Security by Design

Wer Security-Anforderungen in Embedded-Systemen bereits bei der Konzeption berücksichtigt, spart teure Nachrüstungen und vermeidet Haftungsprobleme. Security by Design heißt das Vorgehensmodell der Stunde.

Anbieter zum Thema

MicroConsult Microelectronics Consulting & Training GmbH

Parasoft® Deutschland GmbH

RTI Real-Time Innovations

NewTec GmbH System-Entwicklung u. Beratung

Heizungen, Türschlösser, Alarmanlagen, Fernseher, Rasenmäher oder Autos: Immer mehr Geräte und Anlagen sind mit dem Internet verbunden. Die universelle Vernetzung im „Internet der Dinge“ (IoT) eröffnet riesiges Potenzial. Gleichzeitig wächst die Angst vor Missbrauch, denn immer wieder werden bei IoT-Geräten zum Teil gravierende Sicherheitslücken gefunden.

Daraus ergeben sich Bedrohungen auf mehreren Ebenen. Hacker könnten diese Geräte übernehmen und über das Netz steuern. Bei einem Kühlschrank ist das vielleicht eher lästig als gefährlich – aber bei einem Bremssystem im Auto oder einer implantierten Insulinpumpe hängen Gesundheit und Leben der Anwender von der Sicherheit des Gerätes ab. Zudem können Lücken in IoT-Geräten Hackern auch Zugang zu gesicherten Netzwerken verschaffen. Vor allem aber dienen solche Lücken auch häufig bereits dazu, die Geräte zum Bestandteil bösartiger Botnetze zu machen, mit denen Cyberkriminelle immer mächtigere DDoS-Attacken (Distributed Denial of Service). Viele IoT-Geräte sind leichte Ziele: Offene Telnet-Ports ohne Authentifizierung, voreingestellte Standard-Login-Daten oder fehlende Security-Updates sind nur einige Fehler, die Hersteller hier begehen.

Security by Design

Wenn Anbieter von IoT-Lösungen Imageverluste, Geschäftseinbußen und künftig auch Bußen und Haftungskosten vermeiden wollen, müssen sie daher bereits bei der Entwicklung ihrer Anwendungen die IT-Sicherheit berücksichtigen. Es empfiehlt sich, dabei nach dem Ansatz „Security by Design“ vorzugehen, der sich in der Softwareentwicklung bereits vielfach bewährt hat, u. a. bei Microsoft, Google, Adobe oder Oracle.

Security by Design heißt, dass Sicherheitsanforderungen schon vor Entwicklung eines Produktes genau analysiert und entsprechend berücksichtigt werden. An Funktionen wird nur implementiert, was tatsächlich gebraucht wird, und für alle bei der Bedrohungsanalyse identifizierten Szenarien werden schon im Produktkonzept entsprechende Sicherheitsvorkehrungen vorgesehen.

Denn Sicherheitsmaßnahmen nachträglich umzusetzen ist viel aufwändiger und teurer. Zudem schützt es nur unvollkommen – nur bis zur nächsten Lücke. Von der Softwarebranche können IoT-Gerätehersteller lernen, dass sich Anwendungen nicht komplett durch externe Schutzmaßnahmen wie Firewalls etc. absichern lassen. In den Anwendungen selbst ständig neue Sicherheitslücken in aufwändigen Patch-Zyklen zu schließen, kostet erheblich mehr, als von Anfang an sicher zu entwickeln. Trotzdem müssen natürlich System-Updates nach diesem Standard prinzipiell vorgesehen sein.

Erstellung einer Bedrohungsanalyse

Maßnahmen der IT-Security sollen Personen und Infrastrukturen vor Angriffen durch unberechtigte Nutzung, Datenmanipulation, Sabotage oder Datendiebstahl schützen. Dabei sind verschiedene Schutzziele von Bedeutung, die je nach Anwendung auf ihre Relevanz geprüft und berücksichtigt werden müssen. Dazu gehören die Datensicherheit und -integrität (Sicherung gegen Verlust und Manipulation), Datenschutz und -vertraulichkeit (Absicherung von Daten vor Missbrauch) und die Datenverfügbarkeit – Angriffe auf dieses Schutzziel führen in der Regel zu Systemausfällen.

Jede Komponente eines Netzwerks kann ein Einfallstor für Cyberkriminelle sein. Deshalb muss auch für jede Komponente eines IoT-Systems schon in der Frühphase der Produktentwicklung das damit verbundene Schadenspotenzial ermittelt und der Schutzbedarf bestimmt werden. Dabei wird zunächst die Art der Bedrohung analysiert: Welche Gefahren können die betreffende Komponente konkret betreffen – Manipulationen, Sabotage oder Datendiebstahl?

