Laptops werden jeden Monat gepatcht, laufen mit Endpoint-Schutz und sind einer bestimmten Person zugeordnet. Der Temperatursensor im Serverraum, die Steuerung am Heizkessel und die Kamera über der Laderampe haben davon oft nichts, und doch ist jedes dieser Geräte ein kleiner Computer mit Firmware, Zugangsdaten und einer Verbindung zu Ihrem Netzwerk oder zum Internet. Bei der Sicherheit von IoT-Geräten geht es darum, dass diese kleinen Computer nicht gegen Sie eingesetzt werden können und dass die Daten, die sie erzeugen, nur die Menschen erreichen, für die sie bestimmt sind.

Die meisten Verbesserungen sind wenig spektakulär: bessere Fragen beim Kauf, ein vernünftiger Umgang mit Schlüsseln, verschlüsselte Verbindungen und eine Plattform, die begrenzt, was jeder Einzelne tun kann. Der Rest dieses Artikels geht sie in der Reihenfolge durch, in der Sie ihnen begegnen: von den Risiken über die Standards bis zu den Daten und der Software, die das alles verwaltet.

Kurz erklärt

  • IoT-Sicherheit umfasst vier Ebenen: das Gerät, das Netzwerk, das es nutzt, die Daten, die es sendet, und die Plattform, die es verwaltet.
  • Die Hauptrisiken sind Botnetze, Einfallstore ins Netzwerk, offengelegte oder gefälschte Daten und physische Aktionen, die von der falschen Partei ausgelöst werden.
  • Neue Vorschriften wie das britische PSTI-Regelwerk und der Cyber Resilience Act der EU legen inzwischen den Herstellern Sicherheitspflichten auf.
  • Die Plattform verdient genauso viel Aufmerksamkeit wie die Geräte, denn sie hält die Schlüssel und kann allen Geräten Befehle senden.

Was ist IoT-Sicherheit?

IoT-Sicherheit ist die Gesamtheit der Verfahren und technischen Maßnahmen, die vernetzte Geräte schützen, ebenso die Netzwerke, über die sie kommunizieren, die Daten, die sie erzeugen, und die Plattformen, die diese Daten sammeln und die Geräte steuern. Sie ist ein Teilgebiet der Cybersicherheit, die Bedingungen unterscheiden sich aber so stark, dass sich Gewohnheiten aus der Büro-IT nicht einfach übertragen lassen.

Vier Unterschiede erklären den größten Teil der Schwierigkeiten. Viele Geräte können überhaupt keine Sicherheitssoftware ausführen, weil ein batteriebetriebener Sensor einen winzigen Prozessor hat und sein Energiebudget in Jahren bemessen ist. Außerdem bleiben sie lange im Einsatz, oft viel länger, als der Hersteller sie unterstützen will. Hinzu kommt, dass sie an physisch erreichbaren Orten sitzen, etwa in Fluren, auf Parkplätzen und in Technikräumen, wo jemand ein Gehäuse aufschrauben kann. Und sie werden ebenso oft vom Facility-Management, von Betriebs- oder Technikteams gekauft wie von der IT, sodass sie ankommen können, ohne dass jemand geprüft hat, wie sie abgesichert sind.

Deshalb geht die Sicherheit von IoT-Geräten noch lange nach dem Kauf weiter. Es geht darum, wie ein Gerät gebaut ist, wie es eingerichtet wird, wohin seine Daten gehen und wer auf dieser Grundlage handeln kann, und jede dieser Phasen hat ihren eigenen Verantwortlichen.

Welche Risiken gehen von IoT-Geräten aus?

Das bekannteste Beispiel ist Mirai. 2016 übernahm diese Schadsoftware eine große Zahl von Kameras und Heimroutern mit Internetanschluss, indem sie eine kurze, fest eingebaute Liste werkseitiger Standard-Benutzernamen und -Passwörter durchprobierte, und nutzte die Geräte dann, um Ziele mit Datenverkehr zu überfluten. Einer dieser Angriffe, gegen den DNS-Anbieter Dyn im Oktober 2016, machte eine Reihe großer Websites zeitweise im Laufe des Tages unerreichbar. Die Geräte waren in keiner Weise ungewöhnlich; gemeinsam hatten sie Standardpasswörter und Dienste, die aus dem Internet erreichbar waren.

Botnetze sind allerdings nur eines der Risiken. Die folgende Tabelle listet die Risiken auf, die für einen Einsatz im Unternehmen zählen, jeweils damit, woran man sie erkennt, und mit der Ursache dahinter.

