Das BSI klagt in seinem aktuellen Sicherheitsbericht, dass IT-Sicherheit bei IoT-Geräten keine oder nur eine untergeordnete Rolle spielt. Was muss die Politik gegen die Gefahr aus den vernetzten Alltagsgeräten tun?
Unsichere IoT-Geräte, wie Video-Kameras für zu Hause, wurden für einen sehr erfolgreichen DDoS-Angriff genutzt, ohne dass dies die Besitzer merkten. Dies liegt daran, dass die Besitzer diese Aktivitäten nicht einfach erkennen können und den IoT-Geräte in der Regel eine sehr hohe Bandbreite zur Verfügung stehen. Das sind ideale Voraussetzungen für einen leistungsstarken DDoS-Angriff.
Es ist völlig klar, dass die Hersteller von IT-Technologien und -Diensten eine hohe Verantwortung übernehmen und alles tun müssen, dass ihre Produkte sicher und vertrauenswürdig sind, damit solche Angriffe nicht umgesetzt werden können. Produkt- und Produzentenhaftung gibt es zwar heute schon. Die Politik muss aber dafür sorgen, dass diese deutlich ernster genommen werden und sollten auch veranlassen, dass diese Haftung im IT-Bereich deutlich konsequenter verfolgt wird, um die Probleme, die das BSI aufgezeigt hat, zu verhindern.
Unsichere IoT-Geräte schaden nicht nur dem Eigentürmer selbst, da sie laut BSI häufig für Attacken genutzt werden. Wer sollte in diesem Fall perspektivisch haften?
Hier ist völlig klar, dass die Hersteller von IoT-Geräten dafür die Verantwortung tragen müssen, wenn der Nutzer (Eigentümer) nicht absichtlich das IoT-Gerät manipuliert hat. Der Handlungsbedarf für die zur Verfügungsstellung sicherer und vertrauenswürdiger IoT-Geräte ist sehr groß und absolut notwendig. Wenn die IoT-Geräte nicht deutlich sicherer werden, können wir das Internet nicht weiter nutzen. Stimmen aus den USA rufen sogar nach einer Zulassung für die Nutzung von Internet-fähigen IT-Geräten.
Ebenfalls bedenklich sind aus Sicht des BSI Mobilgeräte, deren Betriebssystem oder deren Apps nicht auf aktuellem Stand sind. Sehen Sie hier Regelungsbedarf für Anbieter solcher Software?
Auch im Bereich von Betriebssystemen und Apps von Smartphones trifft das gleich zu. Die Hersteller müssen ihre Mobilgeräte und Apps so ausliefern, dass die Nutzer diese, ohne einen Schaden zu erleiden, nutzen können und auch keine anderen geschädigt werden. Auch hier gilt, Produkt- und Produzentenhaftung müssen deutlich ernster genommen werden und sollten auch bei mobilen Endgeräten konsequenter verfolgt werden
Bedenklich sind laut dem Bericht auch unsichere Verbindungen in öffentlichen Netzen. Wie sollten öffentliche Hotspots künftig besser gesichert werden?
Bei öffentliche Hotspots können wir die Sicherheit und Vertrauenswürdigkeit in vielen Fällen nicht richtig einschätzen. Ob der Hotspot mit dem Namen „cafe“ ein vertrauenswürdiger Hotspot des Cafes ist, in dem wir gerade sitzen, oder von einem böswilligen Hacker speziell für einen Angriff eingerichtet worden ist, können wir nicht so einfach beurteilen.
Aus diesem Grund sollten wir uns nur in Hotspots einwählen, bei denen wir sicher sind, dass sie echt sind und wir die Vertrauenswürdigkeit einschätzen können. Im Cafe können wir nachfragen, ob der Hotspot zum Cafe gehört.
Wir sollten auch darauf achten, dass sich unsere Endgeräte nicht automatisch in „bekannte“ Hotspots einwählen, weil mache Angreifer alle gängigen Hotspots „simulieren“ und genau darauf spekulieren, dass sich die Endgeräte automatisch in diese Falle einwählen. Dann haben die Angreifer in vielen Fällen die Möglichkeit, erfolgreich zu manipulieren und uns zu schädigen.
Also W-LAN nur einschalten, wenn auch eine Kommunikation mit einem vertrauenswürdigen Hotspot realisiert werden soll.
