Smart Home: Die Systeme werden komplexer – die Sicherheit auch

Das Thema IT-Sicherheit wird im Zeitalter zunehmender Vernetzung immer bedeutender. Die ElektroWirtschaft sprach mit einem Experten: Marco Preuss, Leiter des europäischen Forschungs- und Analyse-Teams bei Kaspersky Lab.

ElektroWirtschaft: Vor mehr als vier Jahren, auf der SPS in Nürnberg, hat Ihr Chef, Jevgeni Kaspersky, das Statement abgegeben, dass das Internet sicher werden muss, sonst können wir es vergessen. Ist es sicherer geworden?

Marco Preuss: Leider ist das Internet nicht sicherer geworden. Wir haben aktuell das Problem, dass wir im Internet immer mehr Geräte haben, die vernetzt sind und damit immer mehr Bedrohungsszenarien eingeführt werden, weil viele der Geräte nicht die entsprechenden Sicherheitsmaßnahmen beinhalten. Auch beim Smart Home sieht man, dass diese Geräte gewisse Grundbausteine für Sicherheitsfunktionalitäten noch nicht haben. Das fängt bei Updates an: Gibt es überhaupt die Möglichkeit, wie lange werden sie bereitgestellt, wie ist die Reaktionszeit? Das geht über Autorisierungsmechanismen, Default, Datenschutz und die Frage wie man seine ganzen Geräte managt, die man im Haus hat und die von unterschiedlichen Herstellern kommen. Die Nutzer sind in der Regel keine Informatiker oder Elektroniker, daher müssen sie diese Systeme einfach und normal bedienen können. Aber da hat jeder Hersteller sein eigenes App oder unterschiedliche Verwaltungsmechanismen.

ElektroWirtschaft: Wen hätte der Nutzer denn als Ansprechpartner für Probleme mit der Funktion? Firma Kaspersky doch wohl eher nicht?

Marco Preuss: Auch wir haben ja keine Möglichkeit, auf diese Geräte zuzugreifen, um grundlegende Sicherheitsmaßnahmen durchzuführen – da ist die Lücke. Ein Schließen dieser Lücke scheint nur über einen Weg möglich zu sein – über Regulierung. Es müssen einfach grundlegende Funktionalitäten vorgeschrieben werden für die Geräte, die auf den europäischen Markt kommen. Wir reden jetzt viele Jahre über IoT und über Sicherheit im IoT und aus unterschiedlichen Bereichen von Schwachstellen über Zertifizierungsprobleme etc. Es gibt manche Hersteller, die tun etwas, einige tun ein bisschen und einige tun gar nichts. Die Systeme werden immer komplexer, es gibt immer mehr von den Systemen, das heißt, wir müssen zwangsläufig über Standards reden, über Schnittstellen, über Plattformen und das muss dann letztendlich irgendwo vorgeschrieben werden, wie wir es ja in anderen Bereichen auch haben. Wenn sie z.B. die Elektrotechnik nehmen, gibt es mit den VDE-Bestimmungen Vorschriften, welche Standards Geräte und Anlagen erfüllen müssen. So etwas gibt es in der Informationselektronik nicht. Auch das Bundesamt für Sicherheit in der Informationstechnologie (BSI) ist nur eine beratende Institution. Das BSI ist eine hervorragende Behörde und sie hat auch die entsprechende Kompetenz, beratend aufzutreten und Mindeststandards zu definieren. Aber es muss auf europäischer Ebene regulatorisch für den Markt vorgegeben werden, was verpflichtend ist. Im IoT-Bereich haben wir Hersteller, die in der kompletten Welt verstreut sind. In den letzten Jahren haben wir gesehen, dass Selbstverpflichtungen nicht angenommen wurden.

ElektroWirtschaft: Wächst der Markt zu schnell um eine Regulierung vornehmen zu können? Schließen sich Disruption und Regulierung nicht aus?

Marco Preuss: Regulierung ist zuerst einmal unabhängig von der Technologie. USB ist die Standardisierung für eine Schnittstelle, WIFI ist der Standard für drahtlose Kommunikation. Ich spreche hier von ähnlichen Grundlagen, die festgeschrieben werden müssen für den Bereich Sicherheit und Datenschutz im IoT. Wenn ich zum Beispiel eine Schnittstelle habe, an der ich überprüfen kann, welche Softwareversion auf diesem Gerät installiert ist, hilft das mehr, als wenn der Anwender zu jedem einzelnen Gerät auf die Oberfläche gehen muss, um zu prüfen, ob diese Funktionalität überhaupt gegeben ist und woher er ein Update bekommen kann.

