Das BSI klagt in seinem aktuellen Sicherheitsbericht, dass IT-Sicherheit bei IoT-Geräten keine oder nur eine untergeordnete Rolle spielt. Was muss die Politik gegen die Gefahr aus den vernetzten Alltagsgeräten tun?
Die Frage darf nicht nur an die Politik gerichtet werden: Cybersecurity ist eine gesamtgesellschaftliche Aufgabe, die uns alle betrifft und die von uns allen gemeinsam vorangetrieben werden muss. Wichtig ist dabei zu verstehen, dass Cybersecurity kein Produkt, sondern ein systemischer Prozess ist, der Bestandteil des täglichen Handelns werden muss. Darüber hinaus muss Cybersecurity funktionaler Grundbaustein von Komponenten, Produkten, Betriebssystemen und Software aller Systemkomponenten des IoT sein. Für uns als Technologieverband ist vor allem das Thema „Updatefähigkeit von Systemen des IoT“ ein wesentlicher Baustein für mehr Sicherheit im IoT, denn auch und gerade Bestandssysteme sind tägliche Angriffsziele. Die wirksamste Waffe gegen Cyberkriminelle ist in einem geschützten Umfeld - ehrlich über die Angriffe zu reden. Jeder Angreifer hinterlässt Spuren. Nutzen wir diese Spuren, werten wir diese gemeinsam aus und entwickeln wir gemeinsam wirksame Präventions- und Abwehr-Strategien. Und das können wir alle nur gemeinsam tun. Mit CERT@VDE leben wir diese Offenheit.

Unsichere IoT-Geräte schaden nicht nur dem Eigentürmer selbst, da sie laut BSI häufig für Attacken genutzt werden. Wer sollte in diesem Fall perspektivisch haften?
Dies ist grundsätzlich eine Frage für die Jurisprudenz. Für mich persönlich sollte in erster Linie natürlich der mit krimineller Energie behaftete, böswillige Angreifer haftbar gemacht werden. Allerdings sollten sich auch Hersteller der potentiellen Mitstörervorwürfe stellen, sofern diese den in den entsprechenden IT-Security-Normen abgebildeten Stand der Technik ignorant oder fahrlässig außer Acht lassen und daher beispielsweise die Anforderungen nach Sicherheitsupdates für ihre Produkte nicht erfüllen. Sicherlich gilt es auch zu diskutieren, inwiefern ein Privatkunde als Eigentümer haftbar ist, wenn er empfohlene Sicherheitsupdates, über die er ausdrücklich vom Hersteller informiert wurde, nicht einspielt. Somit kann ich nur allen beteiligten Unternehmen raten, sich intensiv mit der Implementierung effektiver Security-Konzepte zu beschäftigen und zwar jetzt.

Ebenfalls bedenklich sind aus Sicht des BSI Mobilgeräte, deren Betriebssystem oder deren Apps nicht auf aktuellem Stand sind. Sehen Sie hier Regelungsbedarf für Anbieter solcher Software?
Es kommt sicher auf das Einsatzszenario der Devices an. Mit anderen Worten: In welchem Umfeld werden diese betrieben und welches Risiko entsteht durch das „Nicht-Updaten“? Ist beispielsweise ein mobiles Gerät Bestandteil eines zugelassenen medizinischen Gerätes, so könnte ein Update unter Umständen zum Verlust der Zulassung für dieses Gerät führen. Eine Pflicht zum Update wäre in diesem Kontext daher nicht zielführend, da das Gerät anschließend einem erneuten Zulassungsprozess unterzogen werden müsste.

In anderen Bereichen könnte man bspw. in der Form eingreifen, dass Geräte, deren Softwarestand zu alt ist, nicht mehr mit dem Internet verbunden werden können, z.B. indem ein Mobilfunkanbieter nur noch Verbindungen zum Update-Server zulässt, bis der Kunde das Update eingespielt hat. Allerdings sind Anbieter der Software, deren Sitz nicht in Deutschland ist oder die im Fall von Open-Source-Projekten gar nicht als solche greifbar sind, ein denkbar schlechter Adressat von nationalen Regelungen. Daher propagiert der VDE, solche Aspekte auf Basis internationaler Normen und Standards zu lösen.

Bedenklich sind laut dem Bericht auch unsichere Verbindungen in öffentlichen Netzen. Wie sollten öffentliche Hotspots künftig besser gesichert werden?
Der Nutzer solcher öffentlichen Zugänge sollte eine Reihe grundsätzlicher Dinge beachten, um sich und seine Daten zu schützen. Die größte Sicherheitsbedrohung in frei zugänglichen WLANs ist die Möglichkeit für Hacker, sich zwischen ihr Gerät und den Zugriffspunkt zu schalten. Wir sprechen hier von sogenannten „Man in the Middle“-Angriffen: Anstatt direkt mit dem Hotspot zu kommunizieren, senden Sie Ihre Daten zunächst an den Hacker, der sie dann weiterleitet. Besitzt der Hacker diese Informationen erst einmal, kann er nach Belieben genau wie Sie auf Ihr System zugreifen. Und das jederzeit. Hacker nutzen ungesicherte WLAN-Verbindungen darüber hinaus auch zur Verbreitung von Malware: Wenn Sie über ein Netzwerk Dateien austauschen, ist es für Profis ein Leichtes, infizierte Software auf Ihrem Computer einzuschleusen.

Daher empfehle ich einige wenige Sicherheitsvorkehrungen, die ausreichen, um Ihre vertraulichen Informationen zu schützen:
- Nutzen Sie VPN
- Nutzen Sie SSL-Verbindungen
- Deaktivieren Sie Dateifreigaben auf Ihrem System
- Und nutzen Sie Ende-zu-Ende-Verschlüsselung

Und prinzipiell sollten Sie Ihr WLAN deaktivieren, wenn Sie es nicht benötigen. Dann bieten Sie kaum Angriffsfläche.