Die Möglichkeiten steigen exponentiell – genau wie die Gefahren: Im Internet der Dinge sind unbedarfte Nutzer skrupellosen Angreifern schutzlos ausgeliefert. Das muss sich ändern. 

Die E-Mail schien harmlos, ebenso die angehängte Datei – doch der Inhalt hatte es in sich: Als er die Datei öffnet, schleust ein argloser Mitarbeiter einen Trojaner in das IT-System des Lukaskrankenhauses in Neuss bei Düsseldorf. Die Folge: Eine angedrohte Verschlüsselung sämtlicher Systeme. Um sie wieder freizugeben, fordern die Erpresser Lösegeld. Techniker fahren sofort die komplette IT herunter, um eine Ausbreitung zu verhindern. Die Geschäftsleitung schaltet das Landeskriminalamt sowie das Bundesamt für Sicherheit in der Informationstechnik (BSI) ein. Kurz: Es herrscht Ausnahmezustand. „Gezahlt haben wir nicht“, sagte Nicolas Krämer, Geschäftsführer der Klinik, während einer Konferenz zum Thema „IT-Security im Internet der Dinge“ des eco Verbands der Internetwirtschaft, die ich Anfang Juni besuchte. „Dennoch hat uns das Ganze vor allem wegen der hohen Honorare für externe Berater eine Million Euro gekostet.“

 „Cyberkriminelle kundschaften Unternehmen aus“ 

Was Krämer über die Cyberattacke auf sein Krankenhaus erzählte, hinterließ vor den knapp 60 Branchenexperten nachhaltigen Eindruck. Längst kein Einzelfall, wie Dirk Kunze, Dezernatsleiter im Cyber-Crime Kompetenzzentrum beim LKA NRW ergänzte. „Wer meint, er wäre noch nie Opfer von Cyberangriffen geworden, hat es meiner Ansicht nach bisher einfach noch nicht bemerkt.“  

Auf rund 100 Milliarden Euro schätzt der Kriminalrat den Schaden, der in Deutschland in den letzten zwei Jahren durch Cyberkriminalität in Unternehmen entstanden ist. Selbst das LKA wäre beinahe einmal Opfer eines Ransomware-Angriffs geworden – hätte ein Kollege, der eine E-Mail mit Verschlüsselungstrojaner erhielt, nicht rechtzeitig Verdacht geschöpft. Kunze: „So wie früher Einbrecher ihre Objekte ausgeleuchtet haben, kundschaften Cyberkriminelle heute Unternehmen aus. Deshalb wird meiner Meinung nach in diesem Bereich viel zu wenig getan.“   

Dabei ist den meisten Unternehmen längst klar, wie gefährlich Viren, Trojaner und Ransomware werden können. Laut eine
Studie des eco Verbands der Internetwirtschaft gehen 95 Prozent aller IT-Sicherheitsexperten hierzulande davon aus, dass die Gefahr durch Ransomware massiv ansteigen wird. Viele sprechen offensichtlich aus Erfahrung: Fast ein Drittel (31 %) hatte in letzter Zeit mindestens einen Ransomware-Sicherheitsvorfall im Unternehmen. 

Und mit dem Internet der Dinge steigen derartige Gefahren rasant – und damit die Herausforderungen, sich zu schützen. In atemberaubendem Tempo werden immer mehr Dinge mit dem Internet verbunden. Branchenanalyst Gartner geht zum Beispiel davon aus, dass bereits in diesem Jahr 8,4 Milliarden Geräte am Netz sein werden. Damit bevölkern schon jetzt deutlich mehr webfähige Geräte die Erde als Menschen.  

Dringender Handlungsbedarf

Was folgt daraus? Niemand ist sicher, im Internet der Dinge kann jeder Opfer einer Attacke werden. Deshalb Kopf in den Sand stecken? Keine Option, denn wer bei der digitalen Transformation auf Abschottung setzt, arbeitet an der eigenen Abschaffung.  

Daher sind meines Erachtens vor allem zwei Dinge dringend nötig:   

1. Ein besseres Bewusstsein. Viele bemerken Angriffe nicht einmal, andere fühlen sich von den Katastrophen, die das Internet der Dinge mit sich bringen kann, gar nicht bedroht. „Wer interessiert sich denn für mich als kleinen Mittelständler, denken viele – doch das ist ein fataler Fehler“, sagte beispielsweise Thorsten Urbanski vom Security-Anbieter G-Data während der Podiumsdiskussion im Düsseldorfer Wirtschaftsforum. Das Internet der Dinge ist einfach noch zu jung, um damit gedankenlos zu agieren. Oftmals haben Hersteller, die vernetzte Geräte anbieten, im Bereich IT-Security zu geringe Kompetenzen. Entsprechend unsicher sind dann ihre Geräte. Daher sollten sich Nutzer – ob im Konsumenten- oder im industriellen Bereich – so viele Informationen zur Sicherheit ihrer Geräte besorgen, wie sie können. Was viele gar nicht wissen: Manche Hersteller schützen ihre Geräte nicht einmal mit einem Standard-Passwort. Wenn sich dann ein Fremder mit ihnen verbindet, ist das laut einem aktuellen BGH-Urteil nicht einmal strafbar. Vor diesem Hintergrund ist der Apell von LKA-Mann Kunze mehr als nachvollziehbar: „Man muss sich die Frage stellen: welche Dinge müssen vernetzt sein, und welche nicht? Muss die Kaffeemaschine wirklich online sein? Muss ich den Kühlschrank wirklich vernetzen? Denn: Jedes System ist angreifbar.“
   
   
2. Mehr Regeln! Meiner Ansicht nach muss das Internet der Dinge stärker reguliert werden. Denn aktuell kann jeder Produkte mit Internetanschluss anbieten – dabei ist es piepegal, ob es ein Schlüsselanhänger, ein Industrieroboter oder ein Toaster ist. Für die IT-Sicherheit der Geräte trägt der Hersteller keine Verantwortung. Geht der Hersteller einer Solaranlage pleite und liefert kein Firmware-Update mehr, ist es das Problem des Nutzers. Warum eigentlich? Beim autonomen Fahren ist es doch auch anders. Weil da die Gefahr greifbarer ist. Wenn das System versagt, sterben im Straßenverkehr Menschen – das leuchtet jedem sofort ein. Deshalb kommen nirgendwo auf der Welt autonome Fahrzeuge auf die Straße, bevor nicht die Haftungsfrage geklärt ist. Und deshalb wurde in Deutschland kürzlich das Gesetz entsprechend angepasst. Demnach müssen Fahrzeuge, die teilautonomes Fahren ermöglichen, eine Blackbox haben, deren Daten nach einem Unfall klären, ob die Technik – und damit der Hersteller – oder der Fahrer Schuld hat und wer somit haftet. Gut so! Dringend nötig ist eine entsprechende gesetzliche Regelung, die auch die IT-Hersteller mehr in die Pflicht nimmt. Damit nicht am Ende immer der Nutzer, das Unternehmen oder der Anwender der Geschädigte ist, nur weil er keine ausreichenden IT-Kenntnisse hat, um zu prüfen, ob seine Kaffeemaschine sicher genug ist.