Softwaretechnik Das Internet der Dinge braucht deutlich bessere Software

Das Internet der Dinge stellt neue Anforderungen an die Sicherheit von Embedded-Software. Professor Hans-Joachim Hof von der Münchner Hochschule für angewandte Wissenschaften und Leiter der Munich IT Security Research Group (MuSe) mahnt ein Umdenken an. Zu oft werde nach dem Prinzip „verbaut und vergessen" verfahren.

Das Thema IT-Sicherheit muss im Zusammenhang mit dem Internet der Dinge neu gedacht werden – davon ist Professor Hans-Joachim Hof überzeugt. Zunächst einmal sei es überhaupt wichtig, ein Verständnis für IT-Sicherheit an sich zu bekommen. Denn zu oft herrsche im Bereich von Embedded-Software das Prinzipo „verbaut und vergessen“.

Damit ist gemeint, dass Embedded-Geräte, auch solche, die mit dem Internet verbunden sind, viel zu selten gepatcht werden. „Ich habe den Eindruck, die Elektrotechniker übersehen, dass es in der Informatik durchaus notwendig ist, die Software regelmäßig auf dem aktuellen Stand zu halten. In der Elektrotechnik passiert es natürlich selten, dass Bauteile ausgetauscht werden müssen, in der Informatik ist es leider gang und gäbe.“

Ein Beispiel dazu: Beim sogenannten Heartbleed-Vorfall wies eine Open-SSL-Bibliothek, die für die Transportverschlüsselung von Online-Daten verwendet wird, vor zwei Jahren eine kritische Verwundbarkeit auf. „Das war so ziemlich der schlimmste anzunehmende Unfall, denn mit Open SSL wird ein Großteil der Verbindungen im Internet geschützt“, kommentiert Hof. Als schließlich der Patch herauskam, sei die korrigierte Version binnen kurzer Zeit von den meisten IT-Administratoren eingespielt worden.

„Im IoT ist das praktisch gar nicht passiert“, so der Security-Experte. Sehr viele Produkte aus dem IoT-Umfeld, so Hof, seien mit einem Web-Interface ausgestattet. Dieses müsse aber sicher konfiguriert und auch ständig angepasst werden, betont Professor Hof: „Dieses Verständnis ist noch gar nicht vorhanden, weil in ganz vielen Geräten nie daran gedacht wird, wie man das eigentlich macht.“

Ein Beispiel: Bei einer Heizung mit Web-Interface ist nicht klar, wer dieses Interface jemals patchen sollte. Solange ein Gerät nicht mit dem Internet verbunden sei, sei dies alles nicht weiter tragisch, sagt Hof: Da diese Geräte aber immer häufiger mit dem Internet verbunden werden, tritt die Problematik klar zutage: „Sie haben unsichere Geräte und Sie können als Benutzer auch keine Patches selbst einspielen – und die Geräte hängen in Ihrem Heimnetz.“

Darüber hinaus sei eine Konvergenz der Netze zu beobachten. Klassische Protokolle für die Gebäudeautomatisierung und die Netze für das WLAN werden im Zuge von Smart-Home-Initiativen miteinander verbunden – denn die Benutzer sollen ihre Haussteuerung mit dem Smartphone vornehmen können.

Gefahr zu hoher Komplexität

Aus Sicht von Hof kann hier eine Komplexität entstehen, die zu hoch wird. Professor Hof zitiert den IT-Security-Experten Florian Oelmaier, der davor gewarnt hat, dass die IT eine ähnliche Entwicklung wie die Kernenergie nehmen könnte. In den siebziger Jahren sei die Kernenergie als Zukunftstechnologie betrachtet worden. Heute dagegen sei man übereinstimmend der Meinung, dass die Komplexität der Technik nicht beherrscht werden könne – mit der Konsequenz des Ausstiegs.

„Das Gleiche kann uns mit der IT tatsächlich auch passieren“, sagt Professor Hof. Die wichtigste Konsequenz daraus ist die Forderung nach einer deutlichen Verbesserung der Softwarequalität. „Wann haben wir uns denn daran gewöhnt, dass Software schlechte Qualität hat?“, fragt der MuSe-Leiter.

Dieses Problem werde aber bei den Herstellern von IoT-Produkten größtenteils noch gar nicht erkannt. Das liege zum einen daran, dass dort zumeist Ingenieure aus der Elektrotechnik tätig seien, die nicht aus der Gedankenwelt der Informatik kämen. Zum anderen sei der Preisdruck bei IoT-Produkten ein Hemmnis. Zudem verfügten IoT-Geräte in der Regel nur über vergleichsweise geringe IT-Ressourcen. Die Implementierung von IT-Sicherheitsmechanismen würde deshalb unter Umständen zu viel Energie kosten.

Dieser Beitrag ist ursprünglich auf unserem Schwesterportal Elektronikpraxis.de erschienen.

(ID:44417080)