Großbritannien: Gesetz soll für mehr IoT-Sicherheit sorgen

Standard-Passwörter, fehlende Sicherheitsupdates - IoT-Geräte haben immer wieder mit Sicherheitsproblemen zu kämpfen. Großbritannien stellt in einem Gesetzesentwurf Sicherheitsanforderungen. Erfüllen Geräte die Vorgaben nicht, dürfen sie laut den Plänen nicht mehr verkauft werden.

Artikel veröffentlicht am 28. Januar 2020, 11:23 Uhr, Moritz Tremmel

Das Internet der Dinge (Symbolbild) (Bild: Jeferrb/Pixabay)

IoT-Geräte (Internet of Things) gelten als notorisch unsicher. Erst kürzlich wurde eine Datenbank mit über 500.000 Zugangsdaten zu Routern und IoT-Geräten veröffentlicht. Mit einem Gesetz möchte die britische Regierung die Sicherheit der Geräte steigern, indem sie beispielsweise Standardpasswörter verbietet. IoT-Geräte, die sich nicht an die Vorgaben halten, dürften laut dem Gesetzesentwurf nicht mehr in Großbritannien verkauft werden. Zuerst hatte das Onlinemagazin ZDnet berichtet.

"Unser neues Gesetz wird Firmen, die mit dem Internet verbundene Geräte herstellen und verkaufen, zur Rechenschaft ziehen und Hackern, die die Privatsphäre und Sicherheit der Menschen bedrohen, Einhalt gebieten", sagte Matt Warman, Staatssekretär im britischen Ministerium für Digitales, Kultur, Medien und Sport (DCM).

Nach dem Gesetzesentwurf müssen Hersteller von mit dem Internet verbundenen Geräten individuelle Passwörter verwenden, die sich auch nicht über die Werkseinstellungen auf ein Standardpasswort zurücksetzen lassen. Zudem müssen Nutzer Sicherheitslücken bei einer Anlaufstelle des jeweiligen Herstellers melden können, die zudem zeitnah reagieren muss. Auch die Versorgung mit Sicherheitsupdates müssen die Hersteller für die Kunden transparent machen. Demnach müssen sie die minimale Supportdauer der IoT-Geräte online oder im Laden nennen.

Der US-Bundesstaat Kalifornien hatte bereits 2018 Standardpasswörter in IoT-Geräten verboten. Die Richtlinie für Routersicherheit des Bundesamts für Sicherheit in der Informationstechnik (BSI) verlangt ebenfalls ein gerätespezifisches Passwort. Auch das Mindesthaltbarkeitsdatum der Router muss laut der Richtlinie auf der Herstellerwebseite genannt werden, nicht jedoch auf der Geräteverpackung. Die Richtlinie, die sich nur auf Router bezieht, wurde vom Chaos Computer Club und den Entwicklern der freien Router-Firmware OpenWRT kritisiert.