IoT-Sicherheitsbedrohungen von Anfang an bekämpfen

Sicherheit darf im IoT nicht erst im Nachhinein berücksichtigt werden

Das Internet der Dinge treibt weiterhin Innovationen und Effizienzsteigerungen in nahezu allen Branchen voran. Doch mit der steigenden Anzahl an Geräten steigen auch die Risiken – und in vielen Anwendungsfällen hat die Sicherheit damit nicht Schritt gehalten.

Im Jahr 2022 gab es schätzungsweise 112 Millionen Cyberangriffe auf IoT-Geräte – ein Anstieg gegenüber 32 Millionen im Jahr 2018. Da die Zahl der vernetzten Geräte bis 2030 auf 40 Milliarden ansteigen wird, steht immer mehr auf dem Spiel.

Ganz gleich, ob Sie intelligente Stromzähler, Ladestationen für Elektrofahrzeuge ( EV ) oder vernetzte Gesundheitsgeräte einsetzen – Sicherheit muss von Anfang an integriert sein und darf nicht erst nachträglich hinzugefügt werden. Das bedeutet, dass der Schutz vom ersten Tag an berücksichtigt werden muss und nicht erst, wenn der Schaden bereits entstanden ist.

Warum die IoT-Sicherheit eine so große Herausforderung darstellt

IoT-Ökosysteme sind einzigartig. Die Geräte verfügen oft nur über begrenzte Rechenleistung, werden in abgelegenen oder nicht vertrauenswürdigen Umgebungen betrieben und müssen unter Umständen jahrelang oder sogar jahrzehntelang ohne Neustart funktionieren. Dies führt zu besonderen Schwachstellen, insbesondere wenn Sicherheitsaspekte erst nachträglich berücksichtigt werden.

Es kommt nicht selten vor, dass die Sicherheit bei der Produktentwicklung zugunsten von Funktionen, einer schnellen Markteinführung oder Kosteneinsparungen in den Hintergrund rückt. Die Folgen eines Sicherheitsvorfalls – von Datenlecks über die Übernahme von Geräten bis hin zu Reputationsschäden – können jedoch schwerwiegend und weitreichend sein.

Sobald ein Gerät im Einsatz ist, ist die nachträgliche Nachrüstung von Sicherheitsmaßnahmen kostspielig und schwierig. Der bessere Ansatz? Eine sichere Architektur von Anfang an zu entwickeln.

Beispiele aus der Praxis für Sicherheitsfehler

Noch nicht überzeugt? Hier sind ein paar Beispiele, die zeigen, wie entscheidend frühzeitige Sicherheitsentscheidungen sind:

• Zoom (Frühe Sicherheitslücken)
  Bevor Zoom zu einem Begriff wurde, geriet das Unternehmen wegen Sicherheitslücken in seiner Plattform in die Kritik. Das Unternehmen reagierte zwar schnell und konnte das Vertrauen schließlich wiederherstellen, doch dies hatte seinen Preis – und hätte vermieden werden können, wenn von Anfang an strengere Sicherheitsmaßnahmen integriert worden wären.
• Hikvision (Kamera-Sicherheitslücke)
  Sicherheitskameras einer großen Marke wurden aufgrund einer unsicheren Passwortimplementierung und einer Backdoor-Sicherheitslücke gehackt. Mit minimalen technischen Kenntnissen konnten Angreifer Zugriff auf Live-Aufnahmen erlangen – ein Alptraumszenario für die Kunden und ein Imageschaden für die Marke.
• Colonial Pipeline (Ransomware-Angriff)
  Im Jahr 2021 brachte ein Cyberangriff auf Colonial Pipeline die Kraftstoffversorgung im Südosten der USA zum Erliegen. Die Angreifer nutzten Schwachstellen in den digitalen Systemen des Unternehmens aus – Systeme, die denen ähneln, mit denen heute vernetzte Infrastrukturen und das industrielle IoT betrieben werden.

Wo soll man anfangen: Wichtige Überlegungen zur IoT-Sicherheit

Wenn Sie IoT-Geräte entwickeln, bereitstellen oder verwalten, sollten Sie folgende Punkte priorisieren:

1. Definieren Sie Ihr Bedrohungsmodell

Jeder Sicherheitsplan beginnt mit einem Bedrohungsmodell. Fragen Sie sich:

• Was schützt du und vor wem schützt du es?
• Schützen Sie sich vor unbeabsichtigtem Missbrauch? Vor böswilligen Angriffen? Vor Bedrohungen durch Insider?

