Wo IoT-Systeme Cyberangriffe erkennen sollten: it’s OWL Projekt zeigt die entscheidenden Überwachungspunkte

„Vor Cyberangriffen kann man sich nicht 100-prozentig präventiv schützen. Deshalb ist die Angriffserkennung ein wichtiges Mittel, um Angriffe wenigstens zu erkennen und darauf zu reagieren. Eine Herausforderung ist dabei, zu entscheiden, wo und mit welchem Ressourceneinsatz eine Angriffserkennung sinnvoll ist. Mit IoT-ScuBA wollen wir genau dabei unterstützen“, sagt Dr. Markus Fockel vom Fraunhofer IEM.

Security by Design: Sicherheit von Anfang an mitdenken

Viele Sicherheitskonzepte setzen spät an. Produkte stehen bereits kurz vor der Markteinführung, Systeme laufen im Feld, und dann kommen Security-Anforderungen on top. Änderungen kosten viel Geld und bleiben oft halbherzig.

Security by Design folgt einem anderen Ansatz. Entwicklungsteams denken Sicherheit von Anfang an mit, wenn sie Architektur, Komponenten und Schnittstellen planen.

IoT-ScuBA nutzt die Bedrohungsanalyse als Startpunkt. Bedrohungsanalyse bedeutet: Teams erfassen systematisch, welche Arten von Cyberangriffen ein System bedrohen, wo Daten fließen und welche Komponenten besonders schützenswert sind. Aus dieser Analyse leitet das Projekt automatisch konkrete Überwachungspunkte ab. Dort setzt später die Angriffsdetektion an, also die Erkennung verdächtiger Aktivitäten im oder am System.

Vom Datenflussdiagramm zum Sicherheitskonzept: Vertrauensgrenzen richtig nutzen

Die Grundlage bildet ein Datenflussdiagramm. Es zeigt, welche Komponenten eines Systems miteinander sprechen, welche Daten sie austauschen und über welche Schnittstellen dieser Austausch läuft. So entsteht ein anschauliches Bild des Gesamtsystems.

In diesem Diagramm markieren Vertrauensgrenzen die Übergänge zwischen Bereichen mit unterschiedlicher Vertrauenswürdigkeit. Ein Beispiel ist der Schritt vom internen Firmennetz ins Internet. Ein anderes Beispiel ist die Grenze zwischen einer abgeschotteten Steuerungsebene und einem Serviceportal für externe Partner.

IoT-ScuBA nutzt diese Struktur als Fahrplan für die Angriffserkennung. Die Idee dahinter: Überall dort, wo Daten eine Vertrauensgrenze überschreiten, lohnt sich ein genauer Blick. Das Regelwerk empfiehlt, alle grenzüberschreitenden Datenflüsse gezielt zu beobachten und schlägt automatisch generiert vor, dass Teams Sensoren für die Angriffsdetektion an Punkten platzieren, an denen viele dieser Datenflüsse zusammenlaufen. So erreichen Unternehmen mit wenigen Überwachungspunkten eine hohe Abdeckung, statt kostenintensiv überall zu überwachen oder Überwachungspunkte unsystematisch oder gar willkürlich zu wählen.

Netzwerk, Gerät, Anwendung: So entsteht mehrschichtige Angriffsdetektion im IoT

Viele Jahre lang galt klassische Netzwerküberwachung als Standard. Sie beobachtet Datenpakete, die zwischen Systemen hin und her laufen. Viele moderne Angriffe bleiben dort jedoch unsichtbar, zum Beispiel bei verschlüsselten Verbindungen oder wenn Angreifer direkt auf Geräten und Anwendungen ansetzen.

IoT-ScuBA kombiniert deshalb drei Ebenen:

• Netzwerkbasiertes Monitoring beobachtet die Datenströme zwischen Komponenten.
• Hostbasiertes Monitoring sitzt direkt auf dem Gerät, etwa auf einem Router oder einer Steuerung, und beobachtet Prozesse oder Systemaufrufe.
• Applikationsbasiertes Monitoring schaut in die Anwendung hinein, etwa in einen Webservice oder eine Steuerungssoftware, und verfolgt Funktionen und Schnittstellenaufrufe.

