Das IoT vergiftet das Internet

Die Security-Landschaft wird gerade um­gepflügt. Kriminelle automatisieren ihre Angriffe und finden über Internet of Things (IoT) und Operational Technology (OT) neue Einfallstore in Unternehmensnetze, berichtet Derek Manky, der als Global Security Strategist beim Sicherheitsspezialisten Fortinet tätig ist.Unsere Kollegen von der com! haben das Interview geführt.

com! professional: Wie sehen Sie die derzeitige Situation an der Cyberfront? Welche Trends beobachten Sie aufseiten der Cyberkriminellen?

Derek Manky: Der allererste Wurm ist ja schon in den 1970er-Jahren aufgetaucht, und auch Ransomware ist nicht erst seit gestern bekannt. Das Konzept stammt von 1998. Damals forderten die Erpresser noch, dass die Opfer ihnen Bargeld an ein Postfach in Panama schicken. Diese Bedrohungen bestanden nur aus einfachen Algorithmen und einzelnen Codezeilen. Sie brauchten auch nicht sonderlich innovativ zu sein, um grossen Schaden anzurichten, weil die Ziele sehr einfach zu knacken waren.

Das hat sich radikal geändert. Zwischen Windows XP mit Service Pack 2 und einem aktuellen Windows 10 liegen Welten, was die Absicherung anbelangt. Das kann ich aus der Warte eines Penetration-Testers bestätigen. In der Regel brauchen wir heute 30 bis 35 Tage, um eine Verwundbarkeit in komplett gepatchten Windows-10-Systemen ausfindig zu machen.

Manky: Ja, aber nicht nur. Viel einfacher ist es für die Cyberkriminellen, nach neuen Zugangswegen in Systeme und Netze zu suchen, und die haben sie auch gefunden - über die vielen IoT-Geräte.

Vor gut zwei Jahren tauchte der Angriffsvektor IoT in den Top 10 unserer Bedrohungsstatistik auf. Davor wurden Firmen hauptsächlich über PCs, später über mobile Android-Geräte angegriffen. Das Problem mit den IoT-Geräten, vom Drucker über das NAS bis zur Webcam, ist, dass sie viele Sicherheitslücken aufweisen, die von den Herstellern nicht einmal gepatcht werden. Zum Teil sind Software-Updates geschweige denn Security-Updates gar nicht vorgesehen. Bei IoT-Geräten finden wir vier bis fünf Sicherheitslücken pro Tag, bei Windows eine pro Monat. Für mich ist IoT gleichbedeutend mit dem Vergiften des Internets.

com! professional: Sehen Sie Anzeichen dafür, dass Hersteller künftig mehr auf Security-Standards achten?

Manky: Nicht wirklich. Zunächst einmal kennen die IoT-Entwickler keine Security-Standards. Dann sind viele IoT-Geräte nicht updatebar. Und wenn sie es sind, reagieren die Hersteller kaum auf unsere Hinweise. Informieren wir sie über Lücken, können sie damit meist gar nichts anfangen, weil ihre Entwickler in Security-Fragen nicht geschult sind. Manchmal reagieren die IoT-Firmen sogar sehr ablehnend und feindlich.