Einleitung
Immer mehr ‚smarte‘, ‚intelligente‘, Geräte halten Einzug in den Haushalt. Genauso intelligent sollten aber auch die Leute sein, die solche Geräte einsetzen. Vor allem, weil keiner will, dass ein Fremder die Haustüre öffnet, dem Kleinkind beim Schlafen zusieht, oder mal auch den Kühlschrank vom Stromnetz nimmt. Aus diesem Grund eine Checkliste, um die Cybersecurity mit Hygienemaßnahmen sicherzustellen.
Planung
Muss überhaupt eine Verbindung hergestellt werden?
Die einfachste und effektivste Art einem Risiko zu begegnen ist, es einfach erst gar nicht einzugehen. Im Fall der vielen ‚intelligenten‘ Helferleins, bekannt unter Internet of Things (vgl.: IoT), führt das zu der Frage, benötigt das neue Gerät überhaupt einen Zugriff? Muss der Kühlschrank Fotos versenden können, oder der Toaster Textnachrichten verschicken können?
Erkundigen vor dem Kaufen
Die Sicherheit und der Schutz der Privatsphäre entscheidet sich schon mit dem Kauf. Wie der Hersteller mit dem ihm entgegengebrachten Vertrauen umgeht, lässt sich im Vorfeld feststellen. Etablierte Markenhersteller haben meist eine nachvollziehbare Geschichte in diesem Punkt.
Ein Gerät, das einfach zu warten (vgl.: Updates) ist, bei dem Standardeinstellungen, wie Kennwort, einfach geändert werden können und nicht benötigte Funktionen deaktiviert werden können ist zu bevorzugen.
Inbetriebnahme vom Fachmann
Die Installation kann zeitweise auch Fachwissen voraussetzen und vor allem Auswirkung und Schaden auf andere Geräte haben und bewirken. Ein Heizungsthermostat ist schnell getauscht, aber der Anschluss an die Therme kann schnell einen Fachmann erfordern. Auch hier sollte die Sicherheit eine Rolle spielen – auch die Betriebssicherheit. Was nutzt es, wenn die Installation selbst gemacht wird, aber die Versicherung den möglichen Schaden nicht deckt, weil nicht vom Fachmann umgesetzt.
Umsetzung
Registrierung
Registrierung hat meist mehrere Vorteile. Erstens der Bezug und die Benachrichtigung über aktuelle Updates. Zweitens aber auch meistens eine Erweiterung der gesetzlichen Gewährleistung durch Service und Garantie für registrierte Benutzer. Auch hier empfiehlt es sich zu kontrollieren in welcher Form die Einwilligung für welche Zwecke erfolgt. Sinnvoll ist nur die unbedingt notwendigen Information bereitzustellen und vor allem vom Widerrufsrecht Gebrauch zu machen, wenn der Zweck nicht den eigenen Erwartungen entspricht.
Segmentierung
Zumindest ein logisches Trennen von Netzwerksegmenten nach Funktion, wie IoT, Kinder, Gäste etc. unterstützt die Sicherheit und den Schutz der eigenen Daten. Besser ist natürlich eine physische Trennung, aber das ist in der Regel nicht notwendig. Die physische Trennung kann in einem unverhältnismäßig hohen Aufwand münden und auch die Benutzbarkeit einschränken.
Absichern
Ändern aller Standard Benutzernamen und Kennwörter ist ein erster und wichtiger Schritt, der hilft Schaden zu vermeiden. Deaktivieren von nicht benötigten Diensten, wie Fernzugriff, begrenzt die Angriffsoberfläche weiter. Nicht die Standardeinstellungen zu verwenden verursacht einen höheren Aufwand von zumindest (kostbarer) Zeit auf Seiten des Angreifers. Meist wird dieser Aufwand durch den Angreifers bei einem Standardversuch nicht getragen.
Multi Faktor Authentifizierung
Die Verwendung mehrer Kanäle bei der Authentifizierung verringert an sich das Risiko einer Kompromittierung. Auch wenn ein Faktor bekannt wird (vgl.: Schutzverletzung) bleibt die Integrität der geschützten Informationen weiterhin gewährleistet. Konkret reicht es zum Beispiel nicht Benutzernamen und Kennwort zu kennen und zu verwenden, sondern ein zufälliger Code muss noch zusätzlich eingegeben werden. (Anm.: There’s an app for that)
Laufend
Aktualisierung
Sicherstellen, dass die eingesetzte Technologie möglichst auf dem letzten aktuellen Stand ist.
Inventarisierung
Eine Übersicht welche Geräte überhaupt verbunden sind und welche überhaupt einen Netzwerkzugang benötigten. Das stellt man am einfachsten fest, wenn man das WLAN deaktiviert/ umbenennt.
Ersetzen
Wie auch bei der Software empfiehlt es sich auch auf der Hardwareseite die selbe Strategie zu verfolgen. Bei IoT Geräten ist es in der Regel das Thema Verschlüsselung und Übertragung, auf das man seinen Augenmerk legen sollte. Getrennte hardwareseitige Verschlüsselung – ein eigener Cryptochip – ist zu bevorzugen, wenn sie mit einer neuer Generation von Türschloss zum Beispiel angeboten wird.
Ausfall
Der Wiederanlauf nach einer Unterbrechung, wie Strom und Verbindung generell, ist auch ein Gesichtspunkt. Wie reagiert das Gerät, werden zum Beispiel Dienste wieder aktiviert nach einem Neustart, wird das Gerät vielleicht sogar in den Auslieferungszustand zurückversetzt, sind Fragen, die zu klären sind. Eine Überwachung der Verfügbarkeit und möglicher Ausfälle macht aus dieser Sicht Sinn.
Vermeiden
Vermeinden von öffentlichen WLAN Zugängen. Solche öffentliche Zugänge bieten meist nur unverschlüsselte Kommunikation. Jeder Teilnehmer, wie auch der, der den Zugangspunkt zur Verfügung stellt, kann die Kommunikation mitlesen. Wenn, dann sollte zumindest die Verbindung über ein VPN erfolgen, oder wenn es nicht zeitkritisch ist, dann reicht es aus, die Verbindung erst wieder im sicheren Heimnetzwerk herzustellen.
Ausser Betrieb nehmen
Werkzustand
Auch Dekommisionierung genannt, bezeichnet den Vorgang, der notwendig ist, ein Gerät so ausser Betrieb zu nehmen, dass weiterhin die Integrität und Vertraulichkeit von Daten gewährleistet bleibt. Das betrifft jetzt nicht alleine Nutzdaten auf dem Gerät, sondern auch die Möglichkeit über dieses Gerät Zugang zu dem internen Netz zu erlangen, weil Benutzernamen und Passwort hinterlegt sind.
Jedes Mal, wenn ein Gerät mit der digitalen Welt verbunden wird, wird eine neues, digitales, Angriffsobjekt geschaffen. Mit der Checkliste soll nicht von dem Einsatz von IoT Geräte abgeraten werden, sondern viel mehr, dass der, der es einsetzt, zumindest genauso ‚smart‘ sein sollte. Getreu dem Motto – Gefahr erkannt, Gefahr gebannt!