Es steht zu befürchten, dass Hacker-Kooperationen künftig zunehmen werden. © Pixabay

IoT und die Sicherheit

Sicherheitsforscher prophezeien, dass künftig zunehmend Serviceprovider ins Visier von Cyberangreifern kommen werden. Diese hätten im weitläufigen Netzwerk von IoT-Geräten eine Vielzahl von Möglichkeiten, um in die Systeme einzudringen. So hat sich bereits gezeigt, wie das Internet der Dinge und mobile Technologie von Cyberangreifern genutzt werden können, um Angriffe in großem Stil zu starten. Diese Angriffe werden in zunehmendem Maß auf kritische Netzwerkinfrastrukturen abzielen, um großflächige Störungen von mobilen und anderen Diensten zu verursachen.

Cyber-Attacken nehmen zu, werden raffinierter und kosten Unternehmen inzwischen Milliarden. Herkömmliche Sicherheits­konzepte sind zunehmend machtlos. So musste beispielsweise der Security-Spezialist Imperva kurz vor Ende letzten Jahres einen DDoS-Angriff mit 650 Gbps abwehren – laut Unternehmens­angaben der größte je im eigenen Netz gemessene Angriff. Der Angriff sei „das passende Ende eines Jahres mit zahllosen DDoS-Attacken, fiesen ­neuen Malware-Typen und massiven IoT-­Botnets“ gewesen, erklärte ein Sprecher des Unternehmens.
Die Digitalisierung vieler Branchen sowie die Themen Internet of Things und Industrie 4.0 verschärfen die Notwendigkeit wirksamer und praktikabler Sicherheitslösungen, sind sich Sicherheitsexperten daher einig. „Wer sich schützen will, muss umdenken“, betont etwa Peter Rost, ­Director Marketing Rohde & Schwarz Cyber­security. Cybercrime sei inzwischen ein „lukratives Geschäftsmodell und in seiner finan­ziellen Dimension vergleichbar mit dem welt­weiten ­Drogenhandel“. Die Zahl der Angriffe steige dabei ständig. „Eine manuelle Bewältigung ist unmöglich.“
Die Angriffe seien deshalb so gefährlich, weil auch die Anzahl der vernetzten Geräte weiter steige. „Das liegt nicht zuletzt am Internet of Things, das heißt der zunehmenden Vernetzung von Geräten und Sensoren über IP-Netze.“ Dies berge enorme Sicherheitsrisiken, warnt der Fachmann. „Nur eine einzige Schwachstelle reicht aus, um für hohe Verluste im gesamten Netz zu sorgen. Bösartige Absender von Mails beispielsweise werden von Mitarbeitern nicht immer erkannt – und die ­Malware lädt sich bereits auf den Rechner hoch. Die Infizierung eines Rechners kann sich auf das ganze Unternehmen ausweiten. Täglich werden rund 360.000 neue Viren entdeckt.“ Erschreckend sei, dass „27 Prozent der Malware“ in den ersten drei Tagen nach dem Fund unentdeckt bleiben. „Bevor Angreifer überhaupt entdeckt und gestoppt werden, können sie unzählige Geräte infizieren.“

