Wie groß ist die Sicherheitslücke durch IoT-Geräte?

Auch in deutschen Unternehmen laufen immer mehr smarte Devices übers Firmennetzwerk, leider oft ohne ausreichenden Schutz. Dabei gibt es einige Lösungen, die diese Sicherheitslücke leicht schließen könnten.

Haustiere können ein Sicherheitsrisiko in Unternehmen darstellen. Nicht etwa, weil der Hund der Marketingchefin oder die Katze des Sales-Verantwortlichen einen Server umwerfen oder ein Netzwerkkabel durchbeißen würde, sondern weil Frauchen oder Herrchen vielleicht einen smarten Futterautomaten angeschafft haben. Dieses Internet-of-Things-Gerät hängt nun am Firmennetzwerk, aber der Admin weiß von nichts. Und schon haben Hacker ein neues Einfallstor, das womöglich nicht abgesichert ist. So lustig das auch klingen mag, über IoT-Geräte in Netze einzubrechen, ist ein absolut realistisches Szenario. Kürzlich geisterte die Geschichte eines Casinos aus Las Vegas durch die IT-Medien, das Cyberkriminelle im Visier hatten. Dabei hackten sie sich über ein smartes Thermostat, das ein Aquarium für Zierfische überwacht hat, in das Firmennetzwerk. Die Fische sind dabei vermutlich nicht zu Schaden gekommen, wohl aber die Kundendatei des Casinos – die befindet sich nun in den Händen der Cyberdiebe.

Steigende Gefahr

Wie umfassend dieses Problem ist, hat der Sicherheitsanbieter Palo Alto Networks zusammen mit dem Marktforschungsunternehmen Vanson Bourne ermittelt. In ihrem IoT Security Report 2021 flossen Angaben von 1.900 IT-Entscheidern aus 18 Ländern ein. Dabei kam heraus, dass Cyberattacken über IoT-Geräte „größer und dreister“ geworden sind. Laut der Umfrage berichteten 78 Prozent der Befragten, die IoT-Geräte an das Netzwerk ihres Unternehmens angeschlossen haben, dass die Anzahl der IoT-Geräte im Unternehmen, die eigentlich nichts mit der Arbeit zu tun haben, zugenommen hat. Von intelligente Glühbirnen, Pulsmessern, vernetzten Fitnessgeräten, Kaffeemaschinen, Spielkonsolen und eben auch Haustierfutterautomaten war alles dabei. Im selben Maße hätten auch die Sicherheitsvorfälle im Zusammenhang mit IoT-Geräten zugenommen. In Deutschland sehen aber nur 23 Prozent der Befragten die Notwendigkeit, ihre Security Policy entsprechend anzupassen.

Tickende Zeitbomben

„Das Internet der Dinge bietet Unternehmen ungeahnte neue Möglichkeiten. Doch wer bekannte Schwachstellen über Jahre nicht stopft, riskiert mehr zu verlieren, als ihm lieb ist“, erklärt Thomas Uhlemann, Security Specialist bei ESET Deutschland – einer der Sicherheitsanbieter, mit denen CS.Hamburg zusammenarbeitet. „Hinzu kommt, dass veraltete IT-Veteranen wie Fritz!Fax immer noch in Betrieb sind, vermutlich ungepatcht. Allein in Deutschland werden noch mehr als drei Millionen aktiv genutzt.“ Der Sicherheitsexperte warnt vor den Gefahren, die von „vergessenen“ Geräten wie Webcams ausgehen: „Abgesehen von möglichen Sicherheitslecks werden viele IoT-Industriegeräte im Laufe der Zeit zur Gefahr. Denn ihre Lebensdauer ist auf Jahre beziehungsweise Jahrzehnte ausgelegt – und da passiert in puncto Sicherheit leider eine Menge. Insofern muss sich jedes Unternehmen gut überlegen, ob und wie es diese Geräte im aktiven Netzwerk mit dem Internet verbindet.“ Und gerade Webcams, die ans Netzwerk angeschlossen sind, bergen die Gefahr, wertvolle Informationen preiszugeben wie die IP-Adresse des Unternehmens, wenn Angreifer auf die Admin-Oberfläche gelangen. Der ESET-Manager spricht von einer „tickenden Security-Bombe“, die leicht entstehen kann, wenn Admins Geräte nicht inventarisieren und somit gar keine Übersicht über alle IoT-Devices im Unternehmen haben.

Immer raffiniertere Angriffe

„Die Angriffe auf kleine und mittelständische Unternehmen werden im kommenden Jahr ebenso zunehmen, wie die auf Städte und Gemeinden. Gerade auf kommunaler Ebene haben wir 2021 bereits eine deutliche Intensivierung der Angriffsszenarien verzeichnet – das wird sich in 2022 fortsetzen“, so Thorsten Urbanski. „Immer raffiniertere Angriffe, immer weniger Fachpersonal, immer mehr Gefahren durch das Home-Office: Mit den herkömmlichen Mitteln lässt sich diese gefährliche Gemengelage nicht erfolgreich bekämpfen. Ganzheitliches Denken im Sinne von Zero Trust Security ist nach unserer Einschätzung der einzig vielversprechende Ansatz. Unbedingt sollten IT-Verantwortliche in 2022 eine Fokussierung auf einzelne Angriffsvektoren vermeiden, da dies zwangsläufig zu einer eindimensionalen Abwehrstrategie führt. Weniger beachtete Bereiche, wie beispielsweise bestehende Schatten-IT oder eine fehlende IoT-Separierung, führen oft zu mindestens ebenso großen Sicherheitsrisiken. Hier gilt es, endlich Hand anzulegen“.

Was jeder tun kann

Wir von CS.Hamburg empfehlen daher unbedingt, eine Inventarisierungssoftware zu installieren. So behalten IT-Verantwortliche den Überblick und können nicht mehr genutzte oder veraltete IoT-Geräte aus dem Verkehr ziehen. Auch getrennte Netze können dabei helfen, das Risiko eines Angriffs einzudämmen. Gelingt der Einstieg über ein IoT-Gerät, kann der Angreifer sich bestenfalls nur in einem weniger wichtigen Subnetz bewegen. Generell gilt: Jedes Gerät im Netzwerk sollte mit demselben Sicherheitsanspruch behandelt werden wie PCs und Server.

IoT-Sicherheitslösungen, die wir empfehlen:

• Check Point IoT Protect identifiziert jedes IoT-Gerät im Netzwerk und bewertet dessen Risiko und verhindert den unbefugten Zugriff auf IoT-Geräte mit Zero-Trust-Segmentierung.
• ESET PROTECT Enterprise: Diese Lösung liefert einen sehr guten Überblick über alle Geräte im Unternehmensnetzwerk und bietet gleichzeitig einen Hochleistungsschutz in Echtzeit für alle Daten auf den Firmenservern.