Sicherheit im Internet der Dinge – (k)eine Frage der Perspektive

Zunächst die gute Nachricht: Das Internet der Dinge (Internet of Things, IoT) kann – auch in der Logistik – abgesichert werden. Die Technologien zum Aufbau eines robusten, sicheren, effektiven und leistungsstarken industriellen IoT existieren: digitale Signaturen für Software und Systeme, verschlüsselte Kommunikationen, eindeutige oder mehrstufige Authentifizierungsverfahren oder sichere Softwareentwicklungsprozesse.

Nun die schlechte Nachricht: Viele IoT-Implementierungen sind unsicher, weil sie vor allem auf eine schnelle Markteinführung, ein umfassendes Funktionsspektrum und eine einfache Handhabbarkeit ausgelegt sind. Dies führt regelmässig zu einer Vernachlässigung des Themas Sicherheit.

Dieser Fachbeitrag erschien im IoT-Focus der Netzwoche-Ausgabe Nummer 4. Alle Inhalte des Hefts finden Sie hier.

Sicherheit als Anforderung

Logistikverantwortliche können hier früh und aktiv bereits bei der Kaufentscheidung gegensteuern. So muss die Sicherheit immer ein wesentlicher Bestandteil des Anforderungskatalogs sein. Systeme oder Komponenten sollten nicht erworben werden, wenn sie keine robuste Sicherheit bieten. Wenn Einkäufer Sicherheit zur zentralen Anforderung machen, werden IoT-Lieferanten auch sichere Produkte bereitstellen.

Bei industriellen IoT-Anwendungen muss immer die relativ lange Lebensdauer der Systeme berücksichtigt werden, die oft bei zehn, zwanzig oder noch mehr Jahren liegt. IoT-Anbieter müssen für diesen Zeitraum die Bereitstellung von Updates garantieren, etwa im Hinblick auf neue Sicherheitsfeatures, Bugfixes oder funktionale Erweiterungen.

Offene Industriestandards

Wichtig aus Kundensicht hinsichtlich Investitionssicherheit ist zudem, dass der IoT-Hersteller auf Industriestandards setzt. Dies ist vor allem bezüglich Netzwerkschnittstellen und -protokolle von Bedeutung. Wo immer möglich sollten offene Industriestandards wie Ethernet, WLAN oder Bluetooth genutzt werden.

Unter Sicherheitsaspekten muss zudem der Themenkomplex Geräteidentifizierung, -registrierung und -konfiguration genauestens unter die Lupe genommen werden. Die grösste Benutzerfreundlichkeit mag vorliegen, wenn ein IoT-Gerät nach dem Einschalten im Netzwerk und IoT-System automatisch erkannt und konfiguriert wird. Das mag sich für Consumer-IoT-Geräte eignen, ist aber riskant für den industriellen Einsatz. Hier muss es möglich sein, ein neues Gerät zu identifizieren, zu authentifizieren und zu validieren, und erst anschliessend sicher in der IoT-Umgebung zu registrieren.

Nicht zuletzt muss eine industrielle IoT-Umgebung auch permanent überwacht werden, und zwar im Hinblick auf Performance, korrekte Ergebnisse, System- und Netzwerkintegrität und vor allem Sicherheit. Dies ist allein schon deshalb erforderlich, da das IoT-System einem permanenten Wandel unterworfen ist – mit dem Hinzufügen und Entfernen von Geräten, der Integration neuer Applikationen und Funktionen oder aufgrund von Aktualisierungen durch Upgrades und Updates.

Sicherheit im IoT ist natürlich zunächst einmal Sache der Hersteller, aber sie liegt auch in der Verantwortung jedes einzelnen Anwenders. Die Kaufentscheidungen bestimmen, ob das IoT sicher, robust und flexibel ist – der geringste Preis oder das grösste Funktionsspektrum sollten dabei nicht die entscheidenden Kriterien sein.