„Die Embedded Security wird ein maßgebliches Produktmerkmal werden“

Benötigen eingebettete Systeme einen besonderen Stellenwert beim Schutz der IT-Systeme?

Cyberangriffe auf die Embedded-System-Branche

Warum ist Embedded Security ein so wichtiges Thema?

Prof. Dr.-Ing. Axel Sikora: Die Sicherheit von IT-Systemen ist ja schon außerordentlich wichtig, um die klassischen Schutzziele wie Vertraulichkeit, Identität, Authentisierung und Autorisierung zu gewährleisten und damit Daten und Informationen zu schützen. Embedded Systeme übernehmen darüber hinaus oft auch Steuerungsaufgaben. Wenn dann die Datensicherheit, die so genannte Security, kompromittiert wird, dann kann oft auch die funktionale Sicherheit, die Safety, beeinträchtigt werden. In der Folge können Maschinen und Anlagen übernommen, Autos ferngesteuert oder Kraftwerke heruntergefahren werden. 

Dass solche Angriffe nicht nur theoretisch möglich sind, zeigen zahlreiche Beispiele aus der Szene. Und gerade in Zeiten gestiegener politischer Spannungen und kriegerischer Auseinandersetzungen können diese Risiken nicht hoch genug einschätzt werden. Und dies gilt nicht nur für die so genannte kritische Infrastruktur (Kritis), sondern auch für viele nachgelagerte Anwendungen aus der Industrie, der Verkehrstechnik, der Umwelttechnik, der Smart Cities, der Smart Homes und Smart Buildings und vielen weiteren Beispielen.

IT-Security für eingebettete Systeme

Wie kann man Embedded-Systeme erfolgreich vor Cyberattacken schützen? 

Prof. Sikora: Um die Sicherheit von Embedded Systemen zu gewährleisten, ist gleich eine Vielzahl von Anforderungen zu erfüllen, die über die herkömmlichen IT-Security-Maßnahmen hinausgehen:

• Trotz der deutlichen Steigerungen in der Systemleistung verfügen viele Embedded Security immer noch über deutlich beschränkte Ressourcen. Dies bringt einerseits immer wieder technisch sehr herausfordernde und für mich außerordentlich reizvolle Herausforderungen mit sich, um die notwendigen Maßnahmen trotz der beschränkten Ressourcen umzusetzen. Andererseits ist zu beobachten, dass sich im Gegensatz hierzu die Leistungsfähigkeit der angreifenden Systeme immer weiter steigert … potenziell bis hin zur Nutzung von Quantencomputern. Da muss sich der David sehr gut gegen den Goliath verteidigen! Dabei bringt die Vernetzung mit dem Internet eine zusätzliche Angriffsfläche, weil diese große Rechenleistung von der Ferne aus zum Einsatz gebracht werden kann.

• Viele der Embedded Systeme befinden sich „im Feld“. Dies bedeutet, dass sie nicht durch physische Sicherheitsmaßnahmen, wie Zugangsschutz in ein Datencenter, geschützt werden können. Zu den Remote-Angriffen kommt also auch eine neue Klasse von physischen Angriffen hinzu.

• Beide Aspekte werden dadurch verstärkt, dass viele Anwendungen, die Embedded Systeme nutzen, sehr lange Lebenszyklen haben. In der Industrieautomation oder in der Verkehrstechnik sind da mehrere Jahrzehnte keine Seltenheit. Wir müssen also beim Entwurf schon heute mögliche Cyber-Angriffe aus den Jahren 2050 oder 2060 antizipieren. Um im Bild zu bleiben, wächst Goliath über die Zeit weiter, während David so klein bleibt. Er muss also umso intelligenter werden!

Es kommen einige weitere Aspekte hinzu, aber dazu bräuchte ich mindestens eine Vorlesungsstunde, um das detailliert zu erläutern. 

Embedded Security-Maßnahmen

Welche Security-Lösungen gibt es bereits?

Prof. Sikora: Die grundsätzlichen Ideen der Embedded Security sind erst einmal identisch mit den Prinzipien der klassischen IT-Security. Hierzu zählen grundlegende Prinzipien wie beispielsweise Security by Design, Security by Default, Defense in Depth oder auch die Nutzung von offenen Prinzipien, Algorithmen und Implementierungen. Hinzu kommt der Einsatz von speziellen Hardware-Lösungen, welche die bereits erwähnte physische Sicherheit eines Rechenzentrums auf der mikroelektronischen Ebene zu erreichen versucht. Und schließlich immer öfter die Security by Architecture, also die wirklich physische Trennung und die Rückwirkungsfreiheit der unterschiedlichen Systemkomponenten. Hierbei spielt das Bewusstsein eine Rolle, dass eine absolute Sicherheit nicht gewährleistet werden kann.

Grundsätzlich ist zu beobachten, dass die Angriffe und damit auch die Verteidigungsmaßnahmen immer komplexer werden. Oft genug stellen wir in unseren Projekten fest, dass es nur noch wenige Experten gibt, die die Herausforderungen und die Lösungen wirklich verstehen. 

