Die meisten der beobachteten Angriffe sind keineswegs neu. Neu ist allerdings das Ausmaß von Angriffen im Internet der Dinge (IoT) und auch die vergleichsweise einfache Struktur vieler Attacken. Hier werden Millionen von Geräten zu potenziellen Opfern für Cyber-Attacken, Geräte, die in aller Regel über wenige oder keine Schutzmechanismen verfügen.
Seinem Kern nach verbindet und vernetzt das IoT Geräte, die bis jetzt noch nicht unbedingt verbunden waren. Jedes dieser Geräte, egal ob es der neue mit dem Internet verbundene Kühlschrank oder ein neues Fahrzeug ist, schafft einen neuen Einstiegspunkt in das betreffende Netzwerk. Und wird somit zu einem erhöhten Sicherheits- und Datenschutzrisiko.
Zwar laufen die Angriffe nicht selten nach denn gleichen Schemata ab wie früher, aber die Auswirkungen differieren dramatisch. Je nach dem, welches Ökosystem, welche Geräte und Umgebungen betroffen sind und wie es um den Sicherheitslevel bestellt ist um nur einige der Faktoren zu nennen. In den letzten Wochen haben wir bereits eine lockere Reihe von Beiträgen veröffentlicht, die sich mit den 5 der häufigsten Cyber-Attacken im IoT beschäftigt. Eines haben alle Angriffe dabei gemeinsam: Durch die Möglichkeiten des IoT erreichen sie eine neue Gefahrenstufe. Hier noch ein Mal die einzelnen Bedrohungen in der Kurzübersicht. Für weitere Detailinformationen klicken Sie einfach auf den Link.
Botnetze
Ein Botnetz ist ein Verbund von Systemen, die ferngesteuert für bestimmte Aktionen missbraucht werden, zum Beispiel um Schadprogramme zu verbreiten. Ein solcher Zusammenschluss vieler Rechner wird von seinen jeweiligen Botnetz-Betreibern über Command-and-Control-Server (C&C Server) gesteuert. Für Cyberkriminelle erleichtert das Angriffe in großem Stil: private Informationen stehlen, Online-Banking-Konten kapern, DDoS-Attacken starten oder Spam und Phishing-E-Mails versenden.
Je mehr das Internet der Dinge (IoT) an Bedeutung gewinnt, desto mehr Geräte und Dinge sind potenziell gefährdet, Teil eines sogenannten Thingbots zu werden, oder sind es bereits – ein Botnetz, das sich unabhängig agierende, vernetzte Geräte zu Eigen macht. Botnetze wie auch Thingbots bestehen aus vielen verschiedenen, miteinander verbundenen Geräten – Rechnern, Laptops, Smartphones, Tablets, oder neuerdings eben auch aus zahlreichen „intelligenten Dingen“. Diese Dinge haben zwei grundlegende gemeinsame Eigenschaften: Sie sind internetfähig und in der Lage Daten automatisch über ein Netzwerk zu übertragen. Anti-Spam-Technologien erkennen vergleichsweise schnell, wenn eine Maschine tausende gleicher E-Mails schickt. Allerdings ist es deutlich schwerer zu erkennen, wenn diese E-Mails von verschiedenen Geräten aus geschickt werden, die Teil eines Botnetzes sind. Und sie haben alle ein Ziel. Wenn tausende solcher Anfragen auf ein Ziel treffen, überfordert dies nicht selten die Plattform, sie kann die Anfragen nicht mehr abarbeiten und kollabiert.
Man-In-The-Middle Konzept
Beim Man-in-the-Middle-Konzept versucht ein Angreifer oder Hacker eine Kommunikation zwischen zwei separaten Systemen abzufangen und zu unterbrechen. Das kann ein gefährlicher Angriff sein, weil dabei der Angreifer Nachrichten zwischen zwei Parteien heimlich abfängt und überträgt, während diese glauben, dass sie direkt miteinander kommunizieren. Da der Angreifer die ursprüngliche Mitteilung kennt, kann er dem Empfänger vortäuschen, dass er noch immer eine legitime Nachricht erhält. Es wurde bereits über etliche Fälle in diesem Gefahrenspektrum berichtet: Fälle von gehackten Fahrzeugen und gehackten "intelligenten Kühlschränken".
Diese Angriffe können aufgrund der Art der gehackten "Dinge" im IoT extrem gefährlich sein. Solche Geräte können praktisch alles sein, von Industriewerkzeugen, Maschinen oder Fahrzeugen bis hin zu verbundenen "Dingen" wie Smart TV oder Garagentoröffnern.
Diebstahl von Daten & Identitäten
Allzu oft lesen wir von gleichermaßen überraschenden wie erschreckenden Hackerangriffen, bei denen die Angreifer mit unterschiedlichen Tricks versuchen an Daten und Geld eines Opfers zu gelangen. Allerdings sind wir selbst oft unser größtes Sicherheitsrisiko. Das sorglose Aufbewahren von internetfähigen Geräten (wie Handy, iPad, Kindle, Smartwatch, usw.), spielt Dieben und opportunistischen Findern in die Hände.