Risiko Wie es sich zeigt Übliche Ursache
Einbindung in ein Botnetz Das Gerät sendet im Auftrag anderer Angriffsverkehr Standard- oder gemeinsam genutzte Passwörter, aus dem Internet erreichbare Dienste
Einfallstor ins Netzwerk Ein Angreifer gelangt über ein kompromittiertes Gerät zu Servern Flaches Netzwerk, ungepatchte Firmware
Offengelegte Daten Messwerte, Videos oder Standorte werden von Außenstehenden eingesehen Unverschlüsselter Datenverkehr, schwach gesicherte Plattformkonten
Gefälschte Daten Falsche oder wiedereingespielte Messwerte verdecken ein echtes Problem Keine Nachrichtenauthentifizierung, kein Schutz vor Replay-Angriffen
Unerwünschte physische Aktion Ein Relais, Ventil oder Schloss wird von der falschen Partei betätigt Weitreichende Befehlsrechte, keine Grenzen dafür, was gesendet werden kann
Aufgegebene Geräte Bekannte Schwachstellen, die nie behoben werden Herstellersupport endet, kein angegebener Supportzeitraum

Die letzten beiden Zeilen haben in der Büro-IT kaum eine Entsprechung, denn dort ist der schlimmste Fall meist ein Datenverlust. Bei vernetzten Anlagen kann der schlimmste Fall eine nachts entriegelte Tür oder eine abgeschaltete Pumpe sein. Und weil Geräte ihre Softwareunterstützung oft überdauern, kann ein Gerät, das am Tag der Installation gut abgesichert war, einige Jahre später zur schwächsten Stelle im Gebäude werden. Gefälschte Daten sind noch subtiler. Ließen sich die Nachrichten eines Kühlraumsensors aufzeichnen und erneut einspielen, könnte eine Kopie des normalen Messwerts von gestern, 3 °C, ein Dashboard ruhig aussehen lassen, während der Kompressor heute bereits ausgefallen ist.

Sicherheitsstandards für IoT-Geräte

Jahrelang war die Gerätesicherheit freiwillig. Das ändert sich, und die Standards, die in der Zwischenzeit entstanden sind, geben Käufern heute ein nützliches Vokabular.

ETSI EN 303 645, eine europäische Norm, die erstmals 2020 veröffentlicht wurde, legt in 13 Kategorien von Anforderungen ein Grundniveau für vernetzte Verbrauchergeräte fest. Die ersten drei lauten: keine universellen Standardpasswörter, ein Verfahren zum Melden von Schwachstellen und regelmäßig aktualisierte Software. Ein universelles Standardpasswort ist auf jedem Exemplar identisch, das klassische admin/admin, das jeder in einer Anleitung nachschlagen kann. Obwohl die Norm für Verbraucherprodukte geschrieben ist, nutzen viele gewerbliche Käufer sie als Referenz, weil sie kurz und konkret ist.

In den USA veröffentlichte das NIST 2020 mit NISTIR 8259A einen Grundkatalog von Gerätefähigkeiten. Es nennt sechs: Geräteidentifikation, Gerätekonfiguration, Schutz der Daten, logischer Zugriff auf Schnittstellen, Software-Updates und Kenntnis des eigenen Cybersicherheitszustands, also die Fähigkeit des Geräts, über seinen eigenen Sicherheitszustand zu berichten.

Die Regulierung ist gefolgt. Die britischen Produktsicherheitsvorschriften nach dem Product Security and Telecommunications Infrastructure (PSTI) Act traten am 29. April 2024 in Kraft. Sie verbieten universelle Standardpasswörter auf vernetzbaren Verbraucherprodukten, verlangen einen veröffentlichten Weg zum Melden von Schwachstellen und verpflichten Hersteller, einen Mindestzeitraum für Sicherheitsupdates anzugeben. In der EU trat der Cyber Resilience Act, die Verordnung (EU) 2024/2847, am 10. Dezember 2024 in Kraft. Seine Pflichten zur Meldung aktiv ausgenutzter Schwachstellen gelten ab dem 11. September 2026, die meisten anderen Anforderungen ab dem 11. Dezember 2027.

Um gut einzukaufen, müssen Sie nichts davon auswendig lernen. Die Standards lassen sich auf Fragen herunterbrechen, die Sie jedem Geräteanbieter stellen können:

  1. Wird jedes Exemplar mit einem eigenen Passwort oder Schlüssel ausgeliefert, oder müssen Sie bei der Einrichtung zwingend eines festlegen?
  2. Wie werden Firmware-Updates bereitgestellt, und wie viele Jahre lang gibt es Sicherheitsupdates?
  3. Gibt es einen veröffentlichten Weg, eine Schwachstelle zu melden, und sagt der Anbieter, wie schnell er reagiert?
  4. Werden die Daten zwischen Gerät und Gateway oder Server verschlüsselt, und mit welchen Schlüsseln?
  5. Sind die Schlüssel für jedes Gerät eindeutig, und lassen sie sich ändern, wenn einer offengelegt wurde?
  6. Sind Debug-Schnittstellen oder gespeicherte Geheimnisse erreichbar, wenn jemand das Gehäuse öffnet?

