IP-fähige Geräte sind längst mehr als nur ein schicker Trend. Sie sind inzwischen zu notwendigen Werkzeugen für den Alltag geworden, auf die sich Millionen Menschen weltweit verlassen, und werden unsere Gesellschaft nachhaltig verändern - zum Guten oder zum Schlechten?
Die Medien berichten zwar meist nur über groß angelegte Angriffe auf bekannte Unternehmen, doch grundsätzlich können neue Schadprogramme sämtliche IP-fähigen Geräte befallen. Zum Beispiel ließen sich dann über Smart Wearables, also am Körper getragene intelligente und mit dem Internet vernetzte Geräte wie Fitness-Armbänder die Gesundheitsdaten sowie der aktuelle Aufenthaltsort des Nutzers unbemerkt auslesen. Damit könnten während des abendlichen Workouts Einbrecher ungestört die Wohnung ausräumen.
Foto: Lightspring - shutterstock.com
In Zukunft verbinden sich solche Wearables auch mit Unternehmensnetzwerken, damit sich etwa auf dem Weg zur Arbeit die beruflichen Mails auf der Armbanduhr lesen lassen. Dies eröffnet Cyberkriminellen ganz neue Möglichkeiten, da die meisten dieser Geräte für den privaten Bereich entwickelt werden und daher wohl in der Regel nicht mit ausreichenden Sicherheitsmechanismen oder -standards ausgerüstet sind. Zudem gilt: Je mehr WLAN-fähige intelligente Geräte ein Mitarbeiter im Firmenbüro am Körper trägt, desto größer wird das Risiko für die Unternehmensnetzwerke.
Menschenleben in Gefahr
Noch gravierender könnten die Auswirkungen von Angriffen etwa bei intelligenten vernetzten Autos sein. Erhält ein Hacker über das Internet Zugriff darauf, kann er eventuell die Bremsen blockieren, das Steuerrad übernehmen oder während der Autobahnfahrt den Motor ausschalten. Dann wären sogar Menschenleben gefährdet.
Dies ist keine Utopie, schließlich wurden bei vernetzten Fahrzeugen der Oberklasse bereits Proof-of-Concept-Angriffe zur Offenlegung von Sicherheitslücken erfolgreich durchgeführt. Angesichts der zunehmenden Verbreitung von intelligenten Autos ist es sehr wahrscheinlich, dass Schwachstellen in ihren Betriebssystemen und Kommunikationsstandards Cyberangriffen Tür und Tor öffnen.
Aber auch in anderen Bereichen könnten Menschenleben in Gefahr sein. Ein besonders erschreckender Proof-of-Concept wurde vor einiger Zeit bereits erfolgreich an Herzschrittmachern erbracht. Ein Angreifer könnte demnach per Fernzugriff die Funksignale eines Herzschrittmachers abfangen und einen elektrischen Schlag auslösen, der den Patienten töten würde. Dies zeigt wieder einmal deutlich die Ambivalenz der modernen Technologien: Sie können uns einerseits am Leben halten, aber andererseits auch gegen uns verwendet werden, wenn es keine ausreichenden Sicherheitsmaßnahmen gibt.
Aktueller Trend Ransomware
Neben den klassischen Angriffsmotiven, dem Auslesen sensibler Daten sowie der Schädigung von Systemen oder Menschen, kommt aktuell ein neuer Trend hinzu: Erpressung von Geld. Dazu dient die sogenannte Ransomware, die den Zugriff auf Daten oder ganzer Geräte verhindert und erst nach Bezahlung eines Lösegeldes – eventuell – wieder freigibt.
Diese Angriffsmethode hat sich als überaus effektiv zur „Geldbeschaffung“ erwiesen und so entwickeln Cyberkriminelle immer aggressivere Ransomware-Varianten, die herkömmliche Sicherheitsmechanismen umgehen können. Zu ihren Opfern gehören private Anwender genauso wie große Unternehmen. Cyberkriminelle setzen dabei auf Tor- oder I2P-Anonymisierungsnetzwerke, um ihre Command-and-Control-Server vor den Strafverfolgungsbehörden zu verbergen. Dies macht es besonders schwierig und aufwändig, groß angelegte Ransomware-Kampagnen zu bekämpfen.
Voraussichtlich wird diese Art der Bedrohung daher auch in den nächsten Jahren ein großes Problem darstellen und durch das Internet der Dinge noch verstärkt werden. Schließlich lassen sich auch intelligente Autos, Armbanduhren, Haushaltsgeräte oder gar ganze Häuser als „Geisel“ nehmen, um Lösegeld zu erpressen. So kann etwa das Aufsperren der Auto- oder Haustür durch einen unbefugten Zugriff auf die Steuerungssysteme verhindert werden. Cyberkriminelle könnten auch den Kühlschrank ausschalten oder die Temperaturregelung von Heizungs- oder Klimasystemen verändern und erst nach Bezahlung wieder freigeben.
Von Privatanwendern lassen sich dabei zwar meist keine astronomischen Summen erpressen, doch die große Menge macht auch sie zu potenziell interessanten Angriffszielen. Und wer wieder in sein Haus möchte, ist durchaus bereit, einige tausend Euro zu bezahlen.
Gibt es noch Hoffnung?
Angesichts der drohenden Gefahren könnte sich die Vernetzung – genauer unzureichende Sicherheitsmaßnahmen – als Achillesferse des Internets der Dinge erweisen. Die zunehmende vertikale und horizontale Verbreitung von intelligenten Geräten ermöglicht zwar viele praktische neue Funktionen, allerdings auf Basis eines steigenden Informationsaustauschs und damit auch mehr Möglichkeiten und einfacheren Zugang für Cyberkriminelle.
