Smarte Lautsprecher, Wearables und Sensoren: Wie »up-to-date« sind diese IoT-Geräte?
Zahllose smarte IoT-Geräte sind in viele Lebensbereiche und kritische
Infrastrukturen vorgedrungen. Da sie sehr sensible Daten verarbeiten, ist
die Aktualität ihrer Soft- und Firmware essentiell – vor allem in Zeiten
von Hackerangriffen, des Datenmissbrauchs oder der Industriespionage. In
diesem Kontext hat eine neue Studie des Fraunhofer ISI Daten von 52
Milliarden Geräten analysiert und geklärt, wo die Geräte installiert sind,
wie aktuell ihre installierte Firmware ist und ob sich hierbei seit
Inkrafttreten der europäischen Datenschutz-Grundverordnung etwas
verbessert hat. Die Ergebnisse zeigen: Es ist nur eine Frage der Zeit, bis
es zu schwerwiegenden Cyberangriffen kommen könnte.
Nutzer tracken ihre Gesundheit und Fitness mit smarten Geräten, stellen
sich intelligente Lautsprecher mit leistungsstarken Mikrofonen mitten ins
Wohnzimmer oder nutzen billige Sensoren von No-Name-Herstellern für Smart
Home-Applikationen. Das Gleiche gilt für die Industrie, wo industrielle
IoT-Geräte zum Beispiel Maschinen überwachen. Die meisten dieser Geräte
verschwinden schnell aus der Wahrnehmung, wenn sie erst einmal installiert
und in Betrieb sind. Mögliche Schwachstellen in veralteter Firmware und
Updates oder Patches werden deshalb oft ignoriert, selbst wenn sie von den
Herstellern zur Verfügung gestellt werden – was nicht immer der Fall ist,
da viele von ihnen eine schnelle Markteinführung bevorzugen und nur selten
Software- oder Firmware-Updates und Patches bereitstellen. Dies kann zu
ernsthaften Datenschutz- und Sicherheitsbedrohungen für die Nutzenden
führen.
Politische Entscheidungsträger:innen weltweit sind sich dieser Bedrohungen
für die Nutzer:innen durchaus bewusst und streben daher strenge
Regulierungen wie etwa durch die europäische Datenschutz-Grundverordnung
an. Wobei das seit 2022 auch in einer EU-Richtlinie festgelegte »Recht auf
Updates« in Kraft ist, was ein weiterer wichtiger Schritt hin zu
sichereren Geräten darstellt. Kürzlich hat die EU-Kommission zudem den
»Cyber Resilience Act« unterzeichnet, der die Hersteller dazu
verpflichtet, den Verbraucher:innen auch mehrere Jahre nach dem Gerätekauf
Sicherheitsupdates zur Verfügung zu stellen.
Welche Auswirkungen hat dies auf die Hersteller smarter Geräte?
Eine neue Studie sucht Antworten auf unter anderem diese Frage und
analysierte 400 Terabyte an Daten von insgesamt 52 Milliarden Geräten, die
zwischen Oktober 2015 und Ende November 2021 mittels der IoT-Suchmaschine
Censys.io erhoben wurden. Dieser Datensatz beinhaltet verwertbare
Informationen zu 175 Millionen Geräten, 7.116 verschiedenen Modellen von
384 Herstellern und 17 verschiedene Gerätetypen. Die Daten ermöglichen
Vergleiche zwischen einer Vielzahl von Ländern, in denen die Geräte
installiert sind: Allen EU-Mitgliedstaaten, Großbritannien, den G7-Staaten
und der Schweiz, aber auch Russland und der Ukraine sowie asiatischen
Ländern wie Malaysia, Indonesien, Singapur und Japan. Die Ergebnisse
zeigen, dass die meisten Geräte in den USA (52%) installiert sind, gefolgt
von Deutschland (7%), Russland (4%), Großbritannien (4%), Japan (4%) und
Frankreich (4%).
