IoT-Botnetze: BSI fordert Zwangsänderung von Passwörtern

Das BSI fordert eine höhere Sicherheit von vernetzten Geräten. (Bild: BSI)

Die Hersteller vernetzter Geräte für das IoT sollen nach Ansicht des BSI höhere Sicherheitsstandards einhalten. Bei der Entwicklung dürfe nicht nur auf den Preis geachtet werden.

Nach wiederholten Denial-of-Service-Angriffen über Botnetze fordert das Bundesamt für Sicherheit in der Informationstechnik (BSI) höhere Sicherheitsstandards bei vernetzten Geräten. Der Angriff auf den Internet-Dienstleister Dyn "zeigt anschaulich, dass die Digitalisierung ohne Cyber-Sicherheit nicht erfolgreich sein wird", sagte BSI-Präsident Arne Schönbohm am Dienstag in Bonn. Hersteller von Netzwerkgeräten des sogenannten Internet of Things (IoT) sollten bei der Entwicklung neuer Produkte nicht nur auf funktionale und preisliche Aspekte achten, sondern notwendige Sicherheitsaspekte einbeziehen.

Bei sehr intensiven DDoS-Angriffen in den vergangenen Wochen wurden Botnetze eingesetzt, die vor allem aus vernetzten Geräten wie IP-Kameras, Druckern oder digitalen Videorecordern bestehen. Der Angriff auf den US-Sicherheitsforscher Brian Krebs hat gezeigt, dass diese großen Botnetze eine Gefahr für die Pressefreiheit werden können.

Viele Geräte lassen sich vor allem deshalb so leicht kapern, weil sie mit einheitlich voreingestellten Zugangsdaten ausgeliefert werden. Das BSI fordert daher, dass voreingestellte Zugangsdaten und Passwörter für alle Zugriffsmöglichkeiten durch den Nutzer geändert werden können. "Sind die voreingestellten Passwörter nicht für jedes Gerät individualisiert, so ist bei der Inbetriebnahme ein Passwortwechsel zu erzwingen", verlangt die Behörde. Nicht zwingend benötigte Dienste müssen nach Ansicht des BSI durch den Benutzer deaktiviert werden können. Zudem sollte die ein- und ausgehende Kommunikation des IoT-Geräts nur mittels kryptografisch geschützter Protokolle wie TLS erfolgen.

Regelmäßige und schnelle Sicherheitsupdates

Dem Forderungskatalog des BSI zufolge sollen Netzwerkgeräte nicht automatisiert über Universal Plug and Play (UPnP) eine unsichere Konfiguration im Router herstellen, etwa Verbindungen zu unsicheren Diensten erlauben. Die Hersteller sollten "regelmäßig, schnell und über einen hinreichenden Nutzungszeitraum hinweg Sicherheitsupdates für die Geräte zur Verfügung stellen". Zu guter Letzt sei die Firmware des IoT-Geräts hinreichend zu härten, um beispielsweise das unkontrollierte Nachladen von Inhalten aus dem Internet zu verhindern. Das BSI will laut Schönbohm den Dialog mit den Herstellern und Verbänden verstärken, "um gemeinsam Lösungsansätze zu entwickeln".

Der Internet-Dienstleister Dyn war nach eigenen Angaben am vergangenen Freitag das Opfer einer "ausgeklügelten und hoch verteilten Attacke mit zig-Millionen involvierter IP-Adressen" geworden. Durch die Attacken waren zahlreiche große Internetfirmen wie Netflix, Twitter, Amazon oder Airbnb zeitweilig nicht zu erreichen. Es seien zig-Millionen IP-Adressen beobachtet worden, die in Verbindung mit dem sogenannten Mirai-Botnetz stehen sollen.