Im Zusammenspiel entsteht eine mehrschichtige Angriffsdetektion. Das Regelwerk legt fest, welche Ebene an welcher Stelle am meisten bringt.

So priorisieren Unternehmen Überwachungspunkte für Angriffsdetektion

Teams bewerten Bedrohungen nach Wahrscheinlichkeit und Auswirkung. Dazu gehören zum Beispiel Manipulationen an Firmware, unautorisierte Steuerbefehle oder der Diebstahl sensibler Kundendaten.

Das Regelwerk von IoT-ScuBA knüpft an diese Bewertungen an und setzt klare Prioritäten. Im Fokus stehen vor allem:

• Prozesse mit erhöhtem Risiko,
• Assets mit besonderem Wert, etwa sicherheitskritische Steuerungen oder Kundendatenbanken,
• Datenspeicher und Komponenten in der Nähe von Vertrauensgrenzen

Auf dieser Basis richten Security-Teams ihre Überwachungspunkte auf Stellen mit hohem Hebel aus. Sie beobachten die Knoten, an denen Angriffe besonders schmerzen oder sich gut erkennen lassen. Das spart Aufwand und erhöht gleichzeitig die Chance, relevante Vorfälle rechtzeitig zu bemerken.

Threat Intelligence im IoT: Wie reale Angriffe die Überwachung nachschärfen

Sicherheit endet nicht mit dem Go-live eines Systems. Neue Schwachstellen, Angriffswerkzeuge und Taktiken entstehen laufend. IoT-ScuBA baut deshalb einen Rückkanal aus dem Betrieb in die Sicherheitsarchitektur ein.

Zwei Quellen spielen dabei eine zentrale Rolle:

• Threat Intelligence bündelt Informationen über aktuelle Angriffe, bekannte Schwachstellen und typische Muster von Angreifern. Diese Informationen stammen aus öffentlichen Meldungen, Fachquellen oder Branchenkreisen.
• Eigene Vorfalldaten stammen aus den eigenen Systemen, zum Beispiel aus Logdateien oder forensischen Analysen nach einem Sicherheitsvorfall.

IoT-ScuBA verknüpft diese Informationen mit dem vorhandenen Systemmodell. Neue Angriffsmuster zeigen, an welchen Stellen Unternehmen zusätzliche Sensoren einsetzen oder Regeln anpassen sollten. Entwicklung und Betrieb nutzen damit denselben Fahrplan. Was im Feld geschieht, schärft das Modell nach und verbessert Schritt für Schritt die Sicherheitsarchitektur.

Praxis bei Miele und Diebold Nixdorf: Wie IoT-ScuBA Systeme sicherer macht

Für Miele werden dank des it’s OWL Projekts die Sicherheitsaspekte der heterogenen Produktlandschaft beherrschbarer und für Diebold Nixdorf neuartige Angriffe auf Geldautomaten noch schneller erkennbar.

Diese und weitere Anwender profitieren auf mehreren Ebenen:

• Sie setzen Security by Design wirtschaftlich um, weil Angriffserkennung gezielt statt flächendeckend erfolgt.
• Sie erfüllen Sicherheitsstandards leichter, da sie Anforderungen systematisch aus der Bedrohungsanalyse ableiten.
• Sie senken Entwicklungs- und Wartungsaufwand durch wiederverwendbare Regeln und Vorlagen.
• Sie halten ihre Sicherheitsarchitektur aktuell und reagieren schneller auf neue Bedrohungen.

Direkt nutzbar: Regelwerk als Lösungsbaustein auf der it’s OWL Innovationsplattform

Unternehmen leiten dank der Lösungen des it’s OWL Projekts Überwachungspunkte nicht nach Bauchgefühl ab, sondern folgen klaren Regeln. Mit wenigen, gut gesetzten Sensoren behalten sie zentrale Bereiche ihrer IoT-Systeme im Blick.

Den Lösungsbaustein mit Regelwerk, Templates und Workflows finden Unternehmen auf der it’s OWL Innovationsplattform.