"Wir müssen davon ausgehen, bereits kompromittiert zu sein"

Am 1. September hat Swisscom seinen ersten Cyber-Security-Report vorgestellt. Bei Kaffee und Gipfeli informierte Swisscoms Sicherheitsexperte Stefan Frei über die neuesten Erkenntnisse des Telkos in Sachen Cybersicherheit.

Der Report wurde unter der Prämisse angefertigt, dass die Sicherheit im Internet alle betrifft, wie Frei sagte. Für ihn ist die Internetsicherheit eine Gemeinschaftsaufgabe. Denn nur wenn die Sicherheit hochgehalten werde, könne die Gesellschaft von den Vorteilen der neuen Technologien profitieren.

Proaktives und reaktives Antworten

Swisscom beobachtet anhand eines Bedrohungsradars die Sicherheitslage. Dabei unterscheidet der Telko die drei Stufen: Beobachtung, Früherkennung und sogenannte Hauptthemen. In der ersten Stufe befinden sich etwa Technologien wie der 3-D-Druck, der in Zukunft eine Gefahr darstellen könnte. Mit relativ geringen Ressourcen hält Swisscom die Entwicklungen auf der ersten Stufe im Auge und erstellt Gefahrenanalysen.

Erst im Bereich Früherkennung ergreift Swisscom aktiv Massnahmen zur Gefahrenabwehr. Zudem werden Konzepte zur Verteidigung potenzieller Risiken erarbeitet, die auch erst in einigen Jahren auftreten könnten. Auf diese Weise will sich Swisscom für künftige Bedrohungen wappnen. Die Hauptthemen sind schliesslich Risiken, die schon brandheiss sind. Swisscom steckt die meisten Mittel in diesen Bereich. All dies sind laut Frei proaktive Massnahmen, mit denen sich das Unternehmen langfristig auf Gefahren vorbereitet.

Auf einige Bedrohungen könne Swisscom jedoch nur reagieren. Teilweise würden sich Technologien so schnell entwickeln und unerwartet auftauchen, dass sie nicht vom Früherkennungssystem registriert würden, sagte Frei. Diese werden dann in der Kategorie Brennpunkt erfasst. Bei diesen Gefahren arbeite Swisscom mit Hochdruck an Lösungen, betonte Frei.

Risiken in der Firmware

Der wohl beeindruckendste Moment der Präsentation Freis war, als er die Sicherheitsrisiken in der Hard- und Firmware ansprach. "Wir müssen davon ausgehen, dass wir bereits kompromittiert sind", sagte er. Ob nun durch den Hersteller selbst, Gesetze von Regierungen oder Programmierfehler: In der Firmware gebe es viele Hintertüren, sagte Frei weiter. Diese könnten Angreifer leicht ausnutzen und somit ausgefeilte Firewalls und Sicherheitsmechanismen einfach umgehen.

Erschwert werde dies noch dadurch, dass nur wenige Firmen aus noch weniger Ländern Infrastrukturprodukte herstellen. Frei sprach daher von einer Abhängigkeit. Direkte Angriffe auf die Basis könnten nicht verhindert werden, sagte Frei.

Swisscom bemühe sich daher, solche Firmware-Lücken zu finden. Dazu arbeitet das Unternehmen nach eigenen Angaben auch mit anderen Telkos eng zusammen. Demnächst wolle Swisscom auch noch viel tiefer in die Firmware vordringen, betonte Frei. Details nannte er aber noch nicht.

Vernetzung bringt mehr Risiken

Die grösste Gefahr sieht Frei in der zunehmenden Vernetzung von Geräten, wie dem Internet der Dinge (IoT) oder Smarthome-Anwendungen. Dadurch würden sich laufend neue potenzielle Angriffsziele ergeben. Die Hersteller dieser Produkte hätten häufig noch nicht auf die Gefahren reagiert, sagte Frei. Softwarehersteller würden etwa regelmässig Sicherheitslücken mit Patches schliessen. Dabei würden sie zwar den Angreifern zeitlich hinterherhinken, das Zeitfenster der Reaktion sei aber noch akzeptabel. Hingegen stünden andere Technologien durch den rasanten Fortschritt inzwischen weit offen.

Als Beispiel nannte Frei den Garagentüröffner. Vor 20 Jahren war dieser noch sicher. Jetzt könnten diese Geräte schon mit einfachen Mitteln geknackt werden, da die Hersteller während des Lebenszyklus keine Patches bereitstellten. Dadurch hätten Angreifer einen grossen Vorsprung und leichtes Spiel. Bei Geräten wie smarten Kühlschränken oder Fernsehern könnte dies künftig ein Problem darstellen.

Für Frei sind daher die Hersteller gefragt, auf dieses technologische Rennen zu reagieren. In der Automobilindustrie sei diese Erkenntnis gerade erst angekommnen. Andere Industrien müssten diesen Lernprozess noch durchlaufen, sagte Frei. Alte Sicherheitsannahmen seien zu revidieren und regelmässig den neuen Bedrohungslagen anzupassen, zeigte sich Frei überzeugt.