"Viele wissen noch gar nicht, dass da etwas zu schützen ist"

Digitalisierung bedeutet, dass immer mehr Dinge und Geräte miteinander vernetzt werden, die bisher für sich standen. Doch wie schützt man das Internet der Dinge gegen Cyberattacken?

Wir sprechen mit Ferri Abolhassan, Geschäftsführer T-Systems, verantwortlich für die IT-Division und Telekom Security, wie man das so genannte Internet of Things (IoT) gegen Cyberattacken absichern kann.

Viel ist die Rede von Industrie 4.0 , Internet der Dinge, oder IoT (Internet of Things). Im Kern geht es dabei um die Vernetzung von Produktions- und Steuerungskomponenten in der Industrie. Welche Herausforderungen bedeutet das Internet der Dinge für die Sicherheit?

Ferri Abolhassan: Ich sehe zwei große Herausforderungen. Die erste ergibt sich aus der schieren Anzahl der miteinander vernetzten Dinge: Aktuell gehen Experten von 6,4 Milliarden Dingen weltweit aus, die ans Internet angebunden sind. 2020 soll diese Zahl bereits bei 25 Milliarden liegen. Weniger konservative Schätzungen rechnen gar mit rund 50 Milliarden Dingen. Allein diese Zahl macht deutlich, welch große Angriffsfläche das Internet der Dinge Cyberkriminellen theoretisch bietet.

Die zweite Herausforderung liegt in den vernetzten Dingen selbst: Vieles, was jetzt ans Netz geht oder schon gegangen ist, ist nie darauf ausgelegt worden. Produktionsmaschinen etwa laufen zum Teil noch auf völlig veralteten Systemen und weisen daher große Sicherheitslücken auf. Und selbst neu entwickelte Dinge, die jetzt ins Netz gehen, haben keine Sicherheit eingebaut. Wie etwa sichern Sie Ihren vernetzten Kühlschrank ab?

Was kann denn schon passieren, wenn mein Kühlschrank gehackt wird? Ist doch egal, wenn jemand erfährt, was ich drinhabe!

Ferri Abolhassan: Das ist viel zu klein gedacht. Sobald der Kühlschrank eine IP-Adresse hat und am Netz ist, kann er von Kriminellen zum Beispiel als so genannter Bot ferngesteuert werden, wenn er erstmal gehackt ist. Das bedeutet, dass der Kühlschrank dann zum Beispiel dazu missbraucht wird, massenhaft gefährliche SPAM-Mails zu verschicken. Oder er wird dazu genutzt, Unternehmen mit so genannten Denial of Service Attacken zu erpressen: Zahle, oder wir legen Dir Deinen Webauftritt über massenhafte Anfragen lahm, heißt es da. Und Ihr Kühlschrank macht mit.

Schützen die Betreiber vernetzter Infrastrukturen oder einzelner Geräte diese denn nicht?

Ferri Abolhassan: Der Punkt ist: Viele wissen noch gar nicht, dass da etwas zu schützen ist. Ich muss erst ein Bewusstsein für die Herausforderungen entwickeln. Viele Firmen etwa haben die Zeichen der Zeit noch nicht erkannt und sind nicht auf die vernetzte Welt vorbereitet, Privatnutzern geht das meist nicht anders. Dabei ist ein grundsätzliches Schutzniveau kein Hexenwerk.

Wie schützt man vernetzte Geräte, alte wie Newcomer?

Ferri Abolhassan: Bei neuen Geräten muss ich den Schutz von vornherein mitdenken und sie entsprechend "sicher" entwickeln. Wir bei der Telekom machen das über das so genannte Privacy and Security Assessment, ein Verfahren, bei dem vom ersten Moment an Datenschutz und Datensicherheit bei der Produktentwicklung berücksichtigt werden.

Wenn ein System schon läuft, gibt es eine Reihe von Punkten, die man beachten sollte:

• Wissen, was verbunden ist: Wer die einzelnen Verbindungen zwischen Dingen kennt, kann sie besser schützen und prüfen.
• Nicht alles verbinden, was geht: Hier gilt das Sparsamkeitsprinzip: Nicht alles, was verbunden werden kann, sollte verbunden werden. Nur verbinden, was sinnvoll ist!
• Nur notwendige Kommunikation erlauben: Vernetzte Dinge kommunizieren miteinander nur in vorher festgelegten Fällen. Ein Gerät, das keine Email Funktion hat, muss beispielsweise diesen Dienst auch nicht unterstützen und dieser kann in einer Art Firewall im Gerät direkt gestellt werden.
• Kritische von nicht kritischen Systemen trennen: Zum Beispiel Industrieanlagensteuerungen nicht direkt mit den Bürokommunikationsnetzen verbinden um kein potentielles Tor zur Steuerung zu öffnen.
• Logische Zonen bilden: Darauf achten, Teile des Ganzen zu parzellieren, damit sich im erfolgreichen Angriffsfall der Schaden in Grenzen hält.
• Pentests einsetzen: Wer vorher prüft, wie verwundbar er ist, kann sich rechtzeitig schützen.
• Software auf dem aktuellsten Stand halten: Wenn alle Systeme weltweit pünktlich gepatcht werden würden, ließen sich 95 Prozent der Angriffe verhindern. Daher der dringende Rat, Aktualisierungen umgehend vorzunehmen, um Angreifern keine offenen Flanken zu präsentieren.
• Verbindung zwischen den Dingen verschlüsseln: Verschlüsselte Kommunikation sorgt dafür, dass auf dem Übertragungsweg keine Informationen abgegriffen werden.
• Zertifikate zur sicheren Identität jedes Dings einsetzen: Damit wird sichergestellt, dass nur berechtigte Personen genau die Geräte ansteuern können, die angesteuert werden sollen und dass jeder Kommunikationspartner auch wirklich der ist, für den er sich ausgibt.
• Auf starke Partner setzen: Sich im Zweifelsfall lieber professionelle Hilfe suchen und ein ganzheitliches Schutzkonzept erstellen lassen, wie es Unternehmen wie die Telekom anbieten.