IoT-Umgebungen erfordern strukturierte und hochmoderne Sicherheitskonzepte

Um wettbewerbsfähig zu bleiben, setzen auch mittelständische Betriebe immer häufiger auf IoT-Umgebungen. Das erfordert neue Anstrengungen im Bereich Netzwerksicherheit. IoT-Spezialisten wie Euromicron Deutschland entwickeln systematische Schutz­konzepte unter Berücksichtigung des aktuellen Stands der IT-Sicherheitstechnik.

Das Internet der Dinge (Internet of Things/IoT) gilt gemeinhin als die technische Umgebung der Zukunft. Mittelfristig, so die übereinstimmende Einschätzung von Wirtschaftsexperten, wird sich die IP-basierte Vernetzung von Maschinen, Geräten, Anlagen und Systemen über alle Branchen hinweg auf breiter Front durchsetzen. Denn nur durch die Realisierung solcher IoT-Umgebungen können Unternehmen auch langfristig ihre Konkurrenzfähigkeit im globalen Wettbewerb sichern. Doch wo künftig alles mit allem vernetzt ist, winkt auch ein Eldorado für Cyberkriminelle. Einmal in ein IoT-Netzwerk eingedrungen, haben sie mehr Angriffsziele vor sich als in klassischen Netzwerkumgebungen und können mehr Schaden anrichten als je zuvor. Denn die Dinge im IoT individuell zu schützen, ist nur in Ausnahmefällen – wie etwa bei hochsensiblen Anlagen – sinnvoll und praktikabel. Jedes einzelne Device im Netzwerk mit einer eigenen IT-Security-Lösung auszustatten, wäre wirtschaftlich nicht darstellbar und wird zum Teil von den Herstellern auch gar nicht zugelassen. Überdies ließ sich eine von Sicherheitslösungen durchsetzte Prozessumgebung auch administrativ so gut wie nicht mehr beherrschen. Umso wichtiger ist es deshalb, die grundlegende Netzwerkinfrastruktur gegen mögliche Attacken abzusichern und die Datenströme im IoT-Netzwerk konsequent zu überwachen. IT-Sicherheit in IoT-Umgebungen ist in erster Linie Netzwerksicherheit.

Mittelstand: Nachholbedarf bei ­Netzwerksicherheit
Gerade in diesem Punkt jedoch besteht in vielen Unternehmen Nachholbedarf. Insbesondere mittelständische Betriebe, die oft nicht die finanziellen und personellen Ressourcen für den Aufbau eigener IT-Abteilungen besitzen, vernachlässigen einschlägige Sicherheitsfragen und vernetzen Geräte und Maschinenparks, ohne für den Angriffsfall ausreichend vorzusorgen. Das kann sich bitter rächen. Gelingt es Hackern beispielsweise, eine vernetzte Produktion lahmzulegen, wird das für manche Unternehmen rasch existenzbedrohend. Damit es erst gar nicht so weit kommt, sollten Mittelständler ohne hauseigene Security-Experten auf externe Unterstützung setzen und ihre IoT-Netzwerke mit Hilfe erfahrener Partner absichern. Gleich mehrere Dienstleister bieten zu Fragen der IT-Sicherheit solcher Netzwerke umfassende Beratung an und übernehmen zum Teil auch die praktische Umsetzung – von der Planung über die Lieferung und Installation aller Komponenten bis zur schlüsselfertigen Übergabe inklusive regelmäßiger Wartung.

Systematische Schutzzonen­konzeption
Doch in welchem Umfang ein mittelständisches Unternehmen solche Dienstleistungen auch immer in Anspruch nimmt – der Erfolg der Sicherheitslösung steht und fällt mit ihrer systematischen Konzeption. Denn nur dann, wenn die Lösung strikt und konsequent auf die jeweilige IoT-Umgebung zugeschnitten wird, wenn also Schutzzonen und erforderliche Technologien exakt definiert werden, ist der angestrebte Schutzeffekt auch wirklich zu erreichen.