Präventiv agieren
Das vergangene Jahr sei eine Herausforderung für Unternehmen gewesen, weil die Cyberkriminellen sehr erfolgreich waren, meint auch Thorsten ­Henning, Senior Systems Engineering Manager bei Palo Alto Networks. Vor allem mit Ransomware hätten zahlreiche kriminelle Erfolge erzielt werden können. Eine wichtige Lehre sei gewesen, zu erkennen, dass keine Branche sicher sei. Wenn es eine Sicherheitslücke gebe, werde ein entschlossener Angreifer sie finden. „Im Jahr 2017 werden viele Unternehmen daher ein regelmäßiges Programm zur Risikobewertung anstoßen, um in der Cybersicherheit voranzukommen. Es geht künftig darum, präventiv zu agieren“, erläutert Henning. „Dies ist nur möglich, indem man aktuelle und potenzielle Bedrohungen versteht und die erforderlichen Maßnahmen kennt, um das Risiko abzuschwächen.“
Industrielle Steuerungssysteme (ICS) etwa sind ein integraler Bestandteil jedes Unternehmens. Dazu gehören unter anderem Gebäudemanagementsysteme, Heizungs-, Lüftungs- und Klimaanlagen (HVAC). Die meisten Unternehmen jedoch lagern heute ihr Gebäudemanagement aus, wodurch sie nicht sicher wissen, ob beim ­Drittanbieter eine ausreichende Sicherheit vorhanden ist. Es ist nicht unmöglich für einen böswilligen Akteur, einen Angriff auszuführen, der erheblichen Schaden verursachen könnte.
Fast alle Unternehmen könnten einem solchen Angriff ausgesetzt sein. „Unternehmer müssen daher ihre grundlegenden Schutzmaßnahmen prüfen und eine übergeordnete Sicht auf ihre potenziellen Schwachstellen durch Dritte sowie im eigenen Netzwerk gewinnen“, so Henning.
Zusätzlich müssten sie einen Plan entwickeln, um jedem möglichen Angriff entgegenzuwirken. So gelte es beispielsweise zu erfassen, welche Nicht-IT-Ausrüstung im Einsatz ist und wie es um die Sicherheit bestellt ist. Zudem sollte bei der Auslagerung an einen Drittanbieter geprüft werden, welche Sicherheitsstufe dieser bietet, also wie er sich selbst und das Netzwerk und die Systeme des Kunden schützt.
Das Marktforschungsunternehmen Gartner pro­gnostiziert, dass die Zahl der ans Internet angebundenen Dinge von 6,5 Milliarden im Jahr 2015 auf fast 21 Milliarden bis 2020 steigen wird. Diese würden Informationen über alles liefern, etwa wenn die Bremsen an einem Bus ersetzt werden müssen oder ob alle Maschinen auf einem Fertigungsstandort innerhalb akzeptabler Parameter laufen. Allerdings würden diese „Dinge“ zunehmend ein Ziel für Cyberkriminalität werden. „Die Vielfalt an Endgeräten bietet Tausende von potenziellen Einstiegspunkten in das Netzwerk von Unternehmen. Daher muss dieses besser – oder überhaupt – geschützt werden.“ Im Jahr 2017 könnten kompromittierte Geräte in einem Botnet miteinander verbunden werden, um Angriffe gegen Banken oder wichtige Teile der Internet­infrastruktur zu starten.

Sicherheit im IoT
„Das IoT ist kein Zukunftsprojekt, sondern bereits Realität.“ Nun gelte es, von den Lieferanten zu fordern, die Sicherheit der Geräte zu gewähr­leisten. Möglicherweise gebe es gar keine Sicherheitsmaßnahmen, oder die Geräte seien nur mit Standardbenutzernamen oder -passwörtern „geschützt“. „Diese sollten geändert werden, sobald sie sich im Netzwerk befinden.“ Alle ­Geräte, die Werkseinstellungen für die Sicherheit verwenden, seien gefährdet. IT-Manager müssten auch Standard-Passwörter für Administratoren ändern. Die Geräte sollten auch regelmäßig ­überprüft werden, um festzustellen, ob sie mit der Sicherheits­politik des Unternehmens konform sind.
Unternehmen müssten zwei wichtige Dinge beachten: wo sich ihre sensiblen Daten befinden und welche Daten für das Geschäft von entscheidender Bedeutung sind. Vielen Unternehmen falle es aber nicht leicht, diese Fragen auf Anhieb zu beantworten. Dies könne zu einer Veruntreuung von Ressourcen führen und zu erhöhten Kosten für die Umsetzung von Sicherheitsmaßnahmen. „Die nächste Frage ist: Wer von den Mitarbeitern hat Zugriff auf sensible Daten? Einfach zu wissen, wer generell Zugriff auf Dokumente oder Datenspeicher hat, bedeutet noch nicht zu wissen, wer tatsächlich auf was zugreift.“ Ein wichtiger Weg, um Risiken für sensible Informationen zu reduzieren, sei auch zu verstehen, wie die Daten geschützt sind. „Sind auf der jeweiligen Ebene adäquate Schutzmaßnahmen im Einsatz, um das Risiko für geschäftskritische Datenbestände zu reduzieren?“
Cyberangriffe auf Unternehmen sowie auf ­Privatpersonen würden aktuell einerseits zu­nehmend individuell und spezifisch, andererseits aber würden Cyberkriminelle auch zu­nehmend auf die Automatisierung ihrer An­griffe setzen. So sei etwa Ransomware „kein Mal­wareproblem“, sondern „ein kriminelles Geschäftsmodell“.
Das Ransomware-Geschäftsmodell könne auf beliebige Geräte, Systeme oder Daten ausgerichtet sein. Bei der DEFCON 24 im August 2016 demonstrierten Forscher von Pen Test Partners, wie sie einen mit dem Internet verbundenen Thermostaten kaperten und die ­Steuerung blockierten, um daraufhin eine Lösegeldzahlung in Bitcoin zu verlangen. Dies war eine Demo und kein Live-Angriff, könnte aber im Jahr 2017 bei einem IoT-Gerät zur Realität werden. Für Cyberkriminelle gehe es darum, Geld zu verdienen. Wenn sie die Kontrolle über ein Gerät gewinnen können, sei dies nur wirklich wertvoll, wenn sie dies in Gewinn verwandeln können, indem sie Lösegeld bekommen oder Daten finden, die sie verkaufen können.

