Der Kühlschrank als Spammer

ITM: Herr Jakob, inwiefern haben mittelständische Unternehmen anno 2014 die Themen „Cyberkriminalität“ und „IT-Sicherheit“ auf dem Schirm?
Jürgen Jakob: Die Meldungen kürzlich zu einer Sicherheitslücke, über die Angreifer die weit verbreitete Fritzbox-Router kapern können, haben das Bewusstsein für potentielle Gefahren stark geschärft. Das Beispiel zeigt: Nicht nur minderwertige Produkte gefertigt in Billig-Lohn-Ländern oder NSA-Verstrickungen stellen Risiken für die IT-Sicherheit dar. Auch vermeintlich solide deutsche Technik ist also nicht ganz ohne Makel. Positiv hingegen war die schnelle Reaktion des Herstellers mit einem Sicherheitsupdate.

ITM: Die technologischen Entwicklungen schreiten immer weiter voran und bieten gleichzeitig neue Angriffsflächen für Cyberkriminelle. Welche Technologien/Bereiche stehen aktuell als Einfallstore im Mittelpunkt?
Jakob: Mobile Geräte scheinen von vornherein erst einmal wesentlich sicherer als Windows-Systeme. Dies erreichen sie durch ihre geschlossene Architektur. Das Problem hierbei ist jedoch, dass nur der Hersteller des Betriebssystems oder des App-Stores Sicherheitsupdates verteilen kann. Ein Anwender kann z.B. nicht auf einen sicheren Browser ausweichen, wenn er – wie bei Apple – dafür auf die Systembibliotheken angewiesen ist. Dies hat kürzlich die Sicherheitslücke in SSL („goto-fail-Lücke“) in IOS und Mac OS X 10.9.1 gezeigt. Dadurch werden auch als sicher eingestufte Geräte zum Sicherheitsrisiko. Ebenfalls von Sicherheitslücken betroffen sind Scada-Systeme, also industrielle Steuerungsanlagen. Diese sind meist sehr schlecht geschützt, aber viel zu oft im Internet eingebunden und damit für Angreifer erreichbar.

ITM: Welches Gefahrenpotential birgt hier das „Internet der Dinge“?
Jakob: Das Internet der Dinge stellt eine große Unsicherheit dar. Fernseher mit Videokamera und Mikro sind praktisch Smartphones in XXXXXL. Je nach Internetnutzung bergen sie das bekannte Gefahrenpotential z.B. ausgespäht zu werden. Bei einem Kühlschrank hingegen stellt sich die Frage, was an persönlichen Daten hinterlegt ist. Ob er als „Nebeneingang“ in private Netze dient, ist noch nicht ausreichend erforscht. Anders ist es bei der Internetintegration im Auto, in Produktionsanlagen oder in medizinische Apparate: Bei Fernsteuerung oder auch nur bei externer Störung gehen hiervon erhebliche Gefahren aus – und zwar für Leib und Leben, nicht nur aus kommerzieller Sicht.

ITM: Inwiefern kommen „intelligente, vernetzte Geräte“ bereits im Mittelstand zum Einsatz?
Jakob: Maschinensteuerungen, Fräsmaschinen und Ähnliches sind im Mittelstand schon länger gang und gäbe. Zunehmend binden sie die Unternehmen nun auch ans Internet an. Alarmanlagen sowie Heimsteuerungen für Licht und Heizung kommen aktuell verstärkt in Mode.

ITM: Warum sind die mit dem Internet verbundenen Geräte wie Heimnetzwerkrouter, Fernseher oder Kühlschrank so leicht angreifbar?
Jakob: Bei der Entwicklung eines Kühlschranks steht naturgemäß die Kühlung im Vordergrund und definitiv nicht die Sicherheit. Allerdings gibt es viele Ideen und Machbarkeitsstudien. Sollten Anbieter die neuen Vernetzungsansätze verwirklichen, müssen sie die Geräte in punkto Sicherheit aufrüsten. Das gilt sicherlich auch für den Bereich der Heimsteuerung, beispielsweise bei per Smart-Home-Technik ferngesteuerten Kaffeemaschinen. Heimnetzwerkrouter umfassen mehrere Einzelkomponenten, etwa DSL-Modem, Kabelmodem, klassische Router, WLAN-Router, IP-Telefonie und Bezahldienste und vereinen verschiedene Zugriffsstandards wie DSL, VDSL oder Kabel. Die Nutzeroberflächen sind für den Anwender zwar verhältnismäßig einfach zu bedienen, dennoch provozieren sie regelrecht Handhabungsfehler durch ihre Komplexität. Das kommt Kriminellen zugute. Zudem hat sich die Gefahrensituation gewandelt: In der Vergangenheit war es das Ziel der Angreifer, den Rechner zu übernehmen, etwa durch einen Trojaner. Heute geht es verstärkt darum, Verhaltensweisen und Gewohnheiten auszuspionieren oder Identitäten zu stehlen. Eine Attacke muss also gar nicht mehr unbedingt bedeuten, ein Gerät zu kapern. Es reicht, die Daten „irgendwie“ unterwegs abzugreifen. Eine ordentliche, fachgerechte Ende-zu-Ende-Verschlüsselung wird daher immer wichtiger.

