Vernetzte Einrichtungen bieten neue Angriffsziele

Wer weiß – außer einem selbst – womöglich noch, wie warm es im Büro ist? Diese Frage stellte sich vor der Entwicklung aktueller Smart-Building-Module nicht. Heute allerdings beherbergen immer mehr Gebäude schlaues Inventar – und bieten Cyberkriminellen somit neue Angriffsflächen. Normen und Sicherheitsstandards suchen Gebäudeplaner und Lenker der digitalen Transformation nahezu vergeblich. Um Smart Buildings in Zukunft zu planen, braucht es daher vereinheitlichte Sicherheitskonzepte.

Bis 2020 wird es weltweit mehr als 20 Mrd. Geräte geben, die mit dem Internet verbunden sind1). Der Anteil an netzwerkfähigen Apparaten in Gebäuden, wie beispielsweise Sicherheitskameras oder Heizanlagen, ist nicht gering. Allerdings verzeichnen die Märkte für smarte Einrichtungen und für zugehörige Sicherheitsvorkehrungen ein ungleiches Wachstum. Gebäude und ihre smarten Infrastrukturen sind bis jetzt nicht dafür geplant und ausgelegt, sich im IoT-Universum zu vernetzen. Eindringlingen fällt es durch die fehlende Balance des Entwicklungsstandes bei zu vielen Produkten und zu wenigen Sicherheitsnormen leicht, in Smart Buildings einzudringen. Nie dagewesene Ziele wie Brandmeldeanlagen oder Videoüberwachungssysteme erweitern das Arsenal der Cyberkriminellen. Angreifer nehmen erfahrungsgemäß stets den leichtesten Weg – und dieser führt zunehmend über Smart Devices an sensible Ziele. Bezieht man bei diesen Gedankenspielen Gebäude mit kritischen Infrastrukturen – also Wasserwerke, Flughäfen oder politische Stützpunkte – mit ein, zeigt sich die Brisanz umso deutlicher.

Fundament muss stabil sein
Der Ursprung dieser Zustände liegt bei solchen Herstellern von Smart-Home-Technik, die nicht schon zu Beginn der Entwicklung darauf achten, Sicherheitskonzepte einzuarbeiten. Verwendet werden teilweise gering geschützte, cloudbasierte Basis-Plattformen zur technischen Umsetzung und Steuerung der Produkte. Dass Hacker hier auf Sicherheitsmängel stoßen, ist nicht nur technisch, sondern vor allem konzeptionell bedingt.
Auch der „Chaos Communication Congress 2018“ beschäftigte sich in mehreren Vorträgen mit den Sicherheitslücken von internetfähigen Dingen und bot Lösungsvorschläge an2). Kongressteilnehmer stellten ein schwerwiegendes Sicherheitsmanko vor: Verschiedene Fabrikanten verwenden für ihre Leuchtmittel und Steckdosen neben dem gleichen Wi-Fi-Modul auch die gleiche Basis-App. Diese stark verbreitete Basis-Plattform folgt selbst einfachsten Sicherheitsregeln nicht und weist gravierende systematische Mängel auf, die Anwender unnötig gefährden. Es gibt Hersteller, die vermitteln nur spärliche IoT-Sicherheitsexpertisen an Gebäudeplaner. Die Leichtigkeit des Kaufs und der Installation solcher leuchtenden oder heizenden Sicherheitsrisiken bieten Cyberkriminellen fruchtbaren Boden.
Hinzu kommt, dass manch Erbauer den sicherheitsbewussten Benutzern keinen Freiraum geben, indem sie Passwörter zur Steuerung der smarten Geräte in die firmeneigene Software festschreiben. Weder das Ändern zu einem sichereren Passwort, noch das Deaktivieren solcher Funktionen planen sie ein. Immobilien mit Mindesthaltbarkeitsdatum? Software-Firmen müssen eine transparente Informationspolitik praktizieren und dem Kunden genau aufzeigen, wie lange Support und Software-Updates verfügbar sein werden.
Während europäischen Konsumenten durch TÜV, GS und DIN-Normen die Kaufentscheidung von beispielsweise Waschmaschinen mit der Ampeldarstellung zum Stromverbrauch erleichtert wird, sieht es bei Smart-Home-Technologien anders aus. „Doch bei Geräten, mit denen man ‚das halbe Internet lahmlegen‘ kann, werden den Käufern wichtige Differenzierungskriterien vorenthalten“, sagt Mirko Vogt vom „Chaos Computer Club“3). Mit dieser Aussage, die sich ursprünglich auf Sicherheitsrichtlinien von Routern bezieht, bringt es der IT-Experte auf den Punkt. Es gibt meiner Ansicht nach aktuell keine Sicherheitsstandards und Normen für Smart-Home- und Smart-Building-Module. Neben der genauen Kommunikation zu Sicherheitsupdates brauchen die Kunden mehr Freiheit – beispielsweise die Wahl, freie Open-Source-Software aufzuspielen, um Autarkie und Kontrolle über das eigene System zu erlangen.

