Always-On, aber nicht sicher

33 Milliarden Geräte werden bis 2020 laut Gartner “Always-On”, das heißt. ständig und überall mit dem Internet verbunden sein. Gemessen am heutigen Stand, ein rasanter Anstieg. Allerdings wächst nicht nur die Zahl der Geräte, sondern auch die der möglichen Angriffe auf diese. Und die traurige Wahrheit ist: die versprochene beziehungsweise erwartete Sicherheit ist trügerisch, weil es für die mit Always-On einhergehende Herausforderungen keine fertigen, überzeugenden Lösungen gibt.

In der Internetindustrie, im Marketing, dem Support oder im Kundenservice – Always-On ist seit knapp zehn Jahren das Konzept nach dem Unternehmen ihre Geschäftsprozesse und Verbraucher ihr Nutzungsverhalten ausrichten.  Wobei “ausrichten” vielleicht nicht den Punkt trifft, setzt dies doch eine bewusste Entscheidung voraus. Und das ist oftmals nicht der Fall.

Denn Always-On sind heute nicht nur Geräte, von denen Anwender es wissen und erwarten, wie beispielsweise Router, Wifi Access-Points, Smartphones, PC oder Laptops, oder TVs, Radios, Kühlschränke. Sondern beispielsweise auch medizinische Geräte, Stromzähler, Heizungsregler, und – man glaubt es kaum -, seit neustem gibt es Grillgeräte die Always-On sind.

Und natürlich auch alle Geräte im Kontext von Industrie 4.0.  Sie alle loggen sich mal mit, mal ohne Nachfragen in die existierenden Netze ein. Always-On ist komfortabel, billig und generiert jede Menge Informationen – für Anwender wie für Unternehmen.

Allerdings sind Always-On Geräte genau denselben Gefahrenpotentialen ausgesetzt wie alle andere IT-Geräte im Internet: Hacking, Internet-Betrug, organisierte Kriminalität,  Cyber-Stalking, Industrie-Spionage oder auch Online-Durchsuchung.  Aber sie sind oft insgesamt schlechter geschützt: Anders als bei “traditionellen Geräten” bieten viele Always-On Geräte keine oder nur beschränkte Möglichkeiten zur Konfiguration.

Oftmals hat zudem die Operating- oder Embedded Software oder die dann eingesetzte Sicherheitsoftware erhebliche Schwachstellen, von denen die Hersteller zwar wissen, diese jedoch nicht schnell genug beheben können oder ob der Kosten gar nicht wollen. Oder die Security-Fixes sind nicht langfristig verfügbar, weil Hersteller sich entscheiden, eine Lösung nicht mehr zu supporten.

Erschwerend kommt noch hinzu, dass es oftmals unerforschbar und nicht dokumentierbar ist, warum und mit wem ein Always-On Gerät sich verbindet und welche Daten es empfängt und sendet.

Wer wie wir eine Monitoring Software nutzt, hat noch die beste Chance, das mitzubekommen und wird dann oftmals überrascht. So wie beispielsweise ein Kollege, der feststellte, dass seine Heizung Daten nach Frankreich schickt, weil die Installateure sie kurzerhand mit einem vorhanden Switch vernetzten.

Und auch ich war verwundert, als ich feststellte, dass mein Handy eine Zeitlang regelmäßig morgens gegen 2.00 / 3.00 über eine Chatsoftware Daten versendet. Was und warum, habe ich damals nie rausbekommen.

Was kann man also tun? Zuallererst sich einen Überblick über die vorhandenen Always-On Geräte verschaffen! Um Klarheit darüber zu erhalten, welche sich im Netz befinden und welche Funktionen sie haben.

Anschließend sich darüber im Klaren werden, was ein Ausfall oder eine Manipulation dieser Geräte bedeuten würde, das heißt  abschätzen, welche Folgekosten durch einen Ausfall entstehen. Oftmals sind es aber gar nicht die Always-On Geräte selber, sondern die Daten darauf die besonders wertvoll oder sensibel sind. Als Beispiel sei an das “Fapgate” mit den Fotos von mehr oder weniger Prominenten erinnert.

Es muss also hinterfragt werden, was ein Verlust, die Manipulation oder die Veröffentlichung der Daten bedeuten würde?

Hat man diese Informationen zusammengetragen, kann man versuchen nach Wichtigkeit und Kosten sortiert die Always-On Geräte zusätzlich abzusichern: mit Einstellungen oder zusätzlicher Software. Oft wird man aber vor der simplen Entscheidung stehen, mit dem Risiko und evtl. Folgekosten zu leben oder das Gerät abzuschalten, weil es ganz einfach keinerlei Möglichkeit zur besseren Absicherung gibt.

Und auch mit großem Aufwand wird  es eine hundertprozentige Sicherheit nie geben, weder technisch noch durch Gesetzgebung. Und damit auch keinen permanenten Sicherheitszustand. Sicherheit ist immer ein Prozess und ein “Trade-Off” zwischen Sicherheitsbedürfnissen, Kosten und Komfort. Deshalb könnte es sinnvoll sein, Sicherheit einmal mit einem “Zero-Trust-Model” anzugehen.

Und das bedeutet folgendes: sicherstellen, dass auf alle Ressourcen sicher zugegriffen werden kann, unabhängig von der Location. Das kann beispielswese über VPN oder Netzwerksegmentierung erfolgen. Nach dem Prinzip der geringstmöglichen Berechtigungen verfahren und eine strenge Zugriffskontrolle auf das Netzwerk umsetzen, zum Beispiel in dem jede App auf einem Smartphone eine Zugriffsbeschränkung hat.  Und alle Zugriffe prüfen und dokumentieren (Security Information Management), wobei dies schnell in Terabytes von Informationen resultieren kann (die dann auch noch ausgewertet werden müssen).

Fazit: eine riesige Anzahl von Geräten ist Always-On im Internet und es wird dringend empfohlen sich einen Überblick über seine Geräte zu verschaffen, um dann Risko/Nutzen abzuwägen, weil viele dieser Geräte als Black-Box erscheinen, für die es keine Updates, adäquaten Sicherheitseinstellungen oder Zusatzsoftware gibt.