Umso wichtiger ist der Einsatz von standardisierten Architekturen und Protokollen, um die Vorentwicklung gehärteter Module und deren dann auch kostengünstigeren Einsatz im System zu erlauben. Diese Module müssen dann entsprechend geprüft, abgesichert und u. U. zertifiziert werden, damit sie – wenn sie in größerem Maßstab eingesetzt werden – auch wirklich keine Angriffsflächen bieten.

Zukunft der Embedded Security

 
Können Sie eine Prognose abgeben, welchen Stellenwert Embedded Security in Zukunft wohl einnehmen wird? 

Prof. Sikora: Ich glaube, dass deutlich geworden ist, dass die Embedded Security eine immer größere Bedeutung gewinnen wird. Dabei sollte der alte Spruch „Security follows functionality“ immer weniger gelten. Und dies in zweifacher Hinsicht: zum einen dürfen die Embedded Security-Maßnahmen nicht nachträglich nach der Funktionsentwicklung konzipiert und implementiert werden, sondern müssen stattdessen von Anfang an integral mitgedacht werden. Zum anderen wird die Security ein immer wichtigeres Funktionsmerkmal werden, das wesentlich beispielsweise über die Einsatzmöglichkeiten, über eine einfache Integrierbarkeit oder über eine nachvollziehbare Bedienbarkeit entscheidet.

Cyber security: Gesetzliche Neuregelungen

Welche Bedeutung haben die neuen Gesetze und Regelungen für die Embedded-Systembranche?

Prof. Sikora: Die europäische und damit auch die nationalen Gesetzgeber haben eine Vielzahl von neuen Gesetzen und Regelungen auf den Weg gebracht, die die Anforderungen für die Entwickler und Betreiber von IT- und von Embedded-Systemen grundsätzlich verändern werden. 

Besonders zu nennen sind hierbei drei Handlungsstränge:

• Der EU Cyber Security Act (CSA) trat im Jahr 2019 in Kraft und muss von den Mitgliedsstaaten verpflichtend in vollem Umfang umgesetzt werden. Ein Rahmenwerk schafft einen einheitlichen Rahmen innerhalb der Europäischen Union, um die Sicherheit von Produkten, Dienstleistungen und Prozessen von Informations- und Kommunikationstechnologien (IKT) zu zertifizieren. Die Zertifikate informieren über die von den Produkten und Dienstleistungen erfüllten Sicherheitsanforderungen und sieht Sicherheitslevel in Form der Stufen "niedrig", "mittel" und "hoch" vor, die eine Risikoabwägung im Hinblick auf die Wahrscheinlichkeit eines Sicherheitsvorfalls beinhalten. In der niedrigsten Stufe können Hersteller die Konformität ihrer Produkte und Dienstleistungen selbst bewerten. Die höchste Stufe bestätigt umfangreiche Fähigkeiten, Cyberangriffe auf dem aktuellsten Stand der Technik abzuwehren. 
• Aber auch die neue Initiative für Netzwerk- und Informationssicherheit (NIS2.0) ist zu berücksichtigen. Diese wurde nach langen Verhandlungen im November 2022 auf europäischer Ebene angenommen und legt die Mindeststandards für die Regulierung Kritischer Infrastrukturen (KRITIS) in der EU fest, wobei in der neuen Regelung die Betroffenheit und Pflichten deutlich erweitert werden. Die EU-Staaten müssen NIS2.0 innerhalb der nächsten Monate in nationales Recht überführen. In Deutschland erfolgte diese durch das Sicherheitsgesetz 2.0, das im Mai 2023 in Kraft getreten ist und das KRITIS-Unternehmen beispielsweise verpflichtet, sich mit einer Anomalie-Erkennung zu beschäftigen bzw. diese einzusetzen.
• Besonders wenig ist bislang die so genannte delegierte Verordnung im Blickfeld, die die EU-Funkanlagenrichtlinie (RED) durch einige Absätze ergänzt. So wird insbesondere mandatiert, dass Funkanlagen über Sicherheitsvorrichtungen verfügen, die sicherstellen, dass personenbezogene Daten und die Privatsphäre des Nutzers und des Teilnehmers geschützt werden, und dass bestimmte Funktionen zum Schutz vor Betrug unterstützt werden.
  Die RED-Anforderungen sollen im Juni 2024 veröffentlicht werden, um dann schon ab August 2025 verbindlich zu sein. Hinzu kommen weitere anwendungsspezifische Anforderungen, wie beispielsweise ISO/IEC62443, die die technischen Sicherheitsanforderungen an Komponenten industrieller Automatisierungssysteme beschreibt, oder bei uns in Deutschland die Technische Richtlinie des BSI TR03109 für die Absicherung der Smart-Meter-Infrastruktur.

Also: viele komplexe Anforderungen und ein Dschungel. die da auf uns Entwickler zukommen und schon sehr zeitnah erfüllt werden müssen.

Embedded Security ist ein zentrales Thema der embedded world 2024 

Welchen Raum hat das Thema auf der #ew24?

Prof. Sikora: Wie bereits deutlich wurde, besteht ein massiver Zeit- und Handlungsdruck für die Entwickler, Integratoren und Betreiber von Anlagen, die Embedded Systemen beinhalten. Und entsprechend besteht ein riesiger Informationsbedarf, dem wir auf der embedded world 2024 Rechnung tragen. Die rechtlichen Anforderungen werden