IoT-Geräte: «Wir müssen Security in unserer Denkweise verankern»

Welche typischen Fehler beobachten Sie bei der Entwicklung von IoT-Geräten?

Sehr oft wird die Sicherheit zugunsten der Funktionalität vernachlässigt. Das sehen wir beispielsweise bei Start-ups im medizintechnischen Bereich. Diese konzentrieren häufig ihre kompletten Ressourcen auf die Funktionsweise eines IoT-Gerätes und befassen sich mit dem Thema Sicherheit meist erst dann, wenn die Entwicklung fast schon abgeschlossen ist. Das ist der eine Punkt. Der andere Punkt betrifft die Pflege des Produktes. Weil sich Updates nur schwer oder gar nicht aufspielen lassen, nimmt das Sicherheitsniveau der Geräte über die Zeit sukzessive ab.

Sicheres IoT-Gerät beachtet drei Aspekte

Welche Punkte sollten demnach bei der Entwicklung eines IoT-Gerätes unbedingt beachtet werden?

Aus unserer Sicht bestimmen drei Aspekte ein sicheres IoT-Gerät: Das sichere Produkt, die sichere Integration und der sichere Betrieb. Um ein IoT-Ökosystem umfassend und «end to end» zu schützen, braucht es zunächst sichere IoT-Produkte mit entsprechenden Sicherheitsfunktionen in der Hard- und Software. Bereits bei der Entwicklung gilt es konsequent auf Datentrennung, Nachvollziehbarkeit, sichere Schnittstellen, Monitoring und Updatefähigkeit zu achten.

Sicherheitsfunktionen nützen jedoch wenig, wenn diese vom Integrator nicht entsprechend genutzt und umgesetzt werden. Daher ist die sichere Integration der zweite entscheidende Faktor. Und schliesslich müssen IoT-Produkte laufend den verändernden Cyber-Risiken und Technologieentwicklungen angepasst werden, damit ein sicherer Betrieb möglich ist.

«Integrierte Sicherheit fehlt oftmals noch»

IoT-Geräte fassen in ersten industriellen Anwendungen Fuss und sorgen so für eine weitere Verschmelzung von IT und OT. Was bedeutet das aus sicherheitstechnischer Sicht?

IT und OT haben grundsätzlich andere Prioritäten bei den Schutzzielen. Während in der IT schon länger ein grosser Fokus auf Vertraulichkeit und Integrität gelegt wird, ist in der OT in den meisten Fällen die Sicherstellung der Verfügbarkeit der heilige Gral, was Einfluss auf die eingesetzten Systeme hat.

Sicherheitsfunktionen bei industriellen Kontroll- und Steuerungssystemen sind erst in den letzten Jahren aufgekommen. Da diese aber sehr lange Lebenszyklen haben, fehlt in OT-Infrastrukturen die integrierte Sicherheit heute oftmals noch. Wenn wir jetzt OT und IT miteinander verbinden, zum Beispiel durch den Einsatz von IoT-Anwendungen, schaffen wir in einer bisher sehr hierarchisch organisierten Kommunikationsstruktur zusätzliche Schnittstellen auf verschiedenen Ebenen und damit mögliche Einfallstore.

Welches Netz ist aus Ihrer Sicht gefährdeter, das IT- oder das OT-Netz?

Da gibt es keine abschliessende Antwort drauf, da jedes dieser Netze ein anderes Sicherheitsbedürfnis hat und es verschiedene Methoden gibt, diese Sicherheit zu gewährleisten. Je nachdem, welches Ziel ein Cyberkrimineller verfolgt, hat er auf der einen Seite den kleineren Widerstand als auf der anderen Seite.

Was sollte aus Ihrer Sicht unbedingt zu diesem Thema gesagt werden?

Wir benötigen eine Denkweise, in der Security bei der Entwicklung eines Produktes genauso selbstverständlich ist wie die Safety-Aspekte.

Das funktioniert aber nur, wenn schon während der Ausbildung der Grundstein dafür gelegt wird, oder?

Genau! Es ist wichtig, Auszubildende generell für Cyber-Gefahren zu sensibilisieren. Wir dürfen nicht vergessen, dass die Schweiz als Hightech-Standort besonders von Industrie-Spionage betroffen ist und es Akteure gibt, die gezielt IoT-Schwachstellen ausnutzen, um an geheime und vertrauliche Informationen zu gelangen. Daher muss Security in unserer Denkweise fest verankert sein.