Das IoT ist Fluch und Segen zugleich: Während vernetzte Geräte unseren Alltag optimieren und Unternehmen neue lukrative Geschäfte eröffnen, sind die Auswirkungen der zunehmenden Vernetzung auf unsere physische und digitale Sicherheit weniger positiv. Tatsache ist: Im gleichen Maße, wie die Zahl von IoT-Geräten steigt, steigt auch das Risiko für Missbrauch, Datendiebstahl und Manipulationen.
Und dafür ist nicht einmal großes Hackergeschick vonnöten: Vielmehr reichen ein herkömmlicher Telekom-Router und eine einfache Fehlkonfiguration aus, um für einen schweren Datenschutzvorfall zu sorgen. So passiert jüngst in einer niedersächsischen Arztpraxis. Deren 30.000 sensible Patienten- und Mitarbeiterdaten waren über einen Windows-Server für jedermann im Internet frei zugänglich. Ein Supergau – nicht nur in Hinblick auf die EU-DSGVO.
Schuld an dieser Misere war eine falsche Konfiguration der Ports. Untersuchungen zeigten später, dass der Business-Router bei der Freigabe des Dienstes „HTTPS“ nicht wie vorgesehen nur den Standardport 433, sondern gleich zehn Ports für Zugriffe aus dem Internet öffnet. Ein Fehler, der schwerwiegende Konsequenzen für den Nutzer nach sich zieht.
Der Vorfall ist ein ideales Abbild der momentanen IoT-Sicherheit
Wie eine Untersuchung der Firmware-Analyseplattform IoT Inspector gezeigt hat, weisen mehr als 90 Prozent der IoT-Firmwaredateien kritische Sicherheitslücken auf. Dazu zählen neben Fehlkonfigurationen vor allem fest programmierte Passwörter im Firmware-Dateisystem, versteckte Standard-User-Credentials oder SSH Host-Keys. Dies betrifft Netzwerkkameras genauso wie modernes Kinderspielzeug.
Für Hersteller von IoT-Geräten zählt heutzutage vor allem eine möglichst günstige Entwicklung und schnelle Time-to-Market, was zur Folge hat, dass eine wirksame Überprüfung auf potenzielle Sicherheitslücken regelmäßig vernachlässigt wird. Dies ist freilich riskant, denn eine nachträgliche Behebung einer solchen Lücke - zum Beispiel in zehntausenden, weltweit eingesetzten IoT-Komponenten - dürfte sie teurer zu stehen kommen als eine frühzeitige Analyse und eventuelle Schwachstellenbehebung vor dem Rollout. Sie sollten stets bedenken: Vorbeugung ist besser als Heilen.
Unternehmen und Serviceprovidern kann man nur raten, selbst aktiv zu werden und nach Verwundbarkeiten in den eingesetzten Geräten zu suchen. Um später keine bösen Überraschungen zu erleben, sollten sie die Firmware von neuen IoT-Devices idealerweise schon vor deren Einsatz auf Sicherheitslücken untersuchen. Nur so können sie eingreifen und Schutzmaßnahmen rechtzeitig daran anpassen.