Ungeschützte Software im Internet der Dinge

Claudia Eckert, Leiterin des Fraunhofer-Instituts AISEC in München, das sich auf das Thema Sicherheit im IoT spezialisiert hat, weist darauf hin, dass die fehlende Abkapselung der Betriebssoftware ein großes Problem darstellt. Das betrifft nicht nur Automobilhersteller, sondern auch die verarbeitende Industrie und ihre Produk­tionsanlagen. „Vorausgesetzt man kennt ansatzweise die Funktionsweise dieser Systeme, kann man sie momentan angreifen, da die ganze eingebettete Software noch nicht auf die Sicherheitsanforderungen des IoT getrimmt worden ist“, sagt Eckert.

Das AISEC hat ein Verfahren entwickelt, das mit Hilfe eines Kryptografie-Chips von Infineon eine solche zusätzliche Sicherheitsstufe für Produktionsmaschinen vorschaltet.

Die Notwendigkeit für diese zusätzliche Sicherheitsstufe wird umso deutlicher, wenn man bedenkt, dass der Kommunikationskanal mit der Außenwelt das mit Abstand am meisten bevorzugte Einfallstor für Hacker ist – und die Erfahrung zeigt, dass kein Kommunikationskanal absolut sicher ist.

Der erwähnte Jeep wurde über sein Mobilfunkmodul geknackt, über das er auch Updates für seine Software erhält, das Präzisionsgewehr über seine WLAN-Verbindung, ein Elektro-Skateboard über die Bluetooth-Verbindung mit seiner Fernsteuerung.

Olaf Mischkovsky, Sicherheitsexperte bei Symantec, gibt zu bedenken, dass selbst Mobilfunkprotokolle nicht immer wasserdicht sind: „Mittlerweile weiß man, dass man auch GPRS (General Packet Radio Service) hacken kann, wenn auch etwas aufwendiger.”

Ein weiteres Problem bei der Absicherung von IoT-Geräten liegt in der Technik selbst. „Nehmen Sie als Beispiel ein Modul für die SSL-Verschlüsselung, das gemäß der definierten Security-Spezifikation entwickelt und in großer Zahl in Autos verbaut wurde“, so Mischkovsky. „Wenn sich im Nachhinein herausstellt, dass diese Art der SSL-Implementation gehackt werden kann, haben Sie ein Problem. Das Problem ist umso größer, wenn sich die Komponenten nicht im Nachhinein auf den Stand der Technik aktualisieren lassen. Dann ist der Autohersteller gezwungen, das Modul auszutauschen, aber das kann natürlich nicht von heute auf morgen passieren.“

Ist ein Angreifer erst bis zur Betriebssoftware vorgedrungen, stehen ihm viele Möglichkeiten offen. „Kaum ein Hersteller von intelligenten Geräten oder Autos entwickelt sein eigenes Betriebssystem, sondern nimmt ein Produkt wie QNX oder eine spezielle Version von Linux oder Windows. Werden Schwachstellen in diesen Betriebssystemen entdeckt, ist das Gerät oder das Fahrzeug damit auch unsicher.“