Zwei Seiten einer Münze

Je einfacher ein Gerät ins Internet eingebunden werden kann, um Teil des Internets-of-Things zu werden, desto einfacher ist es auch, dieses Gerät via Internet anzugreifen. Aber wie kann man internetfähige Produkte anwenderfreundlich und zugleich sicher machen? Dieses Themenfeld wurde am 17. November 2016 an der Software-Engineering-Tagung der ITG von Electrosuisse diskutiert. Mögliche Gefahren, relevante Massnahmen und aktuelle Applikationen wurden auf praxisnahe Weise vorgestellt.

Bedrohungen

Die Perspektive des Angreifers stand im Vortrag von Ivan Bütler, CEO Compass Security, im Vordergrund. Bütler erläuterte die diversen Angriffsmöglichkeiten über das Internet und demonstrierte die meisten davon live mithilfe preisgünstiger Geräte, um die Brisanz der Situation aufzuzeigen. Angriffe aller Art liegen an der Tagesordnung und entsprechende Abwehrmassnahmen sollten stets angewendet werden. Oft fehle zudem das nötige Bewusstsein, um die Tragweite von Handlungen abschätzen zu können, beispielsweise wenn beim Nutzen von WLAN in unvertrauten Umgebungen Sicherheitswarnungen ignoriert werden und man unbeschwert weiter surft. Man-in-the-Middle-Attacken haben so ein leichtes Spiel.

Daten- und physischer Schutz

Smart Metering ist auch ein Thema, das Sicherheitsdiskussionen auslöst. Markus Gübeli, Magspin Innovation, schilderte einen grossen Rollout  von elektronischen Zählern in den Niederlanden, bei dem Einsprachen vom Konsumentenschutz dazu führten, dass das Gesamtkonzept nochmals überprüft wurde. Das Resultat: Man beschloss, deutlich weniger Zählerdaten zu kommunizieren, damit sich das Nutzerverhalten nicht aus ihnen ableiten lässt. Gemäss Gübeli standen bisher Sicherheitsfragen bei Smart Metern eher im Hintergrund, denn man nahm an, das niemand an den unverschlüsselt verschickten Datenströmen interessiert sein könnte.
Das industrielle Umfeld stand im Fokus der Präsentation von Christopher Ganz, ABB. Er erläuterte, wie das industrielle Internet zwar eine Chance ist, aber auch ihre Tücken hat, denen man begegnen muss. In der Industrie stellen aber auch konventionelle Angriffe eine Herausforderung dar. Diese können beispielsweise daraus bestehen, dass sich jemand als Servicetechniker ausgibt und Zugang zum Unternehmen gewinnt, um bei einem bestimmten Gerät einen Stecker zu ziehen. Die Schäden machen sich meist schneller bemerkbar als Cyberangriffe, können aber auch grosse Schäden verursachen, beispielsweise bei der Aluminiumherstellung, wenn der verarbeitete Strang abkühlt und auf zeitraubende Weise entfernt werden muss. Eine Gesamtperspektive, die auch nicht-IT-Angriffe berücksichtigt, ist also nötig.

Schon bei der Planung berücksichtigen

Andreas Moser, Cisco, betonte, dass Sicherheitsbetrachtungen bereits bei der Planung einer IoT-Lösung beachtet werden müssen. Nachträglich lassen sich gewisse Aspekte nicht mehr berücksichtigen. Auf das Apple Homekit, der IoT-Technologie von Apple für das Smart Home, ging Cuno Pfister, Oberon Microsystems, ein. Seine Herausforderung: das Integrieren des Homekit in einen preiswerten Mikrocontroller. Zum Abschluss erläuterte Patrick Eigenmann, Dorma+Kaba, wie Cloud Computing nicht nur nützlich ist, sondern auch sicher gestaltet werden kann. Auch er betonte, dass die Sicherheit nicht nachträglich hinzugefügt werden kann, sondern dass die Entwicklung der Systemarchitektur die Sicherheit von Anfang an berücksichtigen muss – eigentlich das Fazit der gesamten Tagung. Wird Sicherheit als inhärenter Aspekt des Systems realisiert, ist es einfacher, sichere Systeme mit hoher Usability zu schaffen. Die Entwicklung wird in diesem Sinne stets ein interdisziplinärer Prozess bleiben, bei dem sowohl die Sicherheit als auch die Anwenderfreundlichkeit eine hohe Priorität geniessen.