Kosten-Nutzen-Rechnung
All dies dürfte massive Veränderungen im ­Security-Segment in den kommenden Monaten zur Folge haben. So vermutet Martin Zeitler, Senior Systems Engineering Manager bei Palo Alto Networks, beispielsweise eine schnelle Konsolidierung im Endpoint-Security-Markt.
Nach Angaben von Cybersecurity Ventures gab es 2016 mehr als drei Dutzend Anbieter und Start-ups im Endpoint-Security-Markt. Für Unternehmen seien das zu viele Optionen, zu viele unterschiedliche Ansätze und zu viel Verwirrung, was Anzeichen für Sättigung seien. Im Vergleich zu 2015 hätte es 2016 bereits eine Verlangsamung bei der Finanzierung neuer Security-Start-ups gegeben. Da weniger Start-ups Fördermittel erhielten, könnten sie nicht genügend Mehrwert für die Kunden liefern, um in diesem überfüllten Markt Fuß zu fassen.

In den Kinderschuhen
Das IoT-Ökosystem wiederum stecke „technologisch noch in den Kinderschuhen“. Das Ausmaß und die Auswirkungen der vorhandenen Sicherheitslücken seien möglicherweise noch nicht so offensichtlich wegen der noch begrenzten Rechen- und Konnektivitätsfähigkeit der heute verwen­deten Geräte.
Zudem werde die IoT-Sicherheit zur wachsenden Herausforderung für Serviceprovider. Cyberangreifer würden 2017 höchstwahrscheinlich ­Serviceprovider ins Visier nehmen, indem sie in das weitläufige Netzwerk von IoT-Geräten eindringen. So habe sich bereits gezeigt, wie das Internet der Dinge und mobile Technologie von Cyberangreifern genutzt werden können, um Angriffe in großem Stil zu starten.
Diese Angriffe würden in zunehmendem Maß auf kritische Netzwerk­infra­strukturen abzielen, um großflächige Störungen von mobilen und anderen Diensten zu verursachen. Serviceprovider würden dadurch unter erheblichem Druck stehen, ihre Sicherheitsstrategie neu aufzustellen. „Sie werden fortschrittliche, netzwerkbasierte Mechanismen einsetzen müssen, um zu verhindern, dass Mal­ware-Infektionen dieser Art die IoT-Geräte ­erreichen, die mit ihren Netzwerken verbunden sind“, betont Henning.
Vermutlich würden sich Cyberangreifer auch ­weiter auf mobile Nutzer verlagern. Angriffe auf mobile Geräte würden daher „exponentiell zu­nehmen“. Der Grund sei, das Verbraucher ihre Abhängigkeit von intelli­genten Geräten und mobilen Anwendungen, um ihr digitales Leben zu verwalten, zunehmend ­ver­stärken.

