Ob Türschloss, Steckdose oder Heizung, laut Statista sind rund 50 Milliarden IoT-Geräte im Einsatz. Herunter gebrochen kommen so fast 7 Geräte auf eine Person. Dabei hapert es nicht an Varianten und intelligenten Funktionen, dafür aber oft bei der Sicherheit. Vollgestopft mit Sensoren und Funkschnittstellen bleibt vor allem die Datensicherheit sowie der Schutz von Nutzerdaten auf der Strecke.
Ausgestattet mit unterschiedlichen Sicherheitsniveaus und dies häufig auch in sicherheitskritischen Positionen, sorgt das auf Hersteller- und Anwenderseite für Verwirrung und Ratlosigkeit.
Angriffsfläche für Cyberkriminelle
In der Vergangenheit haben verschiedene Attacken die Angreifbarkeit von IoT-Geräten gezeigt. Bereits 2016 sorgte der Fall Mirai für Schlagzeilen. Mirai nutzt smarte Alltagsgegenstände, wie Router, Smart-TVs oder Überwachungssysteme und scannt das Netz nach Sicherheitslücken bei genau solchen Geräten mit werkseitig aufgespielter Betriebssoftware und versucht dann, Schadcode auf diese aufzuspielen.
2019 kam dann eine neue Variante von Mirai auf, die es in erster Linie auf die IoT-Geräte innerhalb von Unternehmen abgesehen hat.
Bei solchen Attacken und der wachsenden Zahl an IoT-Geräten, die jährlich auf den Markt gebracht werden, stellt sich also bei Herstellern und Anwendern die Frage, wie können die Geräte vor Angriffen geschützt werden und wie können etwaige Sicherheitslücken gar nicht erst entstehen.
Dabei soll nun ein einheitlicher Sicherheitsprüfstandard, die EN 303 645 helfen. Diese Norm definiert verpflichtende Sicherheitsanforderungen und Empfehlungen, Teststandards und Zertifizierungsschemata.
Mehr Sicherheit durch ETSI EN 303 645
Der Prüfstandard adressiert alle vernetzten Consumer IoT-Geräte, vom Smart TV bis zur Heizungsanlage mit der Zielsetzung Security by Design / by Default zu etablieren. Dabei werden verschiedene Bereiche, wie beispielsweise:
- Authentisierung
- Software-Update-Mechanismen
- Sichere Kommunikation
- Datenschutz
abdeckt. Dadurch soll vor allem am europäischen Markt für Einheitlichkeit der Sicherheitsstandards gesorgt werden.
Auf der EN 303 645 aufbauend, entsteht zudem die Testspezifikation 103 701, die die Norm um Testfälle erweitert. Dabei ist das Ziel in Europa ein harmonisiertes Prüfverfahren und einheitliches Kennzeichen einzuführen. Die Testspezifikation dient als Framework zur Konformitätsbewertung der neuen Norm.
Aktuell befindet sich das Dokument zur TS 103 701 bis Ende April noch in der Kommentierungsphase und kann um Verschläge erweitert werden.
Deutsches IT-Sicherheitskennzeichen
An die Aktivitäten auf europäischer Ebene schließt sich das geplante Deutsche Pilotprojekt „IT-Sicherheitskennzeichen“ an. Diese Kennzeichnung soll Verbraucher über die Sicherheitsfunktionen eines Produkts oder Services informieren. Produkte und Services werden dann, basierend auf einer Herstellererklärung, dass die Sicherheitsanforderungen erfüllt sind, gelabelt.
Die gesetzliche Grundlage und den rechtlichen Rahmen auf nationaler Ebene für dieses Kennzeichen soll das kommende IT-Sicherheitsgesetz 2.0 bilden.
Seitens des BSI sollen die Produkte und Services mit IT-Sicherheitskennzeichen regelmäßig geprüft werden, um zu verifizieren, dass die Anforderungen auch tatsächlich erfüllt sind.
Zwar sind die Ansätze und geplanten Entwicklungen wünschenswert und gehen durchaus in die richtige Richtung, denn einheitliche Sicherheitsanforderungen, Empfehlungen, Prüfungen und Siegel sind wichtig und sorgen vor allem bei Verbrauchern für mehr Transparenz.