Ich denke, Regulierung ist möglich. Wir haben mit dem BSI oder elisa Institutionen mit der entsprechenden Kompetenz, grundlegende Schnittstellen zu definieren. Wir sprechen von dem Problem, dass Security erst einmal nicht vorhanden ist, und wir erst die Grundlagen schaffen, um uns in Richtung Lösung zu entwickeln. Ich spreche dabei vorerst nur von “Awareness”, dem Bewusstsein sowohl in der Gesellschaft als auch auf politischer Ebene, dass hier ein Handlungsbedarf besteht, dem hier Rechenschaft getragen werden muss.

ElektroWirtschaft: Die Politik reagiert der Erfahrung nach nur auf Druck, wenn Menschen ihre Probleme verstehen und an die Politik kommunizieren. Ist denn dieses Bewusstsein schon bei den Anwendern angekommen?

Marco Preuss: Viele Leute sehen nicht, was hinter diesen Technologien steht, weil sie nicht die Kenntnis davon haben und so den “Need” nicht sehen, für Sicherheit zu sorgen. Wir sprechen zum Beispiel schon seit längerer Zeit von KRITIS (Betreiber kritischer Infrastrukturen), über Energieversorger und dass sie geschützt werden müssen. Wir hängen alle am gleichen Netz. Wenn wir uns jetzt vorstellen, dass wir ein großes Botnetz von IoT-Geräten haben, sind es dieses Mal meinetwegen Kaffeemaschinen, die dann eine DDoS-Attacke gegen einen Energieversorger treiben und die dann Störungen im Stromnetz verursachen. Wollen wir es wirklich so weit kommen lassen? Deshalb sollte das Bewusstsein für Bedrohungen da sein. Ich meine, wir haben auch im politischen Bereich Experten, die so etwas sehen und dort aktiv sein sollten.

ElektroWirtschaft: Sie forschen bei Kaspersky für Sicherheit. Was verstehen Sie unter Sicherheit?

Marco Preuss: Wir sprechen hier von IT-Security. Wir analysieren Architekturen, Angriffe auf die IT, Technologien “Threat Intellgence” wie man auch dazu sagt, das sind unsere Kernthemen. Wobei auch die Threats im technologischen Bereich liegen. In Industrieanlagen geht es darum, dass diese Systeme entsprechende Prozesse durchlaufen, dass diese Prozesse stabil sind und nicht einfach wechseln. Bei uns geht es darum, Cyber­angriffe abzuwehren.

ElektroWirtschaft: Die aber im privaten Gebäude doch nur vereinzelt stattfinden – oder sehen Sie da verstärkte Aktivitäten?

Marco Preuss: Wir haben schon Angriffe gesehen, bei denen man gemerkt hat, dass Geräte von Privatanwendern übernommen und dann für weitere Angriffe missbraucht wurden. Wir sehen immer mehr mathematisierte Angriffe in diesem Bereich in immer neuen Varianten, und es ist schwer, irgendwo anzusetzen, weil es einfach keine wirkliche Handhabe gibt, um den Nutzern zu helfen. Die Leute wollen smarte Geräte – das macht ja auch Sinn – und wir müssen sehen, dass wir das Level der Sicherheit voranbringen.

ElektroWirtschaft: Ist die Industrie da aufmerksamer und problembewusster?

Marco Preuss: Die KRITIS-Verordnung hat Einfluss gehabt, aber es ist immer die Frage, wie es dort gesehen wird und wie es dann vorangetrieben wird. Die Meldepflicht hat einen gewissen Grad an “Awareness” geschaffen, aber es gibt keine weitere Verpflichtung, Industrieanlagen, die nicht in den Bereich KRITIS fallen, zu schützen.

ElektroWirtschaft: Was kann man in puncto Sicherheit noch erwarten? Wohin geht die Zukunft?

Marco Preuss: Wir haben einerseits das riesengroße Thema IoT, das uns die kommenden Jahre nicht verlassen wird, und daneben haben wir die klassischen Angriffe im Bereich Mobile Devices und Computer. Gerade Erpressungsversuche mit unterschiedlichen Methoden, ob das Ransomware ist oder ähnliche Bedrohungsszenarien, die aufgebaut werden. Auf der anderen Seite stehen auch die stetigen Angriffe im professionellen Bereich, wo Firmen angegriffen werden, Finanzdienstleister und auch Kryptoexchanges, um dort entsprechend Geld oder Informationen abzuschöpfen. Es werden ganze Plattformen erobert. Nicht mehr klassisch Windows, sondern auch alternative Systeme sind mittlerweile im Fokus, weil der komplette Bereich geldgetrieben ist. Da geht es um Schwachstellen oder Social Engineering, d.h. Leute werden dazu getrieben, bestimmte Aktionen durchzuführen, ohne zu wissen, was das später für Implikationen haben kann. Der Human Factor ist nach wie vor ein ganz wesentlicher Punkt für die Sicherheit.

Peter Respondek