Um Risiken adäquat abschätzen zu können, müssen mehrere Faktoren bewertet werden: Welche Voraussetzungen bestehen müssen, damit ein bestimmter Angriff stattfinden kann, welche bekannten Schwachstellen bestehen, wie groß der Aufwand für einen erfolgreichen Angriff sein müsste und wie gravierend die Folgen eines solchen wären. Die Analyse richtet sich gleichermaßen auf technologische wie auf infrastrukturelle oder organisatorische Schwachstellen. Ziel ist es, eine möglichst erschöpfende Aufstellung der wahrscheinlichsten und schädlichsten möglichen Angriffe zu erhalten. Sie sagt, vor welchen Bedrohungen und Angriffsvektoren das Produkt vornehmlich zu schützen ist.

Bei der Bedrohungsanalyse wird auch das Risiko für verschiedene Angreiferprofile errechnet. Ein potenzieller Angreifer könnte etwa ein Hacker sein, ein Wettbewerber, Angestellter eines Dienstleisters (etwa des Cloud-Anbieters) oder ein unzufriedener Mitarbeiter. Daraus ergeben sich Annahmen darüber, welches Vorgehen ein Angreifer wählen wird, wie hoch seine Motivation einzuschätzen ist, welchen Schaden er anrichten kann und welche Erfolgsaussichten er hat. Aus all diesen Aspekten ergeben sich risikobasierte Prioritäten: Vor welchen Angreifern muss das Produkt vor allem geschützt werden?

Mit der Kenntnis der wesentlichen Bedrohungen und der gefährlichsten potenziellen Angreifer ist man in der Lage, für jede IoT-Komponente geeignete Maßnahmen zu ihrer Abwehr zu definieren. Das umfasst zum einen vorbeugende Maßnahmen, die Angriffe von vornherein unmöglich machen, als auch solche, die helfen, aktuelle Attacken zu erkennen und abzuwehren. Aus der Summe dieser Abwehrmaßnahmen ergeben sich die Security-Anforderungen, die konkret umzusetzen sind, um das IoT-Gerät abzusichern. Modul- und Systemtests sowie Netzwerk-Penetrationstests helfen festzustellen, ob die definierten Maßnahmen korrekt umgesetzt und wirksam sind.

Sicherheitsnormen als Hilfestellung

Verschiedene Normen und technische Standards geben Herstellern schon jetzt konkrete Hilfestellung, wie Sicherheitsanforderungen bei der Entwicklung umgesetzt werden können. Dazu zählen zum Beispiel IEC 62443 (IT-Sicherheit für industrielle Netze und Systeme), ISO/IEC 27001 (Anforderungen an das IT-Sicherheitsmanagement) oder ISO/IEC 27034 (Anwendungssicherheit). Noch halten sich viele Hersteller von IoT-Produkten nicht an diese Standards, weil sie nicht über das dafür notwendige Security-Know-how verfügen.

In Zukunft aber ist IoT-Herstellern auch aus Haftungsgründen dringend zu empfehlen, die veröffentlichten Normen und Standards zu berücksichtigen und neue Entwicklungen aufmerksam zu beobachten. Wenn Expertise oder Manpower dafür fehlen, kann man sich an erfahrene Dienstleister wenden, die tragfähige Security-Konzepte auch in zeitkritischen Entwicklungsprojekten systematisch implementieren.

Eins ist klar: Im anbrechenden digitalen Zeitalter werden wir mit einem gewissen Restrisiko leben müssen. Doch wir können und sollten dieses Restrisiko auf ein Minimum reduzieren. Mit Security by Design können Hersteller von IoT-Produkten für ihre Geräte gewährleisten, dass sie nach dem neuesten Stand der Technik abgesichert sind und allen geltenden Sicherheitsnormen entsprechen. Aber auch nach der Markteinführung sind sie weiterhin gefordert. Durch kontinuierliches und konsequentes Sicherheitsmanagement müssen sie sicherstellen, dass neue Bedrohungen schnell erkannt und Sicherheitslücken zügig geschlossen werden.

Bei Software-Anwendungen, die wir nutzen, sind Sicherheitsupdates der Hersteller längst selbstverständlich. Auch von ihren IoT-Geräten sollten Kunden erwarten dürfen, dass sich die Hersteller für die sichere Nutzung ihrer Produkte verantwortlich fühlen und dass sie ihre Firmware weiterhin warten, damit ihre Produkte nicht zum Sicherheitsrisiko werden. Mit zunehmendem Problembewusstsein angesichts großangelegter Cyber-Angriffe und der Medienberichterstattung darüber wird die Sicherheit von Geräten zu einem immer wichtigen Unterscheidungsmerkmal und Kaufkriterium werden.

Security by Design ist daher für IoT-Hersteller unverzichtbar: als Wettbewerbsfaktor ebenso wie als moralische Pflicht gegenüber Kunden und Gesellschaft.

* Achim Brunner ist Trainer und Berater für Systementwicklung bei NewTec.

(ID:44915714)