Jedoch bleiben einige Fragen gerade hinsichtlich der Einführung und Umsetzung offen die beim gemeinsamen eco Roundtable der Kompetenzgruppen IoT und Sicherheit diskutiert wurden. Hier kamen das BSI und Mitglieder verschiedener Branchen und unterschiedlicher Schwerpunkte am virtuellen Tisch zusammen und es kristallisierten sich fünf Punkte heraus, die bedacht werden sollten und erforderlich sind:
Einbeziehung bestehender Siegel und Zertifizierungen
Es muss sichergestellt werden, dass die Zertifizierungsmaßnahmen, die sich bereits etabliert haben durch die neue Norm und das geplante IT-Sicherheitskennzeichen nicht auf der Strecke bleiben. Die Anbieter müssen in den Prozess stärker eingebunden werden, um für die Verbraucher transparente Lösungen zu schaffen und am Ende nicht mehr Verunsicherung zu schüren, sondern das Ziel eines klaren und einheitlichen Prüfstandard zu erreichen.
Nachvollziehbarkeit des Siegels
Das IT-Sicherheitskennzeichen für Deutschland muss sowohl für die Hersteller als auch für die Verbraucher nachvollziehbar sein und sich am Markt auch etablieren. Es darf nicht an der eigentlichen Praxis vorbei entwickelt werden. Dann nur so kann dieses Siegel auch als Wettbewerbsvorteil fungieren und den Anwendern ein sicheres Gefühl beim Kauf von IoT-Geräten vermitteln.
Unabhängige Prüfungen
Gerade mit Blick auf das nationale IT-Sicherheitskennzeichen, müssen Prüfungen und Tests von IoT-Geräten durch unabhängige Prüfstellen auf die festgelegten Sicherheitsanforderungen erfolgen. Denn so lässt sich Transparenz für die Verbraucher gewährleisten und die Wertigkeit des Kennzeichens und die tatsächliche Erfüllung der Sicherheitsstandards sicherstellen. Nur so kann das Vertrauen darin auf Hersteller- und Anwenderseite gestärkt werden.
Betrachtung des gesamten Lebenszyklus von IoT-Geräten
Wichtig ist, dass Sicherheit von Anfang an gedacht wird und bereits bei der Entwicklung von IoT-Geräten einfließt und auch auf lange Sicht mit entsprechenden Updates gewährleistet wird. Gerade bei den Prüfungen von Produkten und Services muss dieser Aspekt einen starken Fokus einnehmen. Der Security by Design-Gedanke muss prozessual stärker nach vorne gebracht werden.
Denn nur wenn Sicherheit von Beginn an und über den gesamten Lebenszyklus von Produkten hinweg betrachtet wird, kann diese für den Verbraucher auch gewährleistet werden. Um ein Grundverständnis für die Security by Design- Gestaltungsprinzipien zu erlangen, empfiehlt sich die Handreichung „Security by Design – Ein Leitfaden für Entscheider“ von TeleTrust.
Erhöhung der Nachhaltig
Ein weiterer wichtiger Punkt in diesem Zusammenhang kann das Thema Nachhaltig von IoT-Geräten sein. Mit der Verfügbarkeit von Sicherheitsupdates und der Möglichkeit von Bug Fixes für einen deutlich längeren Zeitraum, als dies aktuell bei vielen Geräten der Fall ist, müssen die Geräte nicht frühzeitig abgewrackt werden. Altgeräte würden so kein Sicherheitsrisiko mehr darstellen und Verbraucher können ihre Geräte viel länger und vor allem sicher nutzen. Somit zahlt Security by Design auf die Nachhaltigkeit von IoT-Geräten enorm ein.
Auch wenn mit der Norm EN 303 645, der TS 109 701 und dem deutschen IT-Sicherheitskennzeichen der richtige Weg eingeschlagen wird, bleibt es abzuwarten, wie sich die Umsetzung und praktische Anwendung am Markt gestalten wird. Noch befinden sich die entsprechenden Dokumente in der Abstimmung und können unter folgendem Link eingesehen und um Kommentare erweitert werden, bevor es voraussichtlich Mitte 2021 zur Ratifizierung kommt.
