ONEKEY-Studie zu eklatanten Schwachstellen: Industrie muss IoT-Steuerungen besser schützen

IoT-Industrieanlagen weltweit im Fokus der Hacker

[datensicherheit.de, 02.06.2022] ONEKEY (vormals IoT Inspector) warnt, dass mit der zunehmenden Nutzung intelligenter und in ein gesamtes Fertigungsnetzwerk eingebundenen Maschinen das Risiko von Hacker-Angriffen „enorm“ steigt. Eine aktuelle IoT-Studie deckt demnach auf, „dass viele industrielle Unternehmen dieses Risiko kaum wahrnehmen und daher auch keine Compliance-Regeln für die Anschaffung und den Betrieb von IoT-Anlagen implementiert haben“. Nur knapp über die Hälfte der über 300 befragten Wirtschaftsvertreter gebe an, über Compliance-Regelungen für IoT-Sicherheit im Unternehmen zu verfügen, 35 Prozent hätten keine Regeln. Diese Zahlen seien durch das IT-Unternehmen ONEKEY im Rahmen der Erstellung des „IoT-Sicherheitsreports 2022“ ermittelt worden.

IoT-Fertigung ebenso effizient wie gefährlich

„Die vernetzte Fertigung ist ebenso effizient wie gefährlich. Die Anlagen verfügen über zahlreiche Hardware-Bausteine, die eine eigene Firmware nutzen und mittlerweile mehr denn je im Fokus von Hackern stehen“, erläutert Jan Wendenburg, „CEO“ von ONEKEY. Das auf IT-Security spezialisierte Unternehmen betreibt nach eigenen Angaben „eine automatisierte Analyseplattform für Software von smarten Produkten mit einem Netzwerkanschluss, vor allem aber intelligente industrielle Steuerungssysteme und Produktionsanlagen“.

Der Großteil aller Unternehmen vertraue bei der Absicherung von IoT-Infrastrukturen auf Bedrohungsanalysen (50%) und vertragliche Anforderungen an Lieferanten (42%). „Damit ist im Zweifel die Haftungsfrage geklärt – aber Unternehmen ist nicht klar, dass eine dezidierte Attacke auf Fertigungsanlagen innerhalb weniger Tage die Existenz einer Firma bedrohen kann“, betont Wendenburg.

Nur 26% halten eigene IoT-Sicherheit für vollständig ausreichend

Das Vertrauen der im Rahmen dieser Studie befragten mehr als 300 Wirtschaftsrepräsentanten in die eigenen IT-Sicherheitsmaßnahmen zeige die Unsicherheit: Nur 26 Prozent hielten die eigene IoT-Sicherheit für „vollständig ausreichend“, 49 Prozent nur für „teilweise ausreichend“. Fast 15 Prozent hingegen hielten die eigenen Maßnahmen sogar für „nicht ausreichend“ oder sogar „mangelhaft“.

Selbst „Penetration Testing“ genieße kein volles Vertrauen – nur 14 Prozent sähen darin einen effizienten Weg, die Sicherheit einer Infrastruktur zu prüfen. 68 Prozent sehen es laut ONEKEY als „teilweise effizient“ an.

Komplette Rückverfolgbarkeit und Transparenz über jeden Bestandteil eines IoT-Produktes empfohlen

Wendenburg fordert: „Das Problem muss an der Wurzel gepackt werden, direkt während der Produktion der Anlagen, Maschinen und Endpoints.“ Die IT-Branche könnte sich an der Prozessindustrie – beispielsweise der Pharmabranche – orientieren. Dort sei es gesetzliche Pflicht, eine komplette Rückverfolgbarkeit und Transparenz über jeden Bestandteil eines Produktes zu haben.

Das müsste in der IT ebenso Standard sein, um die Risiken durch leicht von Hackern zu attackierende Firmware von Produktionsanlagen und anderen Endpoints zu eliminieren. Jedes Stück unbekannte Software auf einem Gerät oder einem einfachen Baustein eines Devices sei ein „Schwarzes Loch“ mit vollem Risiko, von einem Hacker oder ganzen Gruppierungen attackiert zu werden. Für diese Software-Stückliste, auch genannt „SBOM – Software Bill of Materials“, sprächen sich auch 75 Prozent der Befragten aus.

IoT-Studie bekräftigt Forderung nach Herkunftsnachweis

Der Schaden könne indes schnell in die Millionen gehen: 35 Prozent der für die Studie befragten IT-Verantwortlichen und Entscheider hielten einen jährlichen Schaden von bis zu 100 Millionen Euro für realistisch, weitere 24 Prozent sogar bis zu 500 Millionen, 17 Prozent mehr als 500 Millionen Euro.

„Da die Zahlen zwischen Januar und Februar 2022 erfragt wurden, kann man jetzt ein weit dramatischeres Bild zeichnen. Seitdem wir wissen, dass IT-Angriffe auch Teil einer Kriegsführung sind, müssen wir uns noch besser schützen. Zumal auch, durch die Sanktionen bedingt, eine weiter zunehmende Wirtschaftsspionage zu erwarten ist“, führt Wendenburg aus. Auch hierbei könnten Schwächen in der Firmware das Eindringen von Hackern begünstigen und sogar nahezu unsichtbar machen, weil bei einem „Hack“ über industrielle Systeme oder Geräte oftmals klassische Sicherungsmaßnahmen versagten.

Weitere Informationen zum Thema:

ONEKEY
RESEARCH & ADVISORIES