Wer ist für welchen Teil der IoT-Sicherheit zuständig?

Warum die Zuständigkeit im IoT so oft unklar ist

Eine IoT-Anlage entsteht aus Teilen, die vier verschiedene Parteien liefern, und keine dieser Parteien sieht das Ganze. Jeder Vertrag beschreibt eine Leistung, keiner beschreibt die Übergänge. Genau dort entstehen die Lücken, die im Betrieb auffallen — meist erst, wenn etwas nicht funktioniert oder jemand einen Nachweis verlangt.

Diese Frage gehört zur Säule IoT-Sicherheit & Netzarchitektur: Die folgende Übersicht ist als Vorlage gedacht — tauschen Sie jeden Namen gegen den eigenen Lieferanten, und die allgemeine Aufteilung wird zur Aufteilung Ihrer eigenen Anlage.

Vier Beteiligte, vier Verantwortungsbereiche

Der Gerätehersteller verantwortet Firmware, Schlüsselablage und Aktualisierbarkeit. Der Netzbetreiber verantwortet die Funkstrecke und deren Verschlüsselung. Der Konnektivitätsanbieter verantwortet den Datenweg ab dem Netz, den Zugangspunkt und die Adressvergabe. Der Anlagenbetreiber verantwortet Konfiguration, Zugänge, Überwachung und jeden Nachweis gegenüber Dritten. Keiner der vier kann den Bereich eines anderen übernehmen.

Gerätehersteller. Er liefert die Firmware, legt fest, wo Schlüssel im Gerät abgelegt werden, und entscheidet, ob und wie lange Aktualisierungen nachgeliefert werden. Ohne Update-Fähigkeit bleibt eine einmal gefundene Schwachstelle dauerhaft offen. Diese Verantwortung endet an der Werksauslieferung.

Netzbetreiber. Er stellt die Funkstrecke zwischen Gerät und Netz und entscheidet über deren Verschlüsselung. Diese Verschlüsselung ist eine Option des Netzbetreibers und wird nicht vom Kunden gesetzt — ob sie aktiv ist, lässt sich von außen kaum prüfen. Wer hier Sicherheit voraussetzt, setzt eine Entscheidung voraus, die er selbst nicht trifft.

Konnektivitätsanbieter. Er verantwortet den Datenweg ab dem Netz, den Zugangspunkt und die Adressvergabe. Damit legt er fest, wie ein Gerät erreichbar ist und über welchen Weg Daten laufen — nicht, was auf dem Gerät selbst passiert.

Anlagenbetreiber. Er verantwortet Konfiguration, Zugänge, Überwachung und jeden Nachweis gegenüber Dritten — vom Kennwort auf dem Gerät bis zur Antwort auf eine behördliche Anfrage. Diese Rolle lässt sich an keinen der drei anderen Beteiligten abgeben.

Die Aufteilung in einer Übersicht

Die Übersicht ordnet zwölf Aufgaben den vier Beteiligten zu und nennt je Aufgabe, woran man erkennt, dass sie unbesetzt ist. Sie ist keine Rechtsauskunft: Was ein Vertrag im Einzelfall regelt, geht der Zuordnung immer vor. Sie ist eine Prüfvorlage für das erste Gespräch mit jedem Lieferanten — wo kein Name genannt werden kann, liegt die Lücke.

Diese Zuordnung ist redaktionell — der Vertrag geht im Einzelfall immer vor.

Wo die Verbindung endet und das Gerät anfängt

Die häufigste Verwechslung: Ein privater Zugangspunkt trennt den Datenweg, er härtet aber kein Gerät. Steht am Ende des getrennten Wegs eine Steuerung mit dem Kennwort aus dem Handbuch, ist die Anlage angreifbar — nur eben aus dem eigenen Netz statt aus dem offenen Internet.

Zwei weitere Übergänge zeigen dasselbe Muster: Die Gerätebindung schützt die Karte, nicht das Gerät — sie verhindert nur, dass die Karte in fremder Hardware arbeitet. Ein Tunnel schützt den Inhalt der Verbindung, nicht den Zugang zum Tunnelende — wer dort ankommt, trifft auf dieselbe Konfiguration wie ohne Tunnel.

