EU will für Sicherheit im IoT sorgen

Die Tatsache, dass sich viele Hersteller von IoT-Geräten im Bereich Sicherheit eher nicht überanstrengen, ist eigentlich schon lange bekannt. Schon viel zu lange. Aber die Attacke auf DynDNS, die am Freitag selbst große Websites lahm gelegt hat, bringt nun endlich etwas Bewegung in die Sache. Auf EU-Ebene wird an Kriterien für ein EU-Siegel gearbeitet, besser spät als nie?

Internet of Things: Willkommen im Schlafzimmer Deiner Nachbarn

Das Problem wird mit jedem Tag größer, schließlich werden immer neue Geräte vor- und aufgestellt, die zum Teil direkt am Netz hängen. Das betrifft nicht nur die lange bekannten Gerätearten wie Überwachungskameras, die zunehmende „Smartisierung“ unserer Wohn- und Arbeitsumgebungen sorgt für ganz neue Gerätearten, die in Zukunft über das Internet kommunizieren. Angefangen beim oft angeführten „intelligenten“ Kühlschrank, der automatisch Milch nachbestellt, über per App schaltbare LED-Lampen, Hubs für die ganzen Geräte, Fernseher, Stereoanlagen, Waschmaschinen, Toaster, Vibratoren… in einigen Jahren wird so ziemlich jedes elektronische Gerät zuhause und im Büro eine Internetverbindung nutzen (wollen) und wenn es nur für die Suche nach Updates ist. Was aber bislang fehlt: Sicherheitsstandards bzw. deren Einhaltung.

IoT: auch Vibratoren lassen sich hacken (und steuern)

Standards? Ach nö.

Selbst elementarste Dinge in Bezug auf die Systemsicherheit werden im Bereich des Internet of Things oftmals ignoriert: Offene SSH-Ports mit Standard-Passwörtern tauchen da genau so auf, wie veraltete Software mit uralten Lücken, die vom Hersteller einfach nicht gefixt werden und sei es nur, weil das jeweilige Gerät gar keine Software-Updates zulässt. Xiongmai Technologies ruft nach den letzten Attacken, bei denen auch gekaperte IP-Kameras des Herstellers genutzt wurden, diese Geräte nun zurück. Millionen von Geräten sind von diesem Rückruf betroffen – und nur, weil es eben keine Möglichkeit zum Software-Update gibt. Es ist anzunehmen, dass das Unternehmen in Zukunft an dieser Stelle nicht mehr spart, schließlich dürfte die Kosten des Rückrufs keine Kleinigkeit sein. Wobei aber – zumindest derzeit – nur in den USA zurückgerufen wird und nicht in Europa. Ob das an den in den USA möglichen (und potentiell teuren) Sammelklagen dort zusammenhängen könnte?

Jetzt kommt die EU!

Wir brauchen im Bereich ,Internet of things‘ natürlich noch stärkere Sicherheitsvorkehrungen Günther Oettinger

Es fällt schwer, hier auf einen Seitenhieb zu verzichten, aber dieses Thema fällt in den Zuständigkeitsbereich des EU-Digialkommisaars Günther Oettinger, der gegenüber der Welt angekündigt hat, dass seine Mitarbeiter bereits an Standards für eine Zertifizierung von IoT-geräten arbeiten würden. Geplant sei es, Geräten, die diese Mindeststandards in Bezug auf die Sicherheit erfüllen, mit einem „Vertrauenssiegel“ auszustatten.

Natürlich muss man erst einmal abwarten, wie diese Mindeststandards aussehen werden, aber man kann durchaus gewisse Zweifel daran haben, dass so ein „Vertrauenssiegel“ das Problem beheben könnte. Im Zweifel wird bei sehr vielen Kunden am Ende nicht irgendein EU-Vertrauenssiegel-Aufkleber auf der Packung ausschlaggebend dafür sein, ein bestimmtes Gerät zu kaufen, sondern der Preis. Wenn diese Mindeststandards aber nicht erforderlich sind, um ein Gerät überhaupt in der EU verkaufen zu dürfen, sondern nur über einen Aufkleber mehr oder weniger entscheidet, dann wird es auch in Zukunft Hersteller geben, die billige Geräte anbieten, die auf dieses „Vertrauenssiegel“ und die dafür erforderlichen Mindeststandards verzichten. Tatsächlich wäre es wohl wirksamer, wenn diese Mindeststandards Voraussetzung wären, damit entsprechende Geräte in der EU überhaupt verkauft werden dürfen (Hat jemand „CE-Kennzeichnung“ gesagt?).

Ganz abgesehen davon: Es stehen immer noch Millionen von Altgeräten rum, mit teils bekannten und garantiert einigen noch unbekannten Schwachstellen. Da helfen neu definierte Mindeststandards nichts, schließlich werden solche Geräte eine gewöhnliche Lebensdauer von fünf Jahren. Das ganze Thema wird uns also mit Sicherheit noch eine ganze Weile erhalten bleiben. Die nächste Attacke kommt bestimmt…