ITM: Wie werden die Geräte missbraucht bzw. wozu werden sie von Cyberkriminellen benutzt?
Jakob: Über die Smartphones ihrer Opfer spähen Cyberkriminelle Daten aus. Der Kühlschrank mutiert zum Spammer. Maschinensteuerungen sind ideale Einfallstore für Erpressungen – eine Störung der Produktion ist für produzierende Unternehmen immer geschäftskritisch.

ITM: Welchen Schaden können IoT-basierte (Internet of Things) Attacken (in einem Unternehmen) anrichten?
Jakob: Sofern diese Geräte nicht ordentlich gesichert sind – und das sind sie während der Entwicklungsphase meist nicht –, lassen sie sich u.a. für DDoS-Angriffe (Distributed Denial-of-Service) missbrauchen, um etwa Webseiten lahmzulegen und das Unternehmen zu erpressen.

ITM: Wie ließe sich ein Angriff auf bzw. über vernetzte Geräte nachweisen?
Jakob: Angriffe sind schwer nachzuweisen. Dafür sind Zugriffsprotokolle erforderlich – und das greift dann wiederum in den Bereich der Vorratsdatenspeicherung und wirft die offene Frage auf: Wie kann man diese Daten auf effiziente Weise auswerten? Reine Schnüffelei und das Weiterleiten von Daten lassen sich in der Regel also nicht ohne spezialisierte Überwachungswerkzeuge im Netzwerk nachweisen. Ist ein Gerät infiziert, können die Einbrecher zudem ihre Spuren verwischen und die entlarvenden Einträge aus den Protokolldateien löschen. Nur mit externen, unverwundbaren Protokollservern – wie unter Unix möglich – ließe sich dies unterbinden. In der Praxis hat sich das jedoch nicht durchgesetzt, da das die Komplexität und den Speicherbedarf arg erhöht.

ITM: Wie kann der Anwender laufende Manipulationen seiner Geräte selbst erkennen?
Jakob: Cyberkriminelle legen stets Wert darauf, lange unentdeckt Zugang zu den Gerätschaften zu haben. Daher lässt es sich in der Regel vom Anwender schwer erkennen, dass ein Gerät infiltriert wurde. Aber wenn der Benutzer nicht weiß, was sein Gerät eigentlich tun soll, dann handelt er fahrlässig. Also müssen sich Anwender immer die eigentliche Aufgabe des Geräts vor Augen führen. Performance-Änderungen oder unerklärliches Verhalten sind Anzeichen nicht nur für Gerätestörungen. Die Ausnahme bilden Erpressungstrojaner, die jedoch nach wie vor zentral auf Windows-Systeme mit veralteter Software zielen.

ITM: Welche IT-Sicherheitsmaßnahmen sind zukünftig sinnvoll – von Seiten der Gerätehersteller, aber auch von Seiten der Anwender, die letztlich auf die vernetzten Geräte vertrauen?
Jakob: Billige Massenproduktion, die schnelle Abfolge von Gerätegenerationen und Gewinnmaximierung kollidieren mit den Sicherheitsanforderungen. Aber die Hersteller müssen die Sicherheit als zentralen Faktor ihrer Produkte anerkennen und etablieren. Es gilt, Sicherheit nicht nur in der Programmierung zu berücksichtigen, sondern – wie bei klassischer Rechnerprogrammierung seit einigen Jahren zu beobachten – schon bei der Produktkonzeptionierung.

ITM: Welchen Beitrag können IT-Sicherheitsanbieter an dieser Stelle leisten?
Jakob: IT-Sicherheitsanbieter müssen genau hinsehen und zumindest den bereits bekannten Ansatzpunkten der Kriminellen entgegenwirken. Ein Beispiel: Ein zentrales Element der Sicherheit ist inzwischen die verschlüsselte, gesicherte Kommunikation der Geräte miteinander. Eine derartige Ende-zu-Ende-Verschlüsselung kann man gegebenenfalls nachrüsten – komplett oder, wenn dies nicht möglich ist, zumindest in Teilen. Klassische, reine VPN-Lösungen (Virtual Private Network) greifen hier meist zu kurz. Mit neuen, erweiterten VPN-Lösungen wie ViPNet lässt sich die Kommunikation von allen Windows-Stationen untereinander und mit dem Server nicht nur Richtung externer Mitarbeiter, sondern auch innerhalb des Firmennetzes absichern.