Interaktiv-Trends 2018/2019 (7): IoT-Geräte werden zur Cyber-Bedrohung

Kaum ein Thema ist lästiger als IT-Sicherheit. Macht niemandem Spaß, kostet nur Geld und bremst alle Beteiligten. Trotzdem wird Security wichtiger. Drei Entwicklungen sind ausschlaggebend:

• Die Zahl der Internet-Geräte wächst kontinuierlich. Und damit die Zahl der ausnutzbaren ­Sicherheitslücken.
  
• Die Vernetzung steigt. Komplexität und Supportaufwand ebenso. Viele Geräte sind schlecht gesichert.
  
• Immer mehr Geschäftsprozesse bieten digitale Monetarisierungsmöglichkeiten. Zugleich steigt die Abhängigkeit von digitaler Infrastruktur. Dadurch wird potenzielle Beute größer.

Die Schere geht auseinander

Dass die Zahl der Schwachstellen mit der Menge der Internet-Anwendungen und -Geräte steigt, ist eine Binse. Ebenso, dass die Angriffsfläche wächst, je intensiver die Vernetzung ist. Laptop, Handy, Tablet, Smart-TV, Lautsprecher, Connected Car, Smart Home, Cloud-Anwendungen und WLAN-Router sind allesamt potenzielle Einfallstore. Zudem steigen die Sicherheitsrisiken über die Zeit, weil viele dieser Geräte schlecht, spät oder nie mit Updates versorgt werden. Parallel zu dieser Entwicklung wächst die Abhängigkeit von digitaler Infrastruktur. Das heißt: Die Lücke zwischen gebotenem Sicherheitsniveau und dem Wert des Gutes wird größer.

Viele Risiken werden überbewertet ...

Dabei sind zwei Bedrohungsszenarien auseinanderzuhalten: Gezielte und ungezielte Angriffe. Erstere lassen sich nie zuverlässig ausschließen. Ein Einbruch kann lediglich erschwert und die Beute (der Schaden) begrenzt werden. Die Kosten-/Nutzen-Rechnung wird für den Angreifer negativ, die Mühe lohnt sich nicht. Aufgrund der technischen Entwicklung handelt es sich zugleich um ein andauerndes Hase-und-Igel-Spiel für Spezialisten.

Dieses Szenario betrifft Konsumenten selten. Sie sind als Opfer für gezielte Cyberattacken schlicht unattraktiv. Auch wenn die Sorge vor persönlichen Angriffen weit verbreitet ist (Motto: Jeder Hacker kann im vernetzen Heim ein- und ausgehen, das Konto plündern oder den Standort abfragen). Das tatsächliche Risiko ist jedoch viel geringer: Ein Smartlock zu knacken erfordert nicht weniger kriminelle Energie als ein herkömmlicher Einbruch. Aber viel mehr Knowhow. Das Risiko, dass das schlaue Türschloss mit der Brechstange aufgehebelt wird, ist daher wesentlich höher, als dass die digitalen Schlüssel geknackt werden.

So betrachtet ändert sich die Lage kaum: Monetär sind vor allem Unternehmen und Institutionen gefordert. Privatpersonen sind eher psychologisch betroffen, wie auch die geringen Cybercrime-Schadenssummen (2016 insgesamt 51 Millionen Euro laut BKA) zeigen.

... andere unterschätzt.

Komplett anders sieht die Lage aber aus, wenn ungezielte Angriffe ins Spiel kommen. Hier locken Skaleneffekte. Wenn Millionen Bots im Einsatz sind, lohnen sich auch Cent-Beträge. Das macht die schlecht geschützte, private IoT-Infrastruktur attraktiv.
Solche Bot-Armeen wurden in der Vergangenheit oft für DDOS-Attacken eingesetzt, um Schutzgelderpressungen Nachdruck zu verleihen. Digitale Geschäftsmodelle erlauben nun aber auch weniger drastische Monetarisierungsstrategien. Ein Großteil des weltweiten Ad-Frauds ist beispielsweise auf digitale Geisterarmeen zurückzuführen. Auch andere Dienstleistungen - Bitcoin-Mining, Captcha-Hacking oder das Erraten von Passwörten - sind leicht zu Geld zu machen.

Letztlich lassen sich mit Bots verteilte Rechenkapazitäten aufbauen und vermieten. Oder anders ausgedrückt: Über die Telefonleitung lässt sich jedem Haushalt ein wenig Strom und etwas Internetzugang klauen. Für sich betrachtet Mini-Beträge. In der Summe aber eine lohnende Beute. Und die Voraussetzungen für Botnetze werden immer günstiger.