Große Sicherheitsrisiken durch veraltete Firmware und hohes Gerätealter
Die Auswertung zum Stand von Ende 2021 zeigt, dass das Firmware-Alter der
in Deutschland betriebenen Geräte durchschnittlich 689 Tage bzw. 1,9 Jahre
ist. Darüber hinaus haben die Geräte seit fast einem Jahr (351 Tage) keine
andere Aktualisierung (z.B. in Form von Software-Updates, sogenannten
Patches) erhalten. Auf EU-Ebene ist die Situation sogar noch schlechter:
Die Verzögerung bei Firmware-Updates beträgt 930 Tage (2,5 Jahre) und
andere Aktualisierungen wurden seit 411 Tagen (1,1 Jahre) ignoriert. Das
bedeutet, dass die Verwendung vieler dieser Geräte mit großen
Cybersicherheitsrisiken verbunden ist und dass der Datenschutz hier nicht
mehr gewährleistet ist – die Geräte sind angreifbar und zum Beispiel
leichte Beute für Hackerangriffe.
Betrachtet man das Gerätealter und die geografischen Unterschiede, so
zeigt sich, dass Geräte in Irland am aktuellsten sind (239 Tage), während
in Portugal laufende Geräte mit durchschnittlich 786 Tagen das
Schlusslicht bilden. In Südostasien schneidet Singapur am besten (299
Tage) und Malaysia am schlechtesten ab (477 Tage bzw. 1,3 Jahre). Die
ältesten Geräte sind in Japan zu finden (716 Tage, fast 2 Jahre).
Hat die Datenschutz-Grundverordnung zu einer aktuelleren Firmware geführt?
Hinsichtlich der Frage, ob sich die Situation seit Inkrafttreten der
europäischen Datenschutz-Grundverordnung (DSGVO) zum Besseren verändert
hat – schließlich enthält sie entsprechende Regelungen dazu – zeigt die
Studie interessante Ergebnisse: Während sich auf globaler Ebene nach
Einführung der DSGVO das Gerätealter eher verringerte, sieht die Situation
in Europa anders aus: In 28 von 35 EU-Mitgliedsstaaten hat sich seit dem
Inkrafttreten der DSGVO das Gerätealter sogar um durchschnittlich 99 Tage
erhöht.
Dr. Frank Ebbers, Autor zweier Forschungspapiere zu diesem Thema (siehe
unten), interpretiert die Ergebnisse wie folgt: »Die niedrige
Aktualisierungsrate sollte sowohl Hersteller und Nutzende als auch
politische Entscheidungsträger:innen alarmieren und den Blick auf dieses
Thema schärfen. Es ist auch überraschend, dass die DSGVO tendenziell eher
keine Auswirkungen auf die Aktualität von Software in der EU hatte. Dies
könnte daran liegen, dass die Nutzer:innen glauben, dass nach
Inkrafttreten der DSGVO ab jetzt vor allem Unternehmen für Updates
zuständig sind und dass sich diese nun mehr um den Datenschutz ihrer
Kund:innen kümmern. Frank Ebbers ist der Ansicht, dass Hersteller,
Regulierungsbehörden und Nutzende gemeinsam hierfür verantwortlich sind:
»Nur durch gemeinsame Anstrengungen aller drei Akteursgruppen wird eine
sicherere IT-Infrastruktur möglich sein«. Oft heißt es, dass sich die
Situation mit automatischen, so genannten »Over-the-Air«-Updates,
verbessern ließe. Dies sieht der Forscher kritisch: »Hier stellt sich
zunächst die Frage, wer für Schäden haftet, die durch Fehler bei
automatischen Updates entstehen. Man denke nur an den medizinischen
Bereich, wo ein fehlerhaftes Update von tragbaren Patienten-EKG-Geräten
Leben kosten könnte«.
Die Regulierungsbehörden sollten daher Empfehlungen an Hersteller
aussprechen, die sie dazu verpflichten, einfache
Aktualisierungsmechanismen in ihre Geräte einzubauen, die für Endnutzende
leicht verständlich sind. Zudem könnten Updates als Teil der CE-
Kennzeichnung zu einer Voraussetzung für die Inbetriebnahme in Europa
werden.
- Aufrufe: 33