationssicherheit
Schon im vergangenen Jahr hat das Bundesamtes für Sicherheit in der Informationstechnik (BSI) gemeinsam mit Herstellern und Prüfstellen eine DIN-Norm eingeführt, die bis dato eine entscheidende Orientierung zur Absicherung für Smart Homes bieten soll. Entgegen dem ursprünglichen Ansatz, einen eigenen Standard zu schaffen, habe man sich schnell zugunsten einer nationalen und später internationalen Standardisierung entschieden. Die DIN SPEC 27072 „Informationstechnik – IoT-fähige Geräte – Mindestanforderungen zur Informationssicherheit“ umfasst eine Spezifikation zur Informationssicherheit für internetfähige Produkte wie zum Beispiel IP-Kameras, Smart-TVs oder Smart Speaker und enthält IT-Sicherheitsanforderungen sowie Empfehlungen im privaten oder kleingewerblichen Endkundenbereich. Konkrete Forderungen stellt diese DIN-Norm vor allem in Hinblick auf eine Update-Funktionalität. Zusammen mit einer verpflichtenden Authentisierung über eine IP-Schnittstelle direkt nach der Inbetriebnahme verbietet sie zudem die Nutzung von Standardpassworten im Netzwerkbetrieb und trägt mit dem verpflichtenden Einsatz kryptographischer Verfahren dem Stand der Technik Rechnung.
Richtschnur im EU-Raum
Sind all diese Anforderungen erfüllt, kann dem Verbraucher ein Basissicherheitsniveau zugesichert werden, das auch vor skalierbaren Cyberangriffen, wie etwa durch die Schadsoftware Mirai, schützen soll. Über den deutschen Raum hinaus zählen aus Herstellersicht die seit 2009 bestehende, internationale Normenreihe über „Industrielle Kommunikationsnetze – IT-Sicherheit für Netze und Systeme“ (IEC 62443) zur Richtschnur für einzuhaltende Sicherheitsstandards in der Industrieautomatisierung, genauso wie Technische Spezifikationen im Rahmen im Internet of Things. Neuere Bestimmungen wurden auf europäischer Ebene bereits mit der Veröffentlichung des Standards „EN 303 645“ Mitte des Jahres zur Sicherung vernetzter Geräte im Smart Home durch die europäische Normungsorganisation ETSI (European Telecommunications Standards Institute) auf den Weg gebracht. In diesen neuen europäischen Standards wird die Hoffnung gesetzt, dass der darin beschriebene Mindeststandard auch weltweit Anwendung findet und als Empfehlung für eine sichere und vergleichbare Entwicklung von IoT-Geräten oder auch Wearables umgesetzt wird. Die darin verankerten Anforderungen messen einem ‚Security by Design‘- und ‚Security by Default‘-Vorgehen der Anbieter und Produktentwickler erhöhte Bedeutung bei. Eine effiziente Code-Pflege mit systematischer Prüfung spiele für eine ressourcensparende Bereitstellung sicherer Software und nachhaltiger Produkte, insbesondere auch für proprietäre und offene Systeme, eine entscheidende Roll, so das BSI.
- „My Smart Home is my Castle“
- Der Druck ist zu noch gering
- Informationssicherheit und Schutz der Privatsphäre
- keine klare Verbindlichkeit für Hersteller
Lesen Sie mehr zum Thema