Wie gewährleistet man IoT-Datensicherheit?

IoT-Datensicherheit bedeutet, Messwerte, Bilder und Standorte in jeder Phase zu schützen: während der Übertragung, bei der Speicherung und wenn jemand sie aufruft. Jede Phase braucht ihre eigene Schutzmaßnahme.

Bei der Übertragung übernimmt das Funkprotokoll des Geräts einen Teil der Arbeit. LoRaWAN, ein verbreitetes stromsparendes Funkprotokoll für Sensoren, verschlüsselt die Nutzdaten mit AES-128 und nutzt getrennte Sitzungsschlüssel für zwei Aufgaben: einen Netzwerk-Sitzungsschlüssel, der die Integrität einer Nachricht prüft, und einen Anwendungs-Sitzungsschlüssel, der ihren Inhalt verschlüsselt. Mit Frame-Zählern kann das Netzwerk eine aufgezeichnete Nachricht abweisen, die jemand erneut einzuspielen versucht. Ein LoRaWAN-Sensor hat außerdem keine IP-Adresse, deshalb lässt er sich nicht wie eine Kamera aus dem Internet scannen, und niemand kann sich von dort aus an ihm anmelden; seine Schwachstellen sind seine Schlüssel und der physische Zugang zum Gerät selbst. Geräte, die über IP kommunizieren, etwa Kameras und Gateways, sollten TLS mit Zertifikatsprüfung verwenden, damit ein Gerät nicht dazu gebracht werden kann, Daten an einen gefälschten Server zu schicken.

Bei der Speicherung sollten Daten auf Servern verschlüsselt sein, und die Schlüssel, die sie schützen, sollten getrennt von den Daten selbst aufbewahrt werden. Dieselbe Disziplin gilt für Geräteschlüssel bei der Installation. Eine Tabelle mit Geräteschlüsseln, die per E-Mail zwischen Installateuren hin- und hergeschickt wird, ist eine häufige Schwachstelle, denn wer die Datei bekommt, kann sich als jedes darin aufgeführte Gerät ausgeben.

Hinzu kommt die Datensparsamkeit. Ein Sensor, der jede Minute die Belegung meldet, zeichnet ein weit detaillierteres Bild vom Verhalten der Menschen als einer, der einmal am Tag eine Gesamtzahl meldet. Braucht der Anwendungsfall nur die Tagessumme, konfigurieren Sie auch nur die Tagessumme, damit das detaillierte Bild nirgendwo existiert, wo es offengelegt werden könnte. Legen Sie auch die Aufbewahrung im Voraus fest: wie lange Messwerte, Standorte und Aufzeichnungen gespeichert werden und wer über ihre Löschung entscheidet.

Was gehört zur Sicherheit einer IoT-Plattform?

Die Plattform ist die Software, die Geräte registriert, ihre Daten speichert, Automatisierungen ausführt und Befehle zurücksendet. Weil sie die Geräteschlüssel und die Benutzerkonten hält und auf jedes Gerät gleichzeitig einwirken kann, wiegt eine Schwachstelle dort schwerer als eine Schwachstelle in irgendeinem einzelnen Sensor. Die Sicherheit einer IoT-Plattform umfasst deshalb, wer sich anmelden kann, was jedes Konto sehen und tun kann, wie Zugangsdaten für Integrationen ausgestellt und widerrufen werden, wo Geräteschlüssel aufbewahrt werden, wie Befehle eingeschränkt sind und welche Aufzeichnungen danach vorliegen.

Jede Plattform lässt sich gut prüfen, indem Sie durchspielen, was passiert, wenn ein externer Dienstleister ausscheidet. Im Idealfall entfernen Sie ein einziges Konto, und damit endet der Zugriff dieser Person auf die Daten, die Geräte und die Befehle, während sich die Zugangsdaten, die ihre Werkzeuge verwendet haben, einzeln ersetzen lassen, ohne dass etwas anderes kaputtgeht. Haben sich drei Installateure einen Zugang geteilt oder läuft eine Integration mit dem persönlichen Passwort von irgendjemandem, lässt sich nichts sauber entziehen, und Sie wissen hinterher nicht, wer was getan hat.

Was ist die beste IoT-Plattform für Datensicherheit?

Über Firmware-Updates, Standardpasswörter und Debug-Schnittstellen entscheidet der Gerätehersteller, und deshalb sind die Fragen an die Geräteanbieter so wichtig. Die Wahl der Plattform betrifft alles, was geschieht, nachdem ein Messwert das Gerät verlassen hat, und für die IoT-Datensicherheit ist die beste Plattform diejenige, mit der Sie genau festlegen können, wer an die Messwerte, die Geräteschlüssel und die Integrationen herankommt. Nach diesem Maßstab ist Kilo die beste Wahl, und drei seiner Schutzfunktionen zeigen, warum.

Der Zugriff wird pro Seite festgelegt, sodass niemand volle Administratorrechte braucht, nur um eine einzige Aufgabe zu erledigen. Jede Person erhält auf Seiten wie „Geräte“, „Regeln“, „Konnektoren“ und „API-Schlüssel“ die Stufe „Bearbeiten“, „Ansicht“ oder „Kein Zugriff“, und die attributbasierte Zugriffskontrolle von Kilo berücksichtigt außerdem Mitgliedschaft und Eigentümerschaft. Ein Installateur kann Geräte registrieren, ohne das Abonnement anzufassen, und eine Standortleitung kann die Messwerte verfolgen, ohne eine Regel ändern zu können.

Geräteschlüssel kommen in den „Schlüsseltresor“ statt in eine Tabelle. Er speichert LoRaWAN-Geräteschlüssel, also die EUIs und Schlüsselpaare, verschlüsselt und hinter einer eigenen Seitenberechtigung, sodass die Personen, die Sensoren hinzufügen, an die Schlüssel herankommen, während alle anderen auf „Kein Zugriff“ stehen.

Braucht ein anderes Werkzeug die Daten, erhält es einen eigenen API-Schlüssel statt des Logins einer Person. Jeder Schlüssel ist an eine Organisation gebunden und pro Bereich eingeschränkt, meist mit getrennten Berechtigungen zum Lesen und Schreiben. Ein neuer Schlüssel gewährt nichts, bis Sie Berechtigungen auswählen, er kann ein Ablaufdatum haben, und beim Rotieren wird der alte Wert sofort deaktiviert. Das Zugriffsmodell und die Einstellungen für API-Schlüssel sind ausführlicher in Kilos Überblick zur IoT-Sicherheit beschrieben.

Häufige Fragen zur Sicherheit von IoT-Geräten

Was ist die häufigste Sicherheitslücke bei IoT-Geräten?

Die 2018 veröffentlichten OWASP IoT Top 10 setzen schwache, erratbare oder fest einprogrammierte Passwörter auf Platz eins. Unsichere Netzwerkdienste folgen auf Platz zwei und unsichere Schnittstellen im Ökosystem, etwa die Web-, Cloud- und mobilen Schnittstellen rund um ein Gerät, auf Platz drei.

Wie lange sollten IoT-Geräte Sicherheitsupdates erhalten?

Nach dem Cyber Resilience Act der EU soll der Supportzeitraum widerspiegeln, wie lange das Produkt voraussichtlich genutzt wird, und er muss mindestens fünf Jahre betragen, es sei denn, das Produkt wird voraussichtlich kürzer genutzt. Viele industrielle Geräte bleiben länger installiert, daher lohnt es sich, den angegebenen Zeitraum mit den eigenen Austauschplänen abzugleichen.

Wer ist für die Sicherheit von IoT-Geräten verantwortlich?

Sowohl der Hersteller als auch der Betreiber. Vorschriften wie der Cyber Resilience Act legen Herstellern Pflichten auf, aber auch Importeuren und Händlern. Der Betreiber bestimmt weiterhin über Installation, Platzierung im Netzwerk, Zugangsdaten und Außerbetriebnahme; dazu gehört, ein ausgebautes Gerät auf Werkseinstellungen zurückzusetzen und seine Schlüssel aus der Plattform zu löschen.

Gehört physische Sicherheit zur Sicherheit von IoT-Geräten?

Ja, denn viele Geräte sind für die Öffentlichkeit oder für Dienstleister erreichbar. Übliche Maßnahmen sind Sabotagekontakte, die melden, wenn ein Gehäuse geöffnet wird, Sicherheitsschrauben, eine Montage außer Reichweite und das Deaktivieren oder Sperren von Debug-Schnittstellen wie UART und JTAG in Seriengeräten durch den Hersteller.

Sie können das noch heute im kostenlosen Tarif von Kilo einrichten, der bis zu fünf Geräte umfasst, keine Zahlungsdaten braucht und nicht abläuft. Registrieren Sie ein paar LoRaWAN-Sensoren und legen Sie ihre Schlüssel im „Schlüsseltresor“ statt in einer gemeinsam genutzten Datei ab, geben Sie einer Person aus Ihrem Team, die bereits ein Kilo-Konto hat, den Zugriff „Ansicht“ auf die Seite „Geräte“, und legen Sie für das Werkzeug, das die Daten abrufen soll, einen API-Schlüssel an, der nur lesen darf. Die Gerätediagnose zeigt dann, ob jede Nachricht weitergeleitet, zugeordnet und gespeichert wurde.