«Wir befinden uns in der Sturm-und-Drang-Phase»

In Sachen Internet der Dinge befänden wir uns in einer Sturm-und-Drang-Phase. Dies konstatiert Hannes Lubich, Professor für ICT System und Service Management am Institut für Mobile und Verteilte Systeme an der Hochschule für Technik der Fachhochschule Nordwestschweiz während seiner Keynote an der 18. Berner Tagung für Informationssicherheit, die sich mit einer ganzen Reihe von Beiträgen den Chancen und Risiken des Internet of Things (IoT) widmete und von der Information Security Society Switzerland (ISSS), einem Schweiz-weiten Verband von ICT-Security-Experten, durchgeführt wurde. «In dieser Phase», so Lubich weiter, «gibt es wie bei jeder invasiven Technologie Höhen und Tiefen. Es gibt Propheten, die davon sprechen, was kommen wird, und jene, die hinterher erklären, warum es anders herausgekommen ist».

Erste Risiken treten schon jetzt zutage. Man erkenne, dass man auch diese neue Technik gebrauchen und missbrauchen könne. Es gibt aber laut Lubich einen grossen Unterschied zu früheren Technologie-Einführungen wie etwa dem Aufkommen des Automobils. Dort hätte man zwar auch erst einmal die Technik entwickelt und später dann Regeln erstellt, wie mit dieser umzugehen sei, etwa dass man auf der einen oder anderen Strassenseite zu fahren habe. «Doch für die Einführung dieser disruptiven Technologien und für deren Adaption hatte die Menschheit mehrere Generationen lang Zeit. Diese Zeit haben wir nun nicht mehr», stellt er fest. Der Mensch verhält sich bei der Adaption von IoT wie immer sehr gefährlich. «Wir schliessen irgendwelche Dinge an, die an sich schon unsicher sind, über Netze, bei denen wir Mühe haben, sie abzusichern, mit Applikationen, die wir kaum im Griff haben, die ständig Fehler produzieren, und haben den Eindruck, das komme dann schon gut», meint er treffend. Nächste Seite: Physische Welt betroffen

Auch wenn die Vorgehensweise ähnlich ist, gibt es gemäss Lubich bei der Adaption des Internet der Dinge einen grossen Unterschied. «Bisher waren die Werte, die durch Unsicherheit in Gefahr waren, virtueller Natur», konstatiert er. So sei bei einem Angriff auf ein Bankkonto zwar virtuelles Geld verloren gegangen, aber niemand sei physisch in Gefahr geraten. Das ändere sich nun mit dem Internet der Dinge. Hier sei die Informatik und die Informationssicherheit in der physischen Welt angekommen, sei es durch selbst fahrende Autos, Waffen ausdruckende 3D-Printer oder Kraftwerke, die aus der Ferne gesteuert werden könnten. «Hier ist eine gefährliche Brücke entstanden», stellt Lubich fest. Eines der Probleme entstehe dadurch, dass nun uns vertraute Dinge wie Kühlschränke und Toaster Rechenleistung erhielten, dass diese auch noch untereinander zu kommunizieren begännen und plötzlich Entscheidungen übernehmen würden, die irgendjemand zu verantworten habe. «Ich befürchte, dass ich in fünf Jahren nicht mehr der Besitzer meines Kühlschrank bin, sondern dessen Halter, der vielleicht sogar eine Halterprüfung ablegen muss», so Lubich. Zudem müssten wir herausfinden, wie sehr die Dinge einmal selbstständig Entscheidungen treffen dürften und über unser Leben entscheiden könnten. Lubich nannte als Beispiel die smarte Personenwaage, die nach der Gewichtsmessung des Besitzers dem Kühlschrank die Anweisung gibt, sich heute nicht mehr zu öffnen. Diese Entscheidungen könnten sehr moralisch-ethisch ausfallen, wie etwa bei einem selbst fahrenden Auto, das in eine Situation gerät, bei der es den Insassen gefährden oder bei einem Ausweichmanövers nach links ein Schulkind, respektive nach rechts einen Rentner treffen könnte. «Hier sind noch viele Fragen zu klären, ob sich das Auto beispielsweise im Sinne der AHV entscheiden darf.»