Wettbewerbsvorteil Sicherheit
Die Vergangenheit habe gezeigt, dass Service­provider Netzwerksicherheit oft ziemlich eng definieren: mit dem vorrangigen Ziel der Aufrechter­haltung der Netzwerkverfügbarkeit und keiner wirklichen Verpflichtung, End­benutzergeräte zu schützen. „Dies mag aus­reichend gewesen sein für einen erfolgreichen Betrieb in der Vergangenheit, aber die Landschaft hat sich verändert.“
Die mobile Angriffsfläche werde immer größer, und von immer mehr infizierten IoT-Geräten würden Attacken gestartet. Die Auswirkungen auf die Provider seien signifikant, da sie auf das IoT setzten, um mit der nächsten Welle mobiler Dienste Umsatzwachstum zu generieren. Die ­Provider hätten gar keine andere Wahl, als sich um die IoT-Sicherheit zu kümmern, um künftige Geschäftsmöglichkeiten überhaupt erschließen zu können.
„Wer will schon als ­Provider publik werden, der es einem Hacker ermöglicht, Tausende von End­geräten zu kompromittieren, weil er als ,weniger sicher‘ gilt als die Konkurrenz?“ Serviceprovider würden daher damit anfangen, fortschrittliche, netzwerkbasierte Mechanismen zur IoT-­Bedrohungsprävention einzuführen, und sie ­würden gegenüber potenziellen IoT-Kunden das Thema Sicherheit als Wettbewerbsvorteil ­vermarkten.
2016 habe gleich mehrere der größten Sicherheitsvorfälle gebracht, die jemals registriert wurden, sagt auch Roland Messmer, Direktor für Zentral- und Osteuropa bei LogRhythm. Die Dimensionen der Angriffe seien gewachsen – „und zwar in jeder Beziehung“. Hacker würden heute größeres Unheil an als je zuvor anrichten. Im UKnowKids-Fall hätten sie sensible persönliche Daten von Kindern an die Öffentlichkeit gebracht – durch den Angriff auf ein System, das Kinder eigentlich schützen sollte. „Wenn das vergangene Jahr etwas lehrt, dann ist es das: Die Folgen der Attacken von Cyberkriminellen erreichen immer größere Ausmaße.“

Bedrohung von innen
Ein wichtiger Trend 2017 sei daher, dass die „Bedrohung von innen“ ein neues Gesicht bekomme. Traditionell hätten sich Organisationen lange darauf konzentriert, von außen drohende Gefahren zu bekämpfen oder ihnen im Vorfeld einen Riegel vorzuschieben. Bei vielen aktuellen Datenpannen allerdings seien Insider im Spiel gewesen. Was dabei immer deutlicher werde, sei, dass es bei Insidern nicht einfach um böswillige Angestellte der eigenen Organisation geht, die vielleicht Informationen stehlen oder unerlaubt veröffentlichen wollen. „Man darf nämlich auch die Insider nicht vergessen, die unwillentlich zu Helfern eines Angriffs von außen werden.“ Die „Bedrohung von innen“ habe deshalb einen viel komplexeren Charakter, als es viele Organisationen bereits erkannt hätten – „und weil sie so viele Spielarten hat, wird sie auch viel öfter eine Rolle spielen.
Das Internet der Dinge rückt zunehmend in den Fokus von Cyberkriminellen, meint auch Oliver Burgstaller, Director Advanced Business Solutions bei Riverbed. Hersteller von Wearables und Produktionsanlagen seien beispielsweise „bereits in Alarmbereitschaft“. Doch sie würden gerne vergessen, was eigentlich zähle – „das Netzwerk selbst“.

Mega-Botnetz
Ein Botnetz aus 500.000 gehackten IoT-Devices legte beispielsweise im November 2016 reihenweise namhafte Webdienste und sogar die Internetanbindung des afrikanischen Staats Liberia lahm. Sicherheitsexperten interpretierten diese scheinbar willkürlichen Aktionen als „Testläufe“ für zukünftige, größere Attacken. „So besorgniserregend das klingen mag – für Unternehmen birgt der Mangel an Sicherheit im Internet der Dinge sogar noch ernstere Gefahren.“
Kriminelle könnten sich über IoT-Schwachstellen Zugriff auf Systeme verschaffen, Daten stehlen und die Infrastruktur des Unternehmens gezielt lahmlegen oder gar irreversibel beschädigen. „So geschehen vor einigen Wochen in San Francisco: Hacker kaperten die vernetzten Fahrkarten­automaten der örtlichen Verkehrsbetriebe und forderten 100 Bitcoins – damals gut 70.000 Euro – Lösegeld. Über mehrere Tage konnte deshalb kein Fahrkartenverkauf mehr stattfinden – ein immenser Umsatzausfall.“