Das Hauptziel von Identitätsdiebstahl ist es zunächst Daten zusammenzutragen - und mit ein bisschen Geduld lässt sich hier allerhand finden. Allgemeine Daten, die im Internet frei verfügbar sind, kombiniert mit Informationen aus Social Media-Profilen, sowie Daten von Smartwatches, Fitness-Monitoren und intelligenten Energiezählern, Kühlschränken und anderen mehr, erstellen ein ziemlich gutes Gesamtbild Ihrer persönlichen Identität. Je mehr Details man zu einem User ausfindig machen kann, umso einfacher und ausgeklügelter sind gezielte Angriffe durch Identitätsdiebstahl.
Social Engineering
Social Engineering ist im Wesentlichen der Akt der Manipulation von Menschen, so dass sie vertrauliche Informationen preisgeben. Die Arten von Informationen, die Kriminelle suchen, können unterschiedlich sein. Aber wenn Personen das Ziel sind, versuchen die Verbrecher in der Regel Sie zu täuschen, damit der Benutzer ihnen sein Passwort oder seine Bankdaten gibt. Oder sie versuchen, Zugang zu einem Computer zu erlangen, um heimlich Schadsoftware zu installieren, mit der sie dann Zugang zu persönlichen Daten erhalten oder die Kontrolle über den Computer ergreifen. Typischerweise erfolgen Social-Engineering-Hacks in Form von Phishing-Mails, mit dem Ziel, dass Sie Ihre Informationen preisgeben oder Sie auf Websites, wie Banking- oder Shopping-Sites, umgeleitet werden, die seriös aussehen und dazu verführen, persönliche Daten einzugeben.
Denial of Service
Ein Denial of Service (DoS) Angriff findet statt, wenn ein Dienst, der normalerweise funktioniert, nicht mehr abrufbar ist. Es gibt viele Gründe für Unerreichbarkeit, aber üblicherweise handelt es sich um eine Infrastruktur, die ein unerwartet hohes Aufkommen an Anfragen nicht bearbeiten kann. Bei einem Distributed Denial of Service (DDoS) Angriff greift eine große Anzahl von Systemen ein Ziel mit böswilliger Absicht an. Dies geschieht oft über ein Botnetz, in dem viele Geräte (oft ohne Wissen des Besitzers) so programmiert werden, dass sie einen Dienst alle zu genau der gleichen Zeit abfragen.
Im Vergleich zu Hacking-Angriffen, wie z.B. Phishing oder Brute-Force Attacken, versucht ein Angreifer über DDoS meist nicht Daten zu stehlen oder Schutzfunktionen außer Kraft zu setzen, aber der Reputationsverlust kann die betroffene Firma viel Zeit und Geld kosten. Kunden wandern oft zu alternativen Anbietern ab, weil sie Sicherheitsprobleme befürchten oder sich einen unerreichbaren Dienst schlicht nicht leisten können. DoS-Angriffe sind oft ein gefundenes Fressen für Aktivisten und Erpresser.
Überlegungen
Ein zentrales Anliegen im IoT ist es Datenschutz ausreichend zu gewährleisten. Wie werden Verbraucherdaten genutzt und von wem? Eine Umgebung, in der Haus, Büro, Fahrzeuge, Haushaltsgeräte, Bürogeräte und viele andere Geräte mit dem Internet verbunden sind, wirft Fragen sowohl für Verbraucher als auch Unternehmen darüber auf, wohin die Daten gehen und natürlich, wie sie genutzt werden. Unternehmen müssen die Richtlinien für Datenschutz und Datensicherheit überprüfen, um sicherzustellen, dass erfasste Daten geschützt sind und geheim bleiben. Nur wenn Unternehmen das tun gewährleisten sie Datenschutz.
Unternehmen werden im Laufe der Zeit wahrscheinlich mit zahlreichen Angriffen konfrontiert. Man sollte sich also nicht vom „Exploit der Woche“ ablenken lassen.
Investieren Sie Zeit und Geld in eine solide Sicherheitsstruktur. Konzentrieren Sie sich dabei auf die häufigsten Angriffe, bieten Sie regelmäßige Schulungen für Ihre Mitarbeiter an, um sicherzustellen, dass sie Angriffe erkennen, und konzentrieren Sie sich auf die Bedrohungen, die sich am ehesten auf Ihr Unternehmen auswirken und die höchstwahrscheinlich schwerwiegende Folgen haben. Es gibt Antworten auf die drängenden Fragen: ein höherer Sicherheitslevel, Authentifizierung und eine entsprechende Vorgehensweise bei der Verwaltung von Daten.