Auch  Haftungsfragen seien noch kaum geklärt. So beurteile die Swiss Re beispielsweise das Internet der Dinge als kommendes Risiko, als «emerging risk». Lubich erörtert das Problem wieder mit Hilfe des selbst fahrenden Autos. «Wer ist bei einem Unfall die haftende Gegenpartei? Ist das der Fahrer? Der kann nichts dafür, denn er hat nicht einmal ein Lenkrad. Oder ist es vielmehr der Programmierer der Software? Der würde argumentieren, es handle sich um selbst lernende Software und der Code habe mit dem, was er ursprünglich entwickelt habe, nichts mehr zu tun. Ist es der Hersteller des Autos, der die Software gekauft hat? Ist es der Betreiber des Fahrzeugs? Der wird sagen, er habe auf die Technik keinen Einfluss.» Kein Wunder, wollten viele Versicherungen sich hier noch nicht festlegen, zumal es ja um Schäden ginge, die Leib und Leben beträfen, so Lubich. Er kann sich daher vorstellen, dass analog zur juristischen Person bei Firmen in Zukunft eine weitere Entität geschaffen werden könne, die solche Fälle dann abdeckt. Nächste Seite: Alte, fehlerhafte Software und nichts gelernt

Schon Lubich wies in seinem Vortrag darauf hin, dass all die Dinge des Internet of Things mit Software ausgestattet seien, die bekanntlich noch nie fehlerfrei gewesen sei. Volker Birk vom Chaos Computer Club Schweiz und Mitgründer des Projekts «pEp - Pretty Easy Privacy», doppelte in seinem anschliessenden Referat nach. Exemplarisch an schon heute vernetzten Dingen wie dem Homerouter oder WLAN-Drucker zeigte er auf, dass hier meist veraltete und damit löchrige Firmware im Einsatz sei sowie meist Standard-Konfigurationen zum Einsatz kommen. Somit hätten Angreifer ein leichtes Spiel. Nun kämen weitere Geräte ans Netz, deren Software eigentlich sporadisch erneut werden sollte. «Wie update ich künftig meine Glühbirne oder meinen Kühlschrank», fragt sich Birk und konstatiert, dass man nicht davon ausgehen könne, dass die Dinge dies automatisch täten. «Kleiner Tipp: Der smarte Fernseher tut's nicht», meint Birk unter Hinweis auf den Smart-TV eines «bekannten grossen südkoreanischen Hersteller, der gerne seine Kunden überwacht», bei dem bereits an der Black Hat 2013 aufgezeigt wurde, dass keine Updates  stattfänden. «Ich kann also davon ausgehen, dass die intelligente Glühbirne auch kein Update erfahren, geschweige denn, dass ein Patchmanagement stattfinden wird», meint er und befürchtet damit hnliches wie IT-Security-Guru Bruce Schneier. Ein weiteres Einfallstor ortet Birk bei den Smartphones. Diese, respektive auf ihnen laufende Apps würden für die Steuerung der vernetzten Dinge verwendet. Über einen Angriff aufs Mobiltelefon könnte somit auch das Internet der Dinge attackiert werden.

Enttäuscht ist Birk, dass man aus den Fehlern der Vergangenheit, namentlich beim Aufbau des Internet, bezüglich des Internets der Dinge nichts gelernt habe. «Ich hatte die Hoffnung gehabt  - und ich verwende hier bewusst das Plusquamperfekt -, dass wir nicht die gleichen Fehler wie beim Internet machen würden, also dass wir auf dezentrale Systeme statt auf zentrale setzen, dass wir von Anfang an Kryptografie einbauen sowie freie Software bevorzugen würden», erklärt er. Dies geschehe aber nicht einmal in Ansätzen, beklagt Birk. Schlussendlich wird leider auch beim Internet der Dinge das Prinzip gelten, das Lubich im Fazit seiner Keynote erwähnte: «Erst bauen, dann schauen».