Die Probleme mit der IoT-Security sind bereits länger ein Thema, nun äußert sich, viel zu spät, auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) dazu. Die Tipps und Maßnahmen in deutscher Sprache dürften die meisten Hersteller der Geräte nie erreichen.

Die Hersteller der Security-Kameras und DVR-Systeme, die an den IoT-Angriffen auf Webseiten beteiligt sind, sitzen größtenteils in China. Es ist unwahrscheinlich, dass sie sich von einer deutschsprachigen Webseite Informationen zum Absichern ihrer Geräte holen, zumal die Tipps mehrheitlich alte Hüte sind.

Das BSI fordert etwa auf, Dienste wie HTTP, Telnet und SSH mit Passwörtern abzusichern, die sich ändern lassen und diese Änderung im Zweifelsfall zu erzwingen. Auch sollen keine unnötigen Dienste laufen und das IoT Device TLS zum Absichern seiner Kommunikation verwenden.

Auch vor UPnP warnt das Amt. Den Standard aktivieren viele Router automatisch, dank ihm schalten IoT-Geräte selbstständig Ports frei, um mit der Außenwelt zu kommunizieren. Das gilt als unsicher und nicht immer im Sinne des Nutzers. Der sollte UPnP im Router am besten deaktivieren, worauf das BSI auf einer eigenen Seite für Privatanwender hinweist.

Nicht zuletzt verlangt das Amt von der Geräteherstellern, dass sie die Firmware warten und “über einen hinreichenden Nutzungszeitraum” Sicherheitsupdates liefern, natürlich über verschlüsselte Verbindungen.

Fromme Wünsche

Die Realität sieht so aus, dass die Geräte häufig überhaupt keine Updates beziehen. Die Funktion zu implementieren ist teuer, weil ein Fallback-Mechanismus und aufwändige Tests her müssen. Kunden zeigen sich in der Regel wenig erfreut, wenn das gekaufte Gerät aufgrund eines Updates seinen Dienst einstellt. Support-Mitarbeiter ins “Feld” zu schicken, ist ein teurer Spaß, den sich viele der Firmen nicht leisten wollen. Ähnliches gilt für die Verschlüsselung. Sicheres Verschlüsseln braucht Ressourcen und die bringen IoT-Geräte oft nicht ausreichend mit. Die Folge ist, dass die Hersteller schwach oder gar nicht verschlüsseln.

Tipps sind schön und gut, dürften aber an der realen Situation kaum etwas ändern. Bleibt zu hoffen, dass der vom BSI ebenfalls angekündigte “Dialog mit den Herstellern und Verbänden” zu greifbaren Resultaten führt. Experten auf dem Gebiet gehen jedenfalls davon aus, dass es erst mal schlimmer wird, bevor sich die Situation verbessert.