Die Sicherheitsexperten von Euromicron Deutschland etwa folgen bei IT-Security-Projekten einem vierstufigen Plan zur Schutzkonzeptentwicklung. Den Anfang macht stets eine Schutzzonenbedarfsanalyse unter Berücksichtigung der bestehenden Netzwerkinfrastruktur. Anschließend werden die IT-Security-Anforderungen jeder einzelnen Schutzzone ermittelt. Hier geht es um aktuelle und geplante IoT-Anwendungen, die zonenbezogene Zuordnung von Maschinen und Anlagen sowie die vorgesehenen Zugriffsrechte. Im dritten Schritt werden für jede Schutzzone die zukünftigen Richtlinien festgelegt und dabei auch Aspekte der physikalischen Sicherheit wie Brandschutz, Videoüberwachung oder Zutrittskontrolle sowie – im industriellen Bereich – die Maschinensteuerungen mit einbezogen. Erst dann werden die erforderlichen Security-Systeme aufgesetzt und in diesem Zusammenhang auch permanente Prüfprozesse etabliert, da IT-Security-Lösungen aufgrund wechselnder Bedrohungslagen regelmäßig an veränderte Gegebenheiten angepasst werden müssen.

Grundschutz plus permanente ­Datenverkehrsanalyse
Über die systematische Grundkonzeption hinaus muss eine wirksame IoT-Sicherheitslösung selbstverständlich auch bei allen Einzelkomponenten auf dem neuesten technologischen Stand sein. Unerlässlich ist hier heute ein dreistufiger Aufbau mit Low-, Medium- und High-Security-Ebene. Basis ist der sogenannte Grundschutz (Low), der unter anderem Next Generation Firewalls, permanent aktualisierte Antivirensoftware und Mail-Security umfasst. Mit der Realisierung der zweiten Stufe (Medium), auf der beispielsweise VPN & Client Security sowie Next Generation Intrusion Prevention anzusiedeln sind, ist bereits ein recht hohes Schutzniveau erreicht, auf dem sich alle bekannten Bedrohungen zuverlässig abwehren und eliminieren lassen. Auch dieses Schutzniveau reicht jedoch letztlich nicht aus, da die Bedrohungsszenarien zunehmend unkalkulierbar werden. In den Tiefen des Darknet etwa werden seit geraumer Zeit höchst effektive Angriffswerkzeuge gehandelt, die mit unkonventionellen Angriffsmustern arbeiten und durch standardisierte Tools nicht erfasst werden können. Schadprogramme wie Petya, Wannacry oder Mirai ließen sich bekanntlich weder durch klassische Antivirenprogramme noch durch Intrusion Prevention Solutions (IPS) aufhalten. Ausgelegt auf das Erkennen bekannter Angriffsmuster, konnten diese Schutztechnologien die neuen Schadcodes nicht ausfindig machen. Die Folge waren geschäftliche Verluste in Millionenhöhe.

IoT-Anwender, die solche Szenarien vermeiden wollen, müssen das oberste Schutzniveau (High) anstreben und eine IoT-Forensik mit permanenten Datenverkehrsanalysen realisieren. Hierzu lassen sich die IoT-Netzwerke mit speziellen Netzwerksensoren ausstatten, die den kompletten Netzwerkverkehr überwachen und jede Verhaltensanomalie erkennen. Mit ihrer Hilfe gelingt es in den allermeisten Fällen, Ransom- und Malware, Exploits, Zero Days und viele andere gefürchtete Schadcodes zu identifizieren und rechtzeitig unschädlich zu machen. Um keinen falschen Alarm auszulösen, besteht zudem die Möglichkeit, an den Netzwerkendpunkten – also etwa an Maschinen- oder Geräteschnittstellen – Softwareagenten zu installieren, die Angriffswarnungen validieren und infizierte Endpunkte von Schadcodes bereinigen.

Fazit
Anwender, die Grundschutz und Datenverkehrsanalyse verbinden und ihre Schutzkonzepte systematisch und konsequent ent­wickeln, sind selbstverständlich noch immer nicht gegen jedes Risiko abgesichert. Einhundertprozentige IT-Sicherheit wird kein seriöser Anbieter versprechen können. Die bestehenden Risiken lassen sich mit diesen Mittel aber so weit reduzieren, dass IoT-Anwendungen ohne größere Bedenken möglich sind. Eine Ausnahme können Kritische Infrastrukturen wie etwa eine AKW-Steuerung darstellen. Hier kann es in Einzelfällen aus Sicherheitsgründen geboten sein, auf IoT-Einbindungen vollständig zu verzichten.