Diese Erkenntnis lässt die Zukunft düster erscheinen, schließlich werden laut Gartner für das Jahr 2020 rund 25 Milliarden intelligente Geräte erwartet und damit rund drei Mal mehr als die Weltbevölkerung.
Doch es gibt Hoffnung, da viele Unternehmen inzwischen die möglichen Gefahren erkannt und damit begonnen haben, bessere Sicherheitsverfahren zu entwickeln oder zumindest bessere Sicherheitsmaßnahmen zu prüfen. Diese sollen Außenstehenden den Zugriff auf die von den intelligenten Geräten übertragenen Daten deutlich erschweren. So sprechen sich heute immer mehr Organisationen für die Schaffung von Sicherheitsstandards für intelligente Geräte im Internet der Dinge aus. Die IEEE-SA (IEEE Standards Association) und IoT-GSI (Global Standards Initiative on Internet of Things) sind nur zwei Beispiele für Institutionen, die gemeinsam mit weiteren Normungsorganisationen an einer höheren Sicherheit des Internets der Dinge arbeite
Der Nutzer muss mithelfen
Doch diese Aktivitäten nützen wenig, wenn die Privat- und Unternehmensanwender nicht auch selbst für Sicherheit sorgen. So werden etwa Firmware-Updates, also Aktualisierungen der Steuerungssoftware von Geräten, häufig nicht oder erst verspätet durchgeführt. Diese Gewohnheit könnte IP-fähigen Geräten zum Verhängnis werden, da neu gefundene Sicherheitslücken nicht rechtzeitig vor dem darauf basierenden Angriff geschlossen sind.
Aber auch die Hersteller sind gefordert. Heute reichen der Druck durch die Angriffe von Cyberkriminellen sowie die Anforderungen der Anwender zwar noch nicht aus, damit sie regelmäßig und zeitnah Patches entwickeln und bereitstellen. Doch ähnlich wie in der PC-Welt dürfte sich das auch im Internet der Dinge mit zunehmender Nutzung und Verbreitung der Technologien schnell ändern. Schließlich wird sich das Internet der Dinge über kurz oder lang auf unsere Lebensweise auswirken und hat dies teilweise bereits getan. Die schnelle Bereitstellung von neuem Code für das Schließen von Sicherheitslücken in intelligenten Geräten wird damit nicht nur erwünscht, sondern auch absolut notwendig sein.
Konkrete Schritte
Neben Patches gibt es zahlreiche weitere mögliche Sicherheitsmaßnahmen. Zum Beispiel können Haushaltsgeräte bereits auf Ebene des Gateways geschützt werden. Dies ist die Schnittstelle zwischen verschiedenen Netzen, etwa dem Heimnetzwerk und dem Internet. So könnten speziell entwickelte Sicherheits-Appliances, die geeignete Hardware und Software integrieren, das Heimnetzwerk vor Angriffen von außen schützen.
Bis diese zur Verfügung stehen, empfiehlt sich der Einsatz von Antivirenprogrammen, die mit regelmäßig aktualisierten Modulen für den Schutz vor Exploits, Malware und Spam ausgestattet sind und aktive Scans durchführen können.
Im Falle von Ransomware verhindern heute noch einige technologische Einschränkungen, dass Benutzer ohne die Zahlung eines Lösegelds den richtigen Schlüssel für den Zugriff auf Systeme und Geräte oder die Entschlüsselung ihrer Daten erhalten. Der beste Schutz vor Ransomware liegt also vorerst weiterhin darin, eine Infektion von Anfang an zu verhindern. Dies geschieht einerseits durch den Einsatz und die regelmäßige Aktualisierung von Sicherheitslösungen, etwa Firewalls und Intrusion Prevention-Systemen, andererseits durch das Ignorieren von Anfragen und Links unbekannter Absender oder verdächtiger Werbeanzeigen.
Zudem sollten Benutzer ihre Daten regelmäßig in der Cloud oder auf externen Speichermedien sichern. Dabei sind die Sicherungsdateien niemals auf dem gleichen Gerät oder Server zu speichern, sondern ausschließlich auf externen Festplatten, die nur für die Dauer der Sicherung angeschlossen werden, oder bei vertrauenswürdigen Anbietern, die aber nur für diesen Zweck zu nutzen sind. Ansonsten liegen wieder zu viele persönliche oder andere sensible Daten in einer Hand oder an einem Ort.
Unternehmen wiederum sollten ihre Mitarbeiter im richtigen Umgang mit den Geräten schulen und ihnen helfen, Manipulationsversuche und sogenannte Spear-Phishing-Angriffe zu erkennen. IT-Administratoren sollten darüber hinaus Richtlinien für intelligente Geräte einführen, um deren Zugriff auf bestimmte Bereiche zu unterbinden und gleichzeitig den Zugang zu bestimmten Unternehmensressourcen anhand der jeweiligen Benutzerrechte zu steuern.
Entsprechend könnte es Mitarbeitern mit einer Google-Glass-Brille verboten werden, an Vorstandssitzungen teilzunehmen oder Einsicht in sensible Unternehmensdokumente zu erhalten, denn Angreifer könnten darüber unbemerkt alles ausspionieren, was der Mitarbeiter sieht, auch wichtige Geschäftsdaten.
Fazit
Eines ist klar: Das Internet der Dinge entsteht bereits heute. Daher sollten Privatanwender und Unternehmen sich schon jetzt mit den Sicherheitsfragen beschäftigen, um keine bösen Überraschungen zu erleben. Nur durch Wissen und entsprechende Maßnahmen können sie die neuen Möglichkeiten auch vertrauensvoll nutzen.