Neue ­Bedrohungen und Aufgaben im IoT-/OT- Umfeld

Technische Systeme – von Fitnessuhren und Küchengeräten über Fahrzeuge und Gebäude bis hin zu ganzen Produktionsanlagen und Kraftwerken – werden zunehmend vernetzt, sei es für die Überwachung und Steuerung oder die intelligente Optimierung von Ressourcen. Damit werden diese komplexen Systeme Teil von ebenfalls bereits sehr komplexen, meist von anderen Organisa­tionseinheiten betriebenen ICT-Umgebungen, mit entsprechend neuen Schwachstellen und Sicherheitsanforderungen.
In der IoT-/OT-Welt lassen sich drei verschiedene technologische Umgebungen mit unterschiedlichen Sicherheitsanforderungen und -ausprägungen unterscheiden:

1. IoT (Internet of Things): Diese Lösungen kommunizieren meist mit Herstellern zugehöriger Dienste über das offene Internet. Sind diese Zugriffswege schlecht geschützt, resultieren Angriffsflächen etwa bei nicht intendierten Zugriffen auf Babyphones oder beim Abschalten des Legionellenfilters in einem über eine PVA vernetzten Heisswasserboiler. Ausgangslage ist aber immer die Erreichbarkeit «von aussen», das heisst, über Komponenten, die über das öffentliche Internet zugänglich sind.
2. IIoT (Industrial Internet of Things): Dies sind im einfachsten Fall Umweltsensoren, im gefährlichsten Fall komplexe Steuerungsanlagen, etwa im dezentralen Energiesektor. Sie sprechen meist mit einem definierten Gegenpunkt, der nicht für alle Akteure im Internet ersichtlich ist. Damit sind das Gefahrenpotenzial und auch die Sicherungsmassnahmen im Design und Betrieb fundamental unterschiedlich. Eine Gebäudesteuerung oder Alarmanlage kommuniziert etwa mit der Einsatzzentrale durchaus über das öffentliche Internet, aber üblicherweise verschlüsselt und die angesprochene API ist nicht für jeden Internetnutzer ansprechbar.
3. OT (Operational Technology): Hier geht es um die Steuerung von Produktionsvorgängen mit erheblichem und gegebenenfalls irreversiblem physischem Schadenspotenzial. Der Schutz basiert meist auf separaten internen Netzen und einer weitestgehend losgelösten Infrastruktur, wobei sicherzustellen ist, dass keine inoffiziellen Übergänge durch technische Verbindungen oder Transfer mittels USB-Sticks etc. geschaffen werden (für das Monitoring, die Erstellung digitaler Zwillinge, Machine Learning etc.). Leider kommt es inzwischen häufig vor, dass OT zugeordnete Systeme beziehungsweise deren Nutzerschnittstellen im Internet als kompromittierte Komponenten auftauchen – hierfür gibt es mit «Shodan» sogar eine eigene, öffentlich zugängliche Suchmaschine. Das ist zwar kein Problem der OT selbst, sondern meist das Resultat einer schlecht gewarteten IT, muss jedoch in der Ende-zu-Ende-Kette der Informationssicherheit und des Datenschutzes ebenfalls berücksichtigt werden.

Sowohl die Hersteller als auch die Integratoren und Betreiber dieser Infrastrukturen haben schützenswerte Güter – sei es eigenes oder ihnen anvertrautes geistiges Eigentum. Zudem müssen die entsprechenden Dienste im Kontext globaler Versorgungsketten zunehmend «7 x 24» ausreichend sicher und performant verfügbar sein und bleiben. 

Für die Erbringung von entsprechenden Sicherheitsdienstleistungen (Testing, Überwachung, Incident Response etc.) muss aus heutiger Sicht sehr viel mehr Kontextwissen über die Hard- und Softwarearchitekturen, Protokolle, Schnittstellen, Entwicklungs- und Testwerkzeuge, Anwendungsszenarien, Kritikalität, Sensitivität etc. bis hin zu nachvollziehbaren «Good Practices» für sicheres Design und sicheren Betrieb aufgebaut werden. So hat etwa der IoT Business Hub kürzlich einen Ausschuss «Datenschutz & Cybersecurity» ins Leben gerufen. Jedoch dürfen diese Vorgaben die wirtschaftliche Entwicklung und den Betrieb der entsprechenden Lösungen nicht verunmöglichen. Dies in der komplexen Verbindung von ICT und IoT/OT sicherzustellen, ist eine erhebliche und nicht leicht zu bewältigende Herausforderung – so hat z.B. der IoT Business Hub kürzlich einen Ausschuss «Datenschutz & Cybersecurity» ins Leben gerufen.