Erhöhte Gefährdungslage
Die Bedrohungslage für die IT-Sicherheit werde sich substanziell verschärfen, meint Michael Kleist, Regional Director DACH bei CyberArk. Jedes Jahr von Neuem würden einzelne Sicherheitstrends – etwa die erwähnte Zunahme von Ransomware- oder DDoS-Attacken – beleuchtet. „Das ist alles schön und gut, verkennt aber die Tatsache, dass sich die Bedrohungslandschaft nicht einfach wie bisher inkrementell verändern wird“, betont Kleist. „Vielmehr verstärken sich grundlegende Trends gegenseitig und führen in naher Zukunft zu einer drastischen Erhöhung der Gefährdungslage.“
Der Geschäftsalltag in immer mehr Unternehmen sei etwa zunehmend geprägt von der vermehrten Nutzung von Cloud-Infrastrukturen und Cloud-basierenden Services. „Die Vorteile der Cloud sind weitreichend und sind natürlich auch Cyberkriminellen nicht verborgen geblieben.“ Ebenso wie Angreifer in der Vergangenheit die Sicherheits­lücken von IoT-Geräten für DDoS-Attacken genutzt hätten, rücke künftig zunehmend die Cloud ins Blickfeld. Hacker würden sie für die beschleunigte Entwicklung von Angriffstools ­verwenden.
„Mit der Rechenpower und den agilen Entwicklungsmethoden, die durch die Cloud kosten­günstig zur Verfügung stehen, können neue Angriffswerkzeuge realisiert werden, die die ­Möglichkeiten bisheriger Methoden drastisch erhöhen.“ Damit würden wesentlich stärkere und zerstörerische Attacken als in der Vergangenheit möglich. „Erschwerend kommt hinzu, dass durch die Cloud-Nutzung die Hacker-Identifizierung nahezu unmöglich wird.“

Selbstlernend
Ein anderes Problem seien etwa selbstlernende Cyberattacken. „Das vergangene Jahr war von signifikanten Fortschritten im Bereich der ­künstlichen Intelligenz (KI) geprägt, etwa bei Tech­nologien im maschinellen Lernen oder Deep Learning.“ Auch hinsichtlich des Themas ­Cybersicherheit würden inzwischen Hunderte von Unternehmen daran arbeiten, KI und ­maschinelles Lernen in ihre Technologien zu integrieren, um die nächsten größeren Cyberattacken zu prognostizieren, zu verhindern und zu ­bekämpfen.
„Leider kann nicht ausgeschlossen werden, dass sich auch Cyberangreifer in gleichem Maße KI-Vorteile zunutze machen. Es ist nicht unwahrscheinlich, dass das neue Jahr die erste KI-basierte Cyberattacke mit sich bringt.“ Charakterisiert seien diese Attacken durch die Fähigkeit, bei ihrer Ausbreitung zu lernen und „besser zu werden“. Damit könne etwa der übliche „Spray and Pay“-Ansatz bei Ransomware-Attacken optimiert ­werden.
Zudem sei zu befürchten, dass auch Hacker-Kooperationen zunehmen werden. „Cyberkriminelle werden ihre Zusammenarbeit verstärken, um dadurch auch Attacken größeren Ausmaßes durchzuführen, die bis dato typischerweise gut organisierten kriminellen Vereinigungen vorbehalten waren.“ So sei zu erwarten, dass Hacker in immer stärkerem Maße Tools nutzen, mit denen sie von anderen Attacken „lernen“ können – so würden sich „sehr schnell ‚De-facto-Best-Practices‘ herauskristallisieren“, die einer breiten Masse zur Verfügung stehen. „Angesichts dieser sich weiter verschärfenden Bedrohungslage dürfen Unternehmen das Thema IT-Security nicht mehr nur punktuell an einzelnen Trends wie Crypto-Ransomware oder DDoS festmachen und im Einzelfall reaktive Maßnahmen ergreifen. IT-Sicherheit sollte mehr denn je zum Topthema jedes Unternehmens werden – anderenfalls drohen existenzgefährdende Konsequenzen.“ (TM)

www.imperva.com
www.cybersecurity.rohde-schwarz.com
www.paloaltonetworks.com
www.riverbed.com
www.cyberark.com