Das „S“ in IoT steht für Sicherheit
Zuletzt überprüft am
Liebe Leserinnen und Leser,
heute geht’s ums Internet der Dinge, auf Englisch Internet of Things, kurz IoT. Gemeint sind all die Geräte, die heute unbedingt ins WLAN wollen: Glühbirne, Türklingel, Heizungsthermostat, Zahnbürste. Manche sind schlauer als ihr Bediener, die meisten nur gesprächiger. Und es geht um einen einzigen Buchstaben, das „S“ in IoT. Die einen sagen, es steht für „Sicherheit“, die anderen für „Spaß“. Schaut man genau hin, steht da nur I, o, T. Nu, vielleicht hat sich das „S“ bloß gut versteckt. Oder es steht für „Schnickschnack“: Die Heizung, die per App vorheizt, während man noch auf der A4 im Stau steht, lass ich mir ja gefallen. Die Zahnbürste, die einem per Bluetooth petzt, dass man links unten geschlampt hat, eher nicht.
Als Automatisierer lernt man früh: Was am Netz hängt, kann auch ein anderer erreichen. In der Werkhalle trennt man deshalb sauber. Die SPS, also die Steuerung, die der Maschine sagt, was sie zu tun hat, bekommt ihr eigenes abgeschottetes Netz, ein VLAN. Und an den Fernwartungszugang, über den der Hersteller von außen auf die Anlage schaut, kommt nur, wer wirklich muss. Im Wohnzimmer hat sich das noch nicht rumgesprochen. Da hängt die Glühbirne im selben WLAN wie der Laptop mit dem Onlinebanking. Und wer die Glühbirne knackt, steht schon halb im Wohnzimmer. Dabei hat fast jeder Router ein Gästenetz. Bei der Fritzbox ist das ein Haken im WLAN-Menü, dann funkt die Glühbirne in ihrem eigenen Netz und kommt an den Laptop nicht mehr ran.
Ein Beispiel gefällig? 2016 klopfte ein Schadprogramm namens Mirai bei Kameras und Routern an, ganz altmodisch über Telnet, an den Ports 23 und 2323. Im Gepäck hatte es eine Liste mit mehr als 60 Werkspasswörtern, Kombinationen der Sorte „admin“ und „admin“. Wo eins passte, war das Gerät übernommen. Die Kameras filmten brav weiter die Einfahrt und griffen nebenbei am 21. Oktober 2016 große Websites an. In Deutschland flogen Ende November rund 900.000 Telekom-Router aus dem Netz, weil eine Mirai-Variante versuchte, sie zu übernehmen. Ei verbibbsch! Oder noch schlimmer: Die Heizung bleibt im Januar kalt, und das im Erzgebirge. Erst wenn man dem bösen Hacker einen ordentlichen Batzen Bitcoins überweist, wird alles wieder gut.
Das, liebe Leserinnen und Leser, ist die Kehrseite des IoT.
Das „S“ in IoT soll uns Sicherheit versprechen. Aber manchmal fühlt es sich an, als stünde nur ein kleines, kindisches und bockiges „S“ zwischen uns und dem digitalen Chaos. Sicherheitslücken in vernetzten Geräten sind leider keine Seltenheit. Sie gehören zum Alltag wie für uns Sachsen der Kaffee am Morgen.
Und dann die Passwörter. „1234“, „0000“, „passwort123“. Oder gleich das, was ab Werk eingestellt ist und für jeden im Handbuch steht. Der Klassiker schlechthin, beliebt wie der rote Knopf auf der Schalttafel im Maschinenraum, den sich keiner zu drücken traut. Ich sag’s mal so: Wer das Passwort nicht gleich beim Auspacken ändert, kann’s auch an die Haustür schreiben. Sicherer als der Schlüssel zum Schaltschrank sollte es schon sein, und kreativer als ROT13 sowieso.
Dann die Updates, bei solchen Geräten heißen sie Firmware-Updates. Die kommen ungefähr so oft wie die Gehaltserhöhung, und bei manchen Geräten gar nicht mehr, sobald der Hersteller das Modell aus dem Katalog nimmt. Und wenn doch mal eins kommt, steht in der Beschreibung meist was von einem neuen Klingelton. Ob dabei auch eine Sicherheitslücke gestopft wurde, erfährt man selten.
Und manchmal wissen unsere vernetzten Geräte mehr, als es uns guttut. Der Saugroboter kennt den Grundriss der Wohnung, die Türklingel weiß, wann wir heimkommen, und vieles davon landet auf den Servern des Herstellers. Schaltet der seine Server irgendwann ab, wird aus dem smarten Gerät ein dummes. Im besten Fall. Manchmal möchte man den Dingern einen Zettel hinkleben: „Du bist ein Toaster. Deine Aufgabe ist es, Brot zu rösten, nicht die Menschheit zu unterwerfen.“
Es gibt aber auch gute Nachrichten. Einige kluge Köpfe arbeiten unermüdlich daran, das kleine, kindliche und bockige „S“ in IoT zu erziehen. Die EU hilft mit: Ab Dezember 2027 müssen Hersteller vernetzter Geräte nach dem Cyber Resilience Act in der Regel mindestens fünf Jahre lang Sicherheitsupdates liefern. Vielleicht wird aus dem bockigen Kind ja doch noch was. Abwarten und Kaffee trinken.
Hoffen wir alle, dass das „S“ irgendwann für „Sicherheit“ steht und nicht bloß für „Spaß“.
Damit endet der Text über das Leben des kleinen, kindlichen und bockigen „S“ in IoT.
Mit humorvollen Technogrüßen
Marek Stapff
Anschrift: Nervenheilanstalt „Zum Bad Gateway“, Zimmer 666, in 127.0.0.1