Jeder dieser Bausteine hat einen Rand, und hinter jedem Rand steht der Betreiber.

Der Datenweg — wer Auskunft gibt, wer nachweisen muss

Die Trennung ist einfach und wird trotzdem oft verfehlt: Auskunft über den Datenweg gibt der Anbieter, den Nachweis führt der Betreiber. Ein Anbieter kann sagen, wo Daten geführt werden und über welche Vorlieferanten. Er kann nicht bescheinigen, dass eine Anlage damit einer Vorgabe entspricht.

Vier Auskünfte sollte ein Betreiber von seinem Anbieter verlangen: Wer betreibt den Datenweg? Welche Vorlieferanten stehen dahinter? Wo bleiben die Daten geografisch? Wie und in welcher Zeit wird eine Störung gemeldet?

Für SIM4IOT gilt dazu eine freigegebene technische Aussage: Über den privaten Netzzugang bleibt der Datenverkehr in der Europäischen Union, ohne Weg über Drittländer. Rechenzentrumsstandorte, Netzknoten oder ein Zertifikat nennen wir dabei nicht.

Der Meldeweg ist belegt: über das SIM-Kartenportal oder vorher vereinbarte Wege, immer schriftlich, mit betroffenen Karten und Fehlerbeschreibung. Eine Reaktionszeit sichern wir dabei nicht zu.

Drei Lücken, in die Projekte regelmäßig fallen

Drei Lücken entstehen fast immer an denselben Stellen: die Fernwartung, für die niemand die Zugangsverwaltung übernimmt, das Gerät, dessen Firmware nach der Abnahme niemand mehr aktualisiert, und der Nachweis, den alle Beteiligten beim jeweils anderen vermuten. Alle drei fallen erst im Betrieb auf.

Die Fernwartungslücke entsteht im Projekt, wenn Zugänge für die Inbetriebnahme vergeben, aber nie wieder entzogen werden. Sie fällt auf, wenn ein Techniker die Firma wechselt und der Zugang trotzdem noch funktioniert. Schließen muss sie der Anlagenbetreiber, weil nur er weiß, wer Zugriff braucht.

Die Firmware-Lücke entsteht, weil nach der Abnahme niemand mehr für Aktualisierungen zuständig fühlt — der Hersteller sieht das Gerät nicht mehr, der Betreiber wartet auf ein Update, das nicht kommt. Sie fällt auf, wenn eine Schwachstelle öffentlich wird und niemand sie schließt. Anders als beim Kartenschutz, der die Karte an ihr Gerät bindet, bleibt der Geräteschutz selbst hier unbesetzt.

Die Nachweislücke entsteht, weil jeder Beteiligte annimmt, ein anderer dokumentiere den Datenweg. Sie fällt auf, wenn ein Kunde oder eine Behörde einen Beleg verlangt und keiner ihn liefern kann. Schließen muss sie der Anlagenbetreiber, gestützt auf die Auskunft seines Anbieters.

Prüfliste vor dem Ausrollen

Sieben Fragen klären die Zuständigkeit, bevor Geräte in den Feldeinsatz gehen. Jede hat genau eine Antwort in Form eines Namens oder einer Rolle — nicht in Form einer Technik. Wo kein Name genannt werden kann, ist die Aufgabe unbesetzt, und das ist der eigentliche Befund dieser Liste.

Auf die Fragen drei bis fünf geben wir für unseren Teil Auskunft; die übrigen kann nur der Betreiber beantworten.

Für die Aufgaben, die auf unserer Seite liegen — Datenweg, Zugangspunkt, Adressvergabe, Gerätebindung — sagen wir Ihnen, was wir stellen und was nicht. Für die übrigen sagen wir Ihnen, welche Frage Sie welchem Lieferanten stellen müssen. Schicken Sie uns die Liste Ihrer Beteiligten, dann gehen wir sie gemeinsam durch.