Security-Demonstrator auf der Hannover Messe 2017

Michael Jochem (rechts), Leiter der AG3, erklärt Matthias Machnig (Mitte), Staatssekretär im BMWi, den Security-Demonstrator auf der Hannover Messe 2017. Der Demonstrator „Interoperable Trustworthy Global Security Solution” wurde von der Plattform im Kooperation mit dem Industrial Internet Consortium erarbeitet.

© BMWi/Reitz

Verschiedene politische Instanzen sind aktiv geworden und greifen die Thematik in Regelungsinitiativen auf:

  • Die deutsche Bundesregierung wird mit einen Entschließungsantrag der Regierungsfraktionen aufgefordert, das in der „Cyber-Sicherheitsstrategie für Deutschland 2016“ angekündigte Gütesiegel für IT-Sicherheit (a.a.O, S. 17) unter Einbeziehung von Verbraucherschützern, Wirtschaftsvertretern, IT-Sicherheitsexperten und Gewerkschaften auszuarbeiten. Als ersten Schritt dazu arbeitet das Bundesamt für Sicherheit in der Informationstechnik (BSI) eine technische Richtlinie (TR) für die Produktklasse Router aus.
  • Die Europäische Kommission hat "Trusted IoT label" als eine der Säulen in ihrer digitalen Binnenmarktstrategie identifiziert. Zur Diskussion steht das Konzept eines "Trusted IoT label", als Kennzeichen für die Umsetzung entsprechender Security-Maßnahmen in einem IoT-Produkt. Die EU-Kommission sucht nun die Rückmeldung von Interessenvertretern der Industrie zu diesem Vorschlag.
  • Der amerikanische Senat hat einen Gesetzentwurf "Internet of Things Cybersecurity Improvement Act" eingebracht zur Definition eines Mindeststandards für Security, die mit dem Internet-verbundene Geräte erfüllen müssen, welche von US-Bundesbehörden gekauft werden.
  • Beim DIN wurde auf Anregung des BSI ein Arbeitskreis zur Spezifikation von Mindestanforderungen zur Informationssicherheit für IoT-fähige Geräte gegründet. Ziel ist die Erstellung einer DIN SPEC nach dem Vornorm-Verfahren für generische Sicherheitsanforderungen an vernetzungsfähige Geräte im Small Business/Home Umfeld.

IoT-Produkte bieten Kundennutzen durch zunehmend autonome und selbstverbessernde "intelligente" Interaktion und Zusammenarbeit mit ihrer Umgebung. Die Herausforderung: Über ihren gesamten Lebenszyklus müssen Anwender darauf vertrauen, dass ihre IoT-Geräte auch bei Angriffen nützlich und sicher sind. Daher ist ein kontinuierliches und gründliches Sicherheitsrisikomanagement erforderlich.

Im Feld müssen Betreiber in der Lage sein, mit den Schlägen der Angreifer "zu rollen", d.h. schnell Veränderungen in der Angriffslandschaft zu erkennen und entsprechend zu reagieren, z. B. durch Software-Updates. Gleichzeitig hängen die Sicherheitsrisiken sowie die entsprechende Art, mit ihnen umzugehen, stark von der Anwendungsdomäne und dem Kontext der Nutzung ab. Letztendlich müssen Risikomanagementmaßnahmen auch im richtigen Kosten-Nutzen-Verhältnis stehen, um vom Anwender akzeptiert und durchgeführt werden zu können.

In den Fachdiskursen werden drei wesentliche Eckpunkte bei der Festlegung eines Basisschutzes bei IoT-Produkten genannt:

  • Für IoT-Produkte muss man sich mit potenziell wechselnden Sicherheitsrisiken während des gesamten Lebenszyklus auseinandersetzen. Außerdem erfordern unterschiedliche Domänen unterschiedliche Controls, um akzeptable Sicherheit zu bieten.
  • Der Schwerpunkt muss auf eine kontinuierliche Verbesserung der technischen und der organisatorischen Sicherheitsmaßnahmen gelegt werden, die für den speziellen Anwendungsbereich geeignet sind.
  • Einzelne Sicherheitsmerkmale, wie Hardware-basierte sichere Elemente oder sichere Boot-Konzepte, sind keine universelle Antwort. Eine effiziente und kostengünstige Lösung ist immer eine Kombination von Maßnahmen, die sorgfältig auf die Anwendungsdomäne und den Anwendungskontext zugeschnitten sind.

Insbesondere kleinen und mittleren Unternehmen (KMU) als Betreiber von Maschinen und Anlagen bietet die Arbeitsgruppe "Sicherheit vernetzter Systeme" der Plattform Industrie 4.0 daher eine Orientierungshilfe auf ihrem Weg in die Wertschöpfungsnetzwerke der Zukunft, um sicher in die digitale und vernetzte Produktion einzusteigen. Die Kernthemen der AG beziehen sich dabei auf Qualifizierung und Organisationen, Vertrauenswürdigkeit von Unternehmen, Integrität von Daten, Sichere Identitäten und Kommunikation für Industrie 4.0, um u.a. rechtswirksame, automatisierte Vereinbarungen in I40-Szenarien treffen zu können. Die Ergebnisse der AG [bspw. zu den Handlungsfeldern für Betreiber in der IT-Security oder neuen Aspekte für Unternehmensorganisation und Kompetenzen] stehen in der Onlinebibliothek in der Rubrik "Sicherheit" zum Download zur Verfügung.

Michael Jochem, Leiter der Arbeitsgruppe 3 „Sicherheit vernetzter Systeme“ der Plattform Industrie 4.0 und Director Bosch Connected Industry bei der Robert Bosch GmbH.

Dr. Wolfgang Klasen, Leiter UAG Standards der Arbeitsgruppe 3 und Head of Research Group Embedded Security bei der Siemens AG, Corporate Technology.