Ansätze für mehr Sicherheit
Von Herstellerseite müssten gängige Standards zur Prüfung von Gerätesicherheit und Tests zur IT- und Datensicherheit ergänzt werden. Bei Definition und Festlegung möglicher Normen fehlt weltweit noch der gemeinsame Nenner. So stehen Planer und Anwender in der Pflicht, eine einheitliche Basis der Cyber-Security zu finden und festzulegen. Für eine nachhaltig hochwertige IT-Sicherheit sollte die Verantwortung bei der Planung von Smart-Home-Systemen in die Hände von IT-Security-Experten wandern.
Grundvoraussetzung für IT-Sicherheit ist die Netz-Segmentierung über virtuelle Netze, sogenannte VLANs. Bei dieser Methode existieren mehrere autarke Netze innerhalb eines übergreifenden physischen Netzes. Im Anwendungsfall Smart Building umfasst beispielhaft das VLAN-Segment „Computer“ alle Komponenten, wie Arbeitsrechner, Server und Tablets.  Das zweite Segment – „Überwachung“ – umfasst die Devices, wie Kameras der Video­überwachung, und das dritte – „Video“ – den Fernseher mit seinen Videostreaming-Diensten. Zu guter Letzt umfasst das vierte Segment – „Klima“ – die Heizungssteuerung. Wird nun das zweite Segment von einem Hacker angegriffen, hat dieser zwar Zugriff auf das Überwachungssystem, erhält aber nicht automatisch Zugriff auf die anderen IT-Strukturen, die womöglich brisantere Daten enthalten. Durch diese Technik können Sicherheitsbeauftragte zumindest teilweise ihr System schützen und vor größeren Infiltrierungen bewahren.

Allgegenwärtiges Misstrauensmodul
Neben der Segmentierung wirkt ein weiteres Konzept bei Smart Buildings: das „Zero-Trust“-Modell. Es steht für allgegenwärtiges Misstrauen gegenüber allen Benutzern, Geräten und Diensten – nicht nur im eigenen Netzwerk. Somit wird wirklich niemandem vertraut. Kein Datentransfer, keine Anmeldung bleibt in diesem Modell ungeprüft. Das Augenmerk liegt auf einer strengen Authentifizierungspflicht für alle Nutzer und Dienste über Identity Management. Der IT-Sicherheitsmarkt stellt hierfür spezielle IAM-Systeme („Identity and Access Management“) bereit. Darüber lassen sich Berechtigungen für alle Mitarbeiter eines Unternehmens verteilen und organisieren. „Zero Trust“ dient dazu, so viele Risiken wie möglich für smarte Einrichtungen einzudämmen – sowohl externe Bedrohungen als auch interne.
Baustein drei für ein tragfähiges IT-Sicherheitskonzept im Gebäude ist funktionierendes „Patch Management“. Da jedes Gebäude individuelle Eigenschaften mit sich bringt, bedürfen die vernetzten Komponenten einer gewissen Anpassungsfähigkeit. IT-Verantwortlichen muss es möglich sein, innerhalb des Netzwerks Software-Komponenten zu lokalisieren, die Sicherheitsupdates oder andere Optimierungen benötigen. Systemadministratoren, die für intelligente Elektrotechnik Verantwortung übernehmen, müssen Sorge tragen, dass sie alle smarten Bestandteile permanent auch über eine gesicherte Remoteverbindung erreichen, Schwachstellen erkennen und schadhafte Anwendungen deaktivieren können.

Vorausschauen bei neuen Bauvorhaben
Bereits jetzt bilden sich Millionen von Sicherheitslecks, die es kooperativ zu bekämpfen gilt. Gebäudeplaner, Elektroinstallateure und IT-Experten sind in der Pflicht, sich dieser Herausforderung zu stellen, bevor unüberschaubar viele Smart-Building-Installationen zum weltweiten Sicherheitsrisiko werden. Schon während der Planungsphase eines Gebäudes müssen sie abschätzen, wie viel IT, wie viel Cloud-Zwang und Vernetzung im Smart-Device-Konzept steckt und wo damit verbundene Risiken lauern. Diese Bestandsaufnahme und Risikoabschätzung denken Planende und Entscheider in digitalen Transformationsprozessen zwingend mit. Denn nur ein individuelles Sicherheitskonzept gewährt jedem Gebäude mit seinem individuellen Risikoprofil und seinem spezifischen Level an kritischen Infrastrukturen den erforderlichen Schutz.

Autor: Pierre Gronau, Gründer und Inhaber der Gronau IT Cloud Computing GmbH in Berlin.
Er berät Enterprise-Unternehmen als IT-Sicherheitslotse.

www.gronau-it-cloud-computing.de

1) https://bit.ly/2Jt3qvd
2) https://bit.ly/2CFM4Wr#
3) https://bit.ly/2FreeG3