Für manche Organisationen reicht es möglicherweise aus, Angriffe aufgrund schwacher Passwörter zu verhindern. Andere müssen sich auf komplexe Bedrohungen in der Lieferkette oder Angreifer auf staatlicher Ebene einstellen. Ihre Strategie hängt von Ihrem jeweiligen Kontext ab.

2. Befolgen Sie Vorschriften und Normen

Bewährte Verfahren im Bereich der Sicherheit werden zunehmend gesetzlich verankert. Vom kalifornischen Gesetz zur IoT-Sicherheit bis hin zu den Verbraucherschutzbestimmungen im Vereinigten Königreich – die Vorschriften halten mit dem Tempo der Innovation Schritt.

Der Verzicht auf Standardpasswörter und die Umsetzung von Authentifizierungsstandards sind nicht mehr nur eine Option – sie werden erwartet.

Branchenstandards wie ISO 27001, ARM PSA und SESIP können Ihnen dabei helfen, sich an globale Best Practices anzupassen, und manche Kunden verlangen diese Zertifizierungen möglicherweise sogar als Voraussetzung für die Auftragsvergabe.

3. Sichere Geräte von Grund auf entwickeln

Ein wirklich sicheres Gerät ist mehr als nur eine gesicherte Verbindung oder ein sicheres Passwort. Gemäß den „Sieben Eigenschaften hochsicherer Geräte“ von Microsoft sollte Ihr IoT-Gerät Folgendes unterstützen:

• Hardwarebasierte Vertrauensbasis
• Eine kleine, vertrauenswürdige Rechenbasis
• Mehrschichtige Verteidigung (Defense in Depth)
• In Kammern unterteilte Komponenten
• Zertifikatsbasierte Authentifizierung
• Nachhaltige, aktualisierbare Sicherheit
• Ereignisprotokollierung und Fehlermeldung

Und was ist mit den anderen Punkten? Denken Sie an Secure Boot, Secure Provisioning und Lebenszykluskontrollen. Wenn Sie nicht überprüfen können, ob auf Ihrem Gerät der richtige Code ausgeführt wird, können Sie weder den Daten noch den daraus resultierenden Entscheidungen vertrauen.

Sichere Herstellung und Bereitstellung sind wichtig

Eine schnelle Markteinführung darf nicht auf Kosten der Sicherheit gehen. Zu viele kommerzielle Implementierungen wurden mit Komponenten auf Hobby-Niveau gestartet, die sich zwar hervorragend für Prototypen eignen, denen es jedoch an Sicherheitsfunktionen wie Secure Boot oder Trusted Provisioning mangelt.

Ein Gerät mag zwar funktionieren, aber das bedeutet noch lange nicht, dass es für den kommerziellen Einsatz bereit ist.

Mit den sicheren IoT-Managed-Services von KORE unterstützen wir Unternehmen dabei, den Weg vom Minimal Viable Product (MVP) bis zur Markteinführung zu beschreiten, ohne dabei Abstriche bei der Sicherheit zu machen – wir sorgen vom ersten Tag an für eine vertrauenswürdige Bereitstellung, sichere Konnektivität und ein Remote-Lebenszyklusmanagement.

Sicherheit ist eine unternehmerische Entscheidung – treffen Sie sie frühzeitig

Die Versuchung, Sicherheitsentscheidungen aufzuschieben, ist verständlich. Es ist schneller, einfacher und oft kostengünstiger, nur das Nötigste zu tun – bis es das nicht mehr ist.

Deshalb muss die IoT-Sicherheit strategisch und nicht reaktiv angegangen werden. Die Kosten für eine korrekte Umsetzung sind weitaus geringer als die Kosten, die entstehen, wenn man etwas zweimal machen muss oder seinen Kunden erklären muss, warum ihre Daten oder Geräte kompromittiert wurden.

Integrieren Sie Sicherheit von der allerersten Entwurfsentscheidung bis zum letzten Firmware-Update in Ihre Architektur – fügen Sie sie nicht erst nachträglich hinzu.

Sicher, skalierbar und auf Langlebigkeit ausgelegt – mit KORE

Bei KORE bieten wir branchenübergreifend „Secure-by-Design“-Konnektivität und Lebenszyklusmanagement für IoT-Geräte – vom Gesundheitswesen über die „ EV “-Infrastruktur bis hin zur industriellen Überwachung. Mit fundiertem IoT-Fachwissen und zuverlässiger globaler Konnektivität unterstützen wir Unternehmen dabei, sich auf langfristigen Erfolg auszurichten.

Lasst uns das IoT von Anfang an sicherer, intelligenter und widerstandsfähiger gestalten.

Veröffentlicht am 17. April 2025.