Softwarequalität ist der Schlüssel zur Sicherheit im IoT

Die „Totalvernetzung“ durch das Internet der Dinge – Internet of Things (IoT) – wird sich künftig auf alle Branchen ausbreiten und die Qualitätssicherung der IoT-Software ist der Schlüssel für die Sicherheit bei dieser Entwicklung. Zu dieser Einschätzung gelangt die internationale Technologieberatung Invensity (www.invensity.com) in ihrem aktuellen Bericht „Visionary Paper: Cyber Security im Zeitalter des Internet of Things“. Die Berater fordern daher, dass die Sicherung von Softwarequalität künftig einen deutlich höheren Stellenwert in Politik, Wirtschaft und Gesellschaft einnehmen muss.

„Bei Maschinen und Geräten mit Gefährdungspotenzial ist es üblich, dass sie eine TÜV-Zulassung benötigen. Andere Geräte brauchen zumindest die CE-Kennzeichnung, um auf dem Markt angeboten zu werden. Es ist dringend notwendig darüber nachzudenken, wie künftig bei Produkten, die einen Chip in sich tragen, die Softwarequalität gewährleistet wird“, erklärt Paul Arndt, Ressortleiter Center of Excellence Cyber Security. Er erläutert: „Bei Softwarequalität geht es nicht nur um die Sicherheit oder gar den Komfort für den jeweiligen Gerätenutzer, sondern auch um den Schutz der Geräte und Maschinen vor Missbrauch über das Internet.“ Er verweist auf die jüngsten Internet-Attacken auf Amazon, Netflix, Twitter und andere IT-Konzerne, bei denen die Angreifer offenbar Sicherheitslücken in Internet-Kameras ausgenutzt hatten, um die Kameras für Angriffe auf andere Systeme zu missbrauchen, ohne dass dies den Kamerabesitzern bewusst geworden wäre. „Man kann jede Gerätegruppe, die künftig mit dem Internet verbunden sein wird, von der Kaffeemaschine bis zum Toaster, für Cyber-Angriffe missbrauchen“, verdeutlicht Paul Arndt das Gefährdungspotenzial. Er verweist auf Prognosen, denen zufolge noch vor dem Jahr 2020 rund 25 Milliarden Geräte mit Internetanschluss weltweit im Einsatz sein sollen.

70 Prozent aller Cyber-Angriffe erfolgen auf die Software
Die Frage ist nicht, ob eine mit dem Internet verbundene Applikation attackiert wird, sondern wann, stellt die Nationale Initiative für Informations- und Internet-Sicherheit (NIFIS) fest. Sie deutet darauf hin, dass über 70 Prozent aller Sicherheitsangriffe nicht auf die Hardware oder das Netzwerk ausgerichtet sind, sondern auf die Anwendungssoftware.

Die Invensity-Berater wollen die Zusammenhänge verdeutlichen: Je höher der Softwareanteil wird und je stärker diese über das Internet of Things in den Alltag eindringt, desto wichtiger wird die Qualität und Sicherheit der Programme. Wenn ein Smartphone „abstürzt“, wird es neu gestartet, wenn ein Auto während der Fahrt „außer Kontrolle gerät“ sind Menschenleben in Gefahr. Als eine Zäsur wertet Invensity den „Fall Joshua David Brown“ vom Mai 2016: Erstmals war ein Mensch von einem autonom steuernden Automobil aufgrund eines Softwarefehlers in den Tod gefahren worden. Das Drama hat der gesamten Branche verdeutlicht, wie hoch das Risiko ist, wenn Computerprogramme über Menschenleben „entscheiden“, meint Invensity.

Dabei hat der Begriff Sicherheit eine doppelte Bedeutung: Die Sicherheit, dass die Software korrekt funktioniert, und die Sicherheit vor äußeren Eingriffen und Angriffen etwa durch Hacker. Beide Sicherheits­aspekte müssen künftig bei jeder Produktentwicklung bereits im Entwurf berücksichtigt werden, um die Sicherheit und damit Wettbewerbsfähigkeit zu gewährleisten, fordert Invensity. Wäre das nicht schon schwierig genug, kommt erschwerend hinzu: Der Verbraucher erwartet diese Sicherheit als Selbstverständlichkeit und ist kaum bereit, hierfür einen Aufpreis zu zahlen. War der Automobilkäufer vor Jahrzehnten noch gewillt, für den rechten Außenspiegel einen zusätzlichen Obolus zu entrichten und hat er heute noch diese Bereitschaft für ein ABS-Bremssystem, so erwartet er künftig von einem autonom fahrenden Wagen, dass er sich selbstverständlich unfallfrei bewegt und auch nicht per Internet von einem Hacker überfallen und fremdgesteuert werden kann.

Alle 25 Milliarden Internet-Geräte müssen sicher werden
Paul Arndt erklärt: „Das Angriffsszenario der Internet-Kameras auf Amazon und andere hat deutlich gemacht, dass wir uns bei der Qualitätssicherung nicht nur auf hochwertige Produkte wie Automobile konzentrieren dürfen, sondern alle Geräte berücksichtigen müssen, die mit dem Internet verbunden sind. Derzeit ist es für Angreifer häufig ein Leichtes, Heizungsthermostate und Überwachungskameras aus der Ferne zu übernehmen, zu Botnetzen zusammenzuschließen und damit letztlich Armeen von Cyberrobotern mit Tausenden von unfreiwilligen Helfern zu rekrutieren“. Den Angriff auf die Heizungen von Wohnanlagen in Finnland im Herbst 2016, bei dem bereits Evakuierungspläne für die Bewohner erwogen wurden, werten die Invensity-Berater „lediglich als Exempel, das mögliche Auswirkungen vor Augen führt“. Die Heizungsanlagen waren an das Internet angeschlossen worden, um durch Fernwartung Kosteneinsparungen vorzunehmen.

„Wenn es einer privaten oder staatlichen Verbrecherbande gelingt, künftig von 25 Milliarden mit dem Internet verbundenen Geräten, egal welcher Art, auch nur ein Promille unter ihre Kontrolle zu bekommen, könnten die Auswirkungen verheerend sein. Daher müssen wir der Softwarequalität und damit der Sicherheit dieser Geräte vor Angriffen höchste Priorität einräumen. Hier ist natürlich die Wirtschaft gefragt, aber auch der Staat muss ein Interesse an Softwaresicherheit haben“, sagt Invensity-Berater Paul Arndt. Er appelliert: „Allein schon das Gerücht, dass russische Staatshacker durch den Zugang und die Veröffentlichung von E-Mails einer US-Präsidentschafts­kandidatin möglicherweise entscheidend in den Wahlkampf in den Vereinigten Staaten eingegriffen haben, sollte uns alle wachrütteln.“