Sicherheit im Internet of Things

In den Medien überschlagen sich momentan die Meldungen über Datenlecks und Hackerangriffe. Im Zeitalter des Internet of Things, in dem die Anzahl einem Netzwerk angeschlossener Geräte stetig wächst, sind wir einem immer höheren Risiko eines Hackerangriffs ausgesetzt. Die Eidgenössische Melde- und Analysestelle Informationssicherung MELANI rät einige Präventionsmassnahmen zu ergreifen.

Definiton Internet of Things und Präventionsmassnahmen

Wenn der Toaster der Sonnenstore gute Nacht sagt, sprechen wir vom Internet of Things (de. Internet der Dinge). Der Begriff wird vor allem für die Vernetzung von Alltagsgegenständen in internetähnlichen Systemen verwendet. Zum Beispiel ist ein leerer Kühlschrank heutzutage im Stande von allein Nachschub zu ordern oder die Deckenbeleuchtung kann ihren Farbton an der aktuellen Tabellenlage des Lieblingsvereins anpassen. Den Möglichkeiten sind kaum Grenzen gesetzt. Jedoch ist es so, dass je mehr Geräte einem Netzwerk angeschlossen sind, desto grösser ist die Verwundbarkeit auf Hackerangriffe. Folgende Präventivmassnahmen rät die MELANI zu ergreifen:

Vor der Anschaffung netzwerkfähiger Gegenstände sollt ihr euch über deren jeweiligen IT-Sicherheitsvorkehrungen erkundigen:

• Wie oft erscheinen Software-Updates?
• Werden diese automatisch eingespielt oder ist eine Interaktion des Benutzers notwendig?
• Wie erfährt der Benutzer, dass ein Update verfügbar ist?
• Ist das Gerät über das Internet erreichbar?
• Über welche Schutzmechanismen verfügt dieses, um unbefugten Zugriff zu verhindern?
• Unterstützt das Betriebssystem des Geräts Zugriff über eine geschützte Verbindung wie SSH oder HTTPS?
• Lassen sich die vom Hersteller voreingestellten Zugangsdaten (Benutzername / Passwort) ändern?

Kappt die Internetverbindung eines Gerätes, wenn sie bei der Verwendung nicht zwingend erforderlich ist.

Falls das Gerät mit dem Internet verbunden sein muss, wird euch folgendes geraten:

• Richtet für eure vernetzten Geräte ein eigenes Netzwerksegment ein, welches keinen Zugriff auf Ihre persönlichen Daten hat (PC, NAS, etc.). Es kann somit nur noch mit dem Internet kommunizieren, nicht aber mit eurem internen Netz. Viele moderne Router unterstützen heute solche Ansätze. Somit stellt ihr sicher, dass euer internes Netz nicht via eines euer IoT Geräte angegriffen werden kann.
• Schränkt den Zugriff aus dem Internet auf das Gerät ein, beispielsweise durch die Verwendung eines IP-Adressfilters (indem der Zugang zum Gerät nur bestimmten IP-Adressen gestattet wird) oder durch die Verwendung eines Geo-IP-Filters (indem der Zugang zum Gerät beispielsweise auf Schweizer IP-Adressen beschränkt wird). Euer IoT Gerät wird dazu kaum in der Lage sein, aber evtl. der vorgeschaltete Router.

Falls ihr ein Gerät nicht mehr benötigt, trennt es vom Netzwerk bzw. Internet.

Verwendet nur Protokolle, die eine geschützte Verbindung ermöglichen (z.B. SSH oder HTTPS). Verwendet niemals Klartext-Protokolle wie Telnet oder HTTP.

Verwendet keine Standard-Ports (z.B. 23 – Telnet, 443 – HTTPS, etc.), da euer Gerät sonst mittels eines einfachen Portscans gefunden werden kann.  Verwendet stattdessen einen high-port (z.B. 2323 anstelle von 23, 43443 anstelle von 443 etc.), um das Auffinden des Geräts zu erschweren

Verwendet keine voreingestellten Zugangsdaten (Benutzername, Passwort). Diese sind weitläufig bekannt und können von Hackern einfach verwendet oder erraten werden. Ändert gleich bei der Inbetriebnahme des Objektes den Benutzernamen und das Passwort.

Verwendet ein komplexes Passwort, welches nicht erraten werden kann (mindestens 12 Zeichen, Zahlen und Buchstaben sowie Sonderzeichen).

Verwendet, wenn immer möglich einen zweiten Faktor für die Authentifizierung (z.B. SMS, Google Authenticator, Hardware-Token, etc.)

Deaktiviert die UPnP-Funktion (Universal Plug and Play) deines Routers. Erkundigt euch bei eurem Internetzugangsanbieter oder Router-Lieferanten über Konfigurationsmöglichkeiten sowie Funktionseinschränkungen und mögliche weitere unbeabsichtigte Konsequenzen, die diese Massnahme auslösen kann.

Fazit

Das Internet of Things hat sein Potential bei weitem noch nicht ausgeschöpft. Unzählige Projekte, wie z.B. autonomes Autofahren oder begleitetes netzwerkgesteuertes Wohnen für Demenzkranke, stecken noch in den Kinderschuhen und werden womöglich in Zukunft auf den Markt kommen. In völlig neue Sphären vorstossen wird das Internet of Things, wenn allein schon das 5G Mobilfunknetz ausgerollt wird. Was alles auf uns zukommen wird, bleibt mit Spannung abzuwarten. Trotz aller Faszination für technische Neuerungen, darf der Sicherheitsaspekt ja nicht vernachlässigt werden. Schützt euch, so gut es geht. Denn: Vorsorge ist besser als Nachsorge.

Quellen:

https://www.melani.admin.ch/melani/de/home/themen/internet_of_things.html

https://www.hslu.ch/de-ch/technik-architektur/forschung/kompetenzzentren/ihomelab/projekte/internet-of-things/