Reichen Präven­tion und Produkt­haf­tung gegen Attacken aus dem Internet der Dinge? #Cyber­crime #IoT

Es ist Frei­tag­nacht kurz vor zwölf, als in Dallas (Texas) 156 Sirenen aufheulen. Sie CC by kündigen ein Hoch­wasser an. 15 Mal ertönt für 90 Sekunden ein ohren­be­täu­bendes Geräusch von den Dächern, ohne dass die Wasser­pegel auch nur in der Nähe eines gefähr­li­chen Höchst­stands wären. Über 4’400 Bürge­rinnen und Bürger rufen verun­si­chert den Notruf an, der während Stunden über­la­stet ist.

Bald stellte sich heraus: Den Fehl­alarm hatte ein Hacker ausge­löst. Wahr­schein­lich wollte er auf die bestehenden Sicher­heits­lücken aufmerksam machen, denn eine Löse­geld­for­de­rung oder ein Beken­ner­schreiben ging bis dato nicht ein. Trotzdem ist die Tatsache, dass jemand von seinem heimi­schen Computer über­le­bens­wich­tige Warn­sy­steme einer Millio­nen­stadt mani­pu­lieren kann, beängstigend.

Die Sirenen von Dallas sind genauso Teil des Inter­nets der Dinge wie das smarte Baby­phone, die Wasch­ma­schine mit WLAN oder der intel­li­gente Strom­zähler des Ener­gie­an­bie­ters bei dir zuhause: Prak­ti­sche analoge Helfer, die sich vom Smart­phone aus steuern und über­wa­chen lassen. Das spart Zeit und Nerven. Welche Gefahren mit dieser Tech­no­logie verbunden sind, wissen die Wenigsten.

Wir haben bereits ausführ­lich darüber berichtet, wie Cyber­kri­mi­nelle dein Baby­phone und deinen intel­li­genten Strom­zähler kapern können, um Unter­nehmen anzu­greifen und zu erpressen. Der wirt­schaft­liche Schaden geht schon heute in die Millionen, Tendenz stei­gend. Darüber hinaus ist auch deine persön­liche Sicher­heit bedroht: Was, wenn weder E‑Bike noch Auto den Dienst verrichten, solange nicht 1’000 Franken Löse­geld bezahlt wird? Was, wenn auf Face­book plötz­lich Bilder kursieren, die ohne dein Wissen mit deiner Webcam aufge­nommen worden sind?

Das Lamm hat vor Kurzem bei Spit­zen­po­li­ti­ke­rinnen und ‑poli­ti­kern und bei einem Chef­be­amten nach­ge­fragt, wie sie uns vor den Gefahren des Inter­nets der Dinge schützen wollen. Ihre Antworten waren ernüch­ternd. Edith Litscher-Graf (SP), Balthasar Glättli (Grüne) und Max Klaus (MELANI) haben auf unseren Artikel reagiert und uns detail­lierter geschil­dert, was sie unmit­telbar für unsere Sicher­heit unternehmen.

Safer Internet mit MELANI

Max Klaus, der stell­ver­tre­tende Leiter der Melde- und Analy­se­stelle Infor­ma­ti­ons­si­che­rung (MELANI), stellt zuerst klar, dass MELANI vom Bundesrat mit dem Schutz der kriti­schen Infra­struktur beauf­tragt ist und sich vornehm­lich um Gross­un­ter­nehmen kümmert. Zudem stelle sie für die Bevöl­ke­rung und KMUs Infor­ma­tionen und Ratschläge zur Verfü­gung. Dazu gehören ein Halb­jah­res­be­richt zu Cyber-Angriffen, ein News­letter, ein Blog sowie diverse Check­li­sten und Merkblätter.

Insbe­son­dere die Sektion „Wie schütze ich mich?” auf der Home­page von MELANI enthält wich­tige Tipps: „MELANI empfiehlt, Webcams bei Nicht­ge­brauch durch ein Klebe­band abzu­decken“ (das Schmun­zeln vergeht einem späte­stens dann, wenn man weiss, dass selbst Face­book­chef Mark Zucker­berg die Webcam seines MacBooks abklebt).

Obwohl MELANI grund­sätz­lich wisse, welche Webcams und intel­li­genten Geräte in der Schweiz unter der Kontrolle von Hacke­rinnen und Hackern sind, seien ihr die Hände gebunden. Ohne Weisungs­recht gegen­über der Wirt­schaft bliebe es den Netz­be­trei­bern (Cablecom, Swisscom etc.) über­lassen, ob sie etwas dagegen unter­nehmen. Zudem dürfe MELANI auch nicht unter­su­chen, wer hinter den Angriffen steckt.

Hilfe aus dem Ausland oder gleich selbst angreifen?

Etwas Verwun­de­rung lösen diese Antworten schon aus. Denn schliess­lich stellt ein Cyber­kri­mi­neller mit einigen Tausend Webcams eine ziem­lich grosse Bedro­hung für wich­tige Gross­un­ter­nehmen wie die Swisscom, die SBB oder unsere Banken dar und würde somit wieder in den Aufga­ben­be­reich von MELANI fallen.

Könnte MELANI viel­leicht mehr tun, wenn sie mit einem ange­mes­senen Budget ausge­stattet wäre? Denn Länder wie Israel oder Schweden geben wesent­lich mehr für ihre Cyber­si­cher­heit aus als die Schweiz. Klaus hält diesen Länder­ver­gleich für gefähr­lich und meint: „Die vorhan­denen Ressourcen sind in normalen Lagen ausrei­chend. In spezi­ellen Lagen verfügt MELANI über zahl­reiche Kontakte zu befreun­deten Orga­ni­sa­tionen im In- und Ausland, die im Bedarfs­fall beigezogen werden können.”

Wie diese Arbeit im Detail aussieht und ob sich dadurch das Bedro­hungs­po­ten­zial für die Schweiz erhöht, blieb mit Verweis auf „takti­sche Gründe” unbe­ant­wortet. Aber man darf gespannt bleiben, nachdem Armee­chef Phil­ippe Rebord vor den Medien kürz­lich verlauten liess, dass die Armee schon heute in der Lage sei, einen Cyber­an­griff durchzuführen.

Mit einer fairen Daten­po­litik gegen die gellende Ignoranz?

Auch Natio­nal­rätin Edith Graf-Litscher von der SP aner­kennt, dass hinsicht­lich des Inter­nets der Dinge poli­ti­scher Hand­lungs­be­darf besteht. Ihr Vorschlag zielt dabei auf eine trans­pa­rente und faire Daten­po­litik ab: „Es braucht ein Recht auf eine Kopie unserer persön­li­chen Daten und die einfache und verständ­liche Möglich­keit, die Weiter­gabe der persön­li­chen Daten zu verbieten oder sie selber weiter­geben zu können.”

Inwie­fern eine faire Daten­po­litik die Sicher­heit des Inter­nets der Dinge erhöht, ist schwer abzu­schätzen. Sicher­lich würde ein erhöhtes Bewusst­sein für den Wert der eigenen Daten auch dazu führen, dass die Bevöl­ke­rung die Sicher­heit ihrer Daten höher gewichtet. Aber gegen­wärtig gibt die ahnungs­lose Mehr­heit ihre Daten beinahe bedin­gungslos preis. Damit spielt sie den Inter­net­kri­mi­nellen unab­sicht­lich in die Karten.

Den Markt mit seinen eigenen Waffen schlagen: Produktehaftung

Natio­nalrat Balthasar Glättli von den Grünen hat eben­falls keine Sofort­mass­nahme auf Lager, um die Sicher­heit des Inter­nets der Dinge zu erhöhen. Er sieht jedoch nicht die Bürge­rinnen und Bürger in der Pflicht, sondern die Hersteller inter­net­fä­higer Geräte. Deshalb habe er im März beim Bundesrat nach­ge­fragt, wie es um die Sicher­heits­vor­schriften solcher Geräte bestellt sei.

Stos­send sei insbe­son­dere, dass der Bund mehr Ressourcen für die mili­tä­ri­sche Cyber­si­cher­heit verlange, während keine Anstren­gungen für einen besseren Konsu­men­ten­schutz unter­nommen würden. Künftig dürfe es keine unge­schützen Geräte mehr geben, unab­hängig davon, ob man das mit längeren Gewähr­lei­stungs­zeiten oder einer Auswei­tung der Produk­te­haft­pflicht löse.

Fazit: Inter­net­si­cher­heit ist eine Randsportart

Glättli liegt mit seinem Vorschlag auf der Linie der gemein­nüt­zigen Digi­talen Gesell­schaft und bekämpft eine zentrale Ursache der aktu­ellen Gefah­ren­lage im Internet der Dinge. Auch Litscher-Grafs faire Daten­po­litik könnte zur Sicher­heit des Inter­nets der Dinge beitragen. Das Problem dabei ist: Netz­po­litik inter­es­siert (fast) niemanden und sie kämpfen auf weiter Flur alleine gegen die Igno­ranz ihrer Rats­kol­le­ginnen und unserer Mitbürger an. Deshalb werde ich den fata­li­sti­schen Gedanken nicht mehr los, dass es zuerst „chlöpfen” muss. Ein schweiz­weiter Strom­aus­fall, ein paar Tage ohne Swisscom oder EC-Karten, oder aufheu­lende Alarm­si­renen in Gösgen. Solange selbst der Daten­klau beim wich­tig­sten Rüstungs­be­trieb der Schweiz im tages­po­li­ti­schen Getöse unter­geht, sehe ich schwarz für die Sicher­heit des Inter­nets der Dinge.

PS: Um wenig­stens das subjek­tive Sicher­heits­ge­fühl zu erhöhen, empfehle ich euch diese 8 Safer-Internet-Tipps zu befolgen.