Wenn Drohnen hacken

Der einfachste konkrete Angriffspunkt ist der direkte Zugriff auf Anlagen. Vielfach erhalten externe Service-Unternehmen für Wartungsarbeiten einen unkontrollierten Zugriff auf die Steuerung von Anlagen, mitunter verschaffen sie ihn sich auch selbst, indem entsprechende Bauteile implementiert werden, die bei Bedarf dann "mit zuhause telefonieren". Einmal im Firmen-Netz heimisch lässt sich von diesen Bauteilen natürlich auch ein "Hopping" zu anderen Systemen betreiben, so dass dem Service-Dienstleister schliesslich das gesamte Netz offensteht.

Solange die Kommunikation althergebracht per Modem erfolgt, ist das durch die IT noch einigermassen kontrollierbar, wird aber eine LTE-Komponente im IoT-Gerät verbaut, hat das Unternehmen kaum eine Möglichkeit, die Kommunikation nach aussen zu unterbinden. Das gezielte Scannen und Stören von Funkverbindungen ist jedenfalls klar verboten.

Die rasante Entwicklung der Drohnentechnologie erweitert die Möglichkeiten von Angriffen auf firmeninterne Funknetze. Angreifer können Drohnen stundenlang in Höhen positionieren, in denen sie kaum mehr zu erkennen sind; von dort können sie dann zum Beispiel die Kommunikation zwischen IoT-Systemen und dem jeweiligen MES (Manufacturing Execution System) mitschneiden oder auch beeinflussen – ein Angriffsvektor, den derzeit noch die wenigsten Unternehmen auf ihrem Schirm haben. Abwehrmöglichkeiten gegen das Ausspähen durch Drohnen sind begrenzt, denn auch hier ist das Stören von Frequenzen ebenso wenig erlaubt wie das Abschiessen.

Neben Industrieanlagen bilden bisher besonders Logistik und Gebäudetechnik Schwerpunkte von Angriffen auf IoT-Systeme. Es liegt in der Natur der Sache, dass in der Logistik bevorzugt mobile Verbindungen eingesetzt werden. Mittlerweile werden nicht nur LKWs mit entsprechenden Systemen ausgestattet, sondern auch Container oder sogar einzelne Paletten. Die Logistiker können auf diese Weise eine Lieferkette sehr genau automatisiert verfolgen, eröffnen damit aber Angreifern die Möglichkeit, Daten abzufangen und zu verändern.

Im Unterschied zu Industrieanlagen befinden sich LKWs oder Container nicht in einem gesicherten Umfeld; man benötigt also nicht einmal eine Drohne, sondern muss nur mit einem Lesegerät am richtigen Ort spazieren gehen. Auf diese Weise kann man nicht nur detaillierte Informationen über Lieferketten erhalten, sondern kann sie bei Bedarf auch lahmlegen.

Auch die Möglichkeiten von Angriffen auf die Gebäudetechnik werden von Unternehmen meist unterschätzt. Die relevanten Bauteile, beispielsweise Klimatechnik oder Brandmeldeanlagen, sind meist nicht geschützt, lassen sich nur selten updaten und bieten Angreifern vielfältige Betätigungsmöglichkeiten: das kann vom Verändern der Raumtemperatur - was in einem Rechenzentrum katastrophale Folgen haben kann - bis zum Auslösen einer Sprinkleranlage reichen. Drohnen, die die Kommunikation etwa eines Rauchmelders abfangen, sind ein überaus effizientes Angriffsmittel - Angreifer können hier mit sehr überschaubarem Aufwand in kurzer Zeit ganze Unternehmen ruinieren.

Die direkten Abwehrmöglichkeiten gegen derartige Angriffe sind wie erwähnt begrenzt und die meisten Unternehmen können sich ja auch nicht in Hochsicherheitszonen verwandeln. Wichtig ist aber vor allem, sich der durch IoT-Systeme entstehenden Risiken überhaupt erst einmal bewusst zu werden und sich nicht nur an deren Funktionalität zu erfreuen. Unternehmen sollten dabei folgende Fragen beantworten können:

Die Sicherung der IoT-Welt ist keine einmalige Aufgabe, erst recht nicht angesichts einer Technologie, die selbst noch im Werden ist. Umso wichtiger ist es, dass IoT fester Bestandteil einer unternehmensweiten Cyber-Defense-Strategie wird.