Bild 01: Mit dem Cyber Resilience Act (CRA) wird erstmals verbindlich Security by Design für Hardware, Betriebssystem, Software, Connectivity und Gesamtsystem gefordert. (Quelle: Kontron (mit KI))
Eine der größten Herausforderungen für Unternehmen besteht heute darin, die Sicherheit von Technologie an der Edge sicherzustellen. IoT-Device-Management dient dazu, eine große Anzahl von Geräten im Live-Einsatz zu verwalten: Manuelle Bereitstellungs- und Wartungsprozesse stoßen gerade dabei bei verteilten Geräten schnell an ihre Grenzen.
Ein gutes Beispiel für IoT-Geräte in stark verteilten Infrastrukturen sind etwa Ladesäulen in der Elektromobilität – sowohl im öffentlichen Raum als auch an Privatgebäuden. Typische Anwendungsfälle umfassen aber auch Schranken an überwachten Parkanlagen, bildbasierte Überwachung von Supermarktparkplätzen, Fahrkartenautomaten oder moderne Kaffeeautomaten, die Füllstände übermitteln.
Auch in der Produktion finden sich zunehmend IoT-Devices in Maschinen und Anlagen. Hier geht es zwar meist um eine geringere Anzahl von Installationen – bei teuren Maschinen und komplexen Produktionsszenarien sind Cyberangriffe und Manipulationen jedoch umso problematischer. Gerade der Maschinen- und Anlagenbau setzt zunehmend auf digitale Geschäftsmodelle, die einen sicheren Zugang benötigen, um sich vom Wettbewerb abzuheben. Daten- und KI-basierte Anwendungen machen Produkte intelligenter und ermöglichen darüber hinaus auch Self-Healing-Eigenschaften und Services wie Fernwartung.
Neue Einfallstore an der Edge verhindern
Während allerdings datenbasierte Geschäftsmodelle, die von einer Echtzeitüberwachung über den ganzen Lebenszyklus eines Produkts hinweg leben, weiter zunehmen, steigt die Anzahl eingesetzter Devices – und damit auch das Sicherheitsrisiko. Doch warum ist das so? Der Bereich Operations Technology (OT) liegt meist außerhalb des Blickwinkels von IT-Security. Viele Unternehmen haben bereits gute Sicherheitsstandards für ihre IT, aber die Integration von OT-Systemen, die oft aus älteren Geräten bestehen, stellt eine Herausforderung dar. Hier wachsen Bereiche zusammen, die bislang zumeist gar nichts miteinander zu tun hatten. Die OT-Infrastruktur an der Edge kann jedoch als Einfallstor dienen. Über den Remote-Zugriff auf ein Gerät, das mit dem Netzwerk verbunden ist, kann sich ein Angreifer den Zugang ins Gesamtnetzwerk verschaffen: ein Sicherheitsrisiko mit weitreichenden Folgen. Security-Lücken entstehen darüber hinaus durch fehlende Sicherheitsupdates auf den Geräten.
Fehlende Transparenz bezüglich IoT-Geräten
In der Praxis wird immer wieder deutlich, dass ein Hersteller häufig keinen genauen Überblick darüber hat, welche Geräte überhaupt im Einsatz und verbunden sind und ob sie einwandfrei funktionieren. Oft fehlen sichere Autorisierungsverfahren und ein granulares Rechtesystem, sodass sich unberechtigte Nutzer Zugriff verschaffen können. Ein Klassiker sind Passwörter, die vielleicht sogar voreingestellt sind und nie geändert wurden – damit gilt dann für jedes Gerät das gleiche Passwort. Besonders kritisch sind fehlende Sicherheitsstandards wie Verschlüsselung und Zwei-Faktor-Authentifizierung.
Insbesondere in der Produktion ist ein zentrales Problem im OT-Bereich das sehr unterschiedliche Altersspektrum von Anlagen und Geräten, das oft über mehr als 30 Jahre hinweg reicht. Älteren industriellen Schnittstellen mangelt es an integrierten Sicherheitsfunktionen. Sie lassen Skalierbarkeit und Flexibilität hinsichtlich dynamischer IT/OT-Umgebungen ebenso vermissen wie die Unterstützung neuester Sicherheitsstandards oder proaktive Überwachung. Um einen heterogenen Maschinenpark anzubinden, sind Lösungen gefragt, die sowohl auf Hardware-, Datenbank- als auch auf Schnittstellenebene ein durchgängiges Konzept bieten, damit etwa die Daten aus alten Steuergeräten über moderne IoT-Geräte auf sichere Art abgefragt und übertragen werden. Dabei helfen Low-Code-Integrationslösungen für standardisierte Schnittstellen, statt mit aufwendiger Programmierung durch einfache Konfigurierung die Übertragung von vielseitigen Daten aus der Produktion in IoT-Anwendungen zu ermöglichen.