IT-Security im Internet of Things

IoT - Die Sicherheit der Dinge

Der spektakuläre Hack eines fahrenden Wagens verdeutlicht die Dimension der Thematik Security im Internet of Things.

Ein Hack, der in den vergangenen Wochen viele Medien - auch außerhalb der klassischen IT-Berichterstattung - bis hin zur Tagesschau beschäftigte, war der ausführlich dokumentierte exemplarische Einbruch in die Systeme eines fahrenden Jeep Cherokee. Die Möglichkeit der Einflussnahme auf vitale Funktionen des Wagens von der Scheibenwaschanlage bis hin zum Getriebe erweist sich auch für Laien als verstörend - auch wenn in diesem konkreten Fall laut Fiat Chrysler Automobiles (FCA) "nur" US-Fahrzeuge betroffen sind.

In den USA wurde ein Jeep Cherokee gehackt - bei voller Fahrt wohlgemerkt. Obwohl die Systemschwachstelle laut Fiat Chrysler Automobiles ausschließlich bei US-Fahrzeugen besteht - der Auto-Hack sorgte für medialen Wirbel und verdeutlicht, wie bedeutend die Rolle der IT-Security für das boomende Internet of Things ist.
In den USA wurde ein Jeep Cherokee gehackt - bei voller Fahrt wohlgemerkt. Obwohl die Systemschwachstelle laut Fiat Chrysler Automobiles ausschließlich bei US-Fahrzeugen besteht - der Auto-Hack sorgte für medialen Wirbel und verdeutlicht, wie bedeutend die Rolle der IT-Security für das boomende Internet of Things ist.
Foto: Fiat Chrysler Automobiles

Connected-Car-Hack via Entertainment-System

Der Angriff auf den Jeep-SUV wurde dabei aus der Ferne vorgenommen, als Einfallstor diente das Entertainment-System des Wagens. Der Spielraum für die Einflussnahme auf den Wagen war in diesem Fall eines ausgenutzten Zero-day exploits extrem groß. Selbst Bremsen und Lenkung waren betroffen. Die Gefahren eines bösartig durchgeführten Angriffs für Fahrer, Passagiere, Fahrzeug und Umwelt sind erheblich.

Der erste notwendige Schritt ist natürlich die schnelle Behebung dieser Sicherheitslücke im betroffenen System. Schließlich wird das betroffene System in einer Vielzahl von Modellreihen des FCA-Konzerns eingesetzt. Die reine programmseitige Behebung scheint für den Hersteller auch eine lösbare Aufgabe gewesen zu sein: Schon nach kurzer Zeit stand ein Patch zur Verfügung.

IoT-Security: Softwaredistribution und Skalierbarkeit

Doch hier beginnen die Probleme: War der Cyber-Angriff auf den fahrenden Jeep Cherokee "over the air", also drahtlos und ohne physikalischen Kontakt möglich, so ist das ausgerechnet für das nun dringend notwendig werdende Update nicht möglich. Stattdessen schlug der Hersteller zuerst ein Update jedes einzelnen Wagens durch einen beauftragten Techniker über ein USB-Medium vor.

Mittlerweile sind alle 1,4 Millionen (!) betroffenen Fahrzeuge im Rahmen einer gigantischen Rückrufaktion in die Werkstätten beordert. Der entstehende Aufwand und die Kosten für den Autohersteller, die Servicepartner und insbesondere die Fahrzeughalter sind nur schwer zu ermitteln. Wie viele US-Halter diesen Aufwand scheuen und nun mit einer dokumentierten IT-Security-Schwachstelle unterwegs sind, lässt sich ebenfalls nur unzureichend abschätzen.

Über den konkreten Fall hinaus ist offensichtlich: Die bislang häufig praktizierte Methode, erst eine Lösung zu entwerfen und Sicherheitskonzepte dann "irgendwie dazu" zu implementieren, ist von Grund auf unangemessen. Das Internet of Things (IoT) stellt durch die Anzahl der möglicherweise betroffenen Devices, deren Distribution und Zugänglichkeit sowie die notwendigen Reaktionszeiten völlig andere Anforderungen an die IT-Security. Die Vorstellung, dass ein Kunde am Patchday seines Kühlschrankes zur Korrektur der Kühltemperaturermittlung mit dem Gerät zum Service seines Elektromarktes fährt, ist im besten Falle zynisch. Für die Halter der 1,4 Millionen betroffenen FCA-Fahrzeuge ist das allerdings Realität.