Sie gehen morgens ins Büro und stellen fest, dass die smarte Kaffeemaschine verschlafen hat und die Lieblingsröstung noch immer im Behälter schlummert, was zwar ärgerlich ist, aber die 5 Minuten für den Koffein-Kick investiert man noch gerne. Aber auch die Spülmaschine in der Kaffeeküche hatte wohl gestern Urlaub und hat ihren Dienst verweigert, obwohl diese jeden Abend um 18 Uhr automatisch startet. Nach den ganzen schlechten Nachrichten freuen sie sich, dass zumindest ihr Rechner anstandslos hochfährt. Beim Lesen der neuesten E-Mails fällt eine Nachricht besonders auf, in der sie höflich darum gebeten werden 10.000 € in Bitcoins auf ein näher bezeichnetes Konto zu überweisen, da andernfalls die Verschlüsselung der Unternehmensdaten bestehen bleibt. Panisch versuchen sie auf den File-Server zu zugreifen, kriegen jedoch nur den Hinweis, dass ohne den kryptografischen Schlüssel kein Zugang möglich ist.

Was ist hier passiert?

Neben der Vereinfachung vieler Aufgaben und der Zeitersparnis, bringen sogenannte Internet-of-Things Geräte (IoT) noch eine weitere Eigenschaft mit: Sie haben oftmals erhebliche Sicherheitslücken, die von Dritten für Angriffe auf das Firmennetzwerk ausgenutzt werden können. Der Grund hierfür ist der enorme Druck der Entwickler immer schneller und kostengünstiger neue Produkte auf den Markt zu bringen, mit der Folge, dass die installierte Software häufig mangelhaft programmiert wurde. Eine weitere Gefahr besteht darin, die Geräte bei der unternehmenseigenen IT-Sicherheitsstrategie schlichtweg zu vergessen und diese nicht mit in die getroffenen Schutzmaßnahmen einzubeziehen. Sind die kleinen Helferlein nun über das Internet erreichbar, können sie über entsprechende Tools ausfindig gemacht werden und bis zur Instrumentalisierung für einen Angriff sind es hieran nur noch wenige Schritte.

Was für einige Leser futuristisch klingen mag, ist jedoch bereits Realität und die Bedrohungslage wird zunehmend steigen, denn die Anzahl der IoT-Geräte soll nach Expertenprognosen im Jahr 2021 bereits die 50 Milliardengrenze erreicht haben.

Um die Auswirkungen einer Manipulation erahnen zu können, kann auf ein Angriff in jüngster Vergangenheit hingewiesen werden, bei dem Dienste von einigen Global-Playern, wie Amazon, Spotify und Netflix für mehrere Stunden lahmgelegt worden sind, indem hunderttausende IoT-Geräte zur Bildung eines Bot-Netzes instrumentalisiert und anschließend Unmengen von Anfragen an deren Server von diesen Geräten geschickt wurden, um diese zu überlasten.

Auch wenn unternehmensintern bislang wenig solcher vernetzten Geräte im Einsatz sind, so werden sie jedoch immer häufiger von den eigenen Mitarbeitern für berufliche Zwecke eingesetzt und sind damit einer Kontrolle schwer zugänglich. Insofern sollte die Verwendung privater Geräte untersagt oder streng reglementiert werden.

Allerdings sollte man den Einsatz dieser Produkte nicht grundsätzlich verteufeln, da man in vielen Bereichen, an die Funktionen der Geräte gebunden ist. Wichtig ist ein vorausschauendes Planen und verbindliche Vorgaben, wie eine Integration in den Arbeitsalltag des Unternehmens sicherheitskonform stattzufinden hat. Insbesondere die Berücksichtigung im Patchmanagement und das regelmäßige Ändern von Passwörtern sind unerlässlich. Es gibt eine Vielzahl von Dingen, die zu beachten sind, so dass es sich empfiehlt, eine gemeinsame Sicherheitsstrategie mit ihrem IT-Experten zu entwerfen. Bereits einfache Schutzmaßnahmen machen sie erheblich unattraktiver für Cyber-Kriminelle, denn der Wolf sucht sich immer das schwächste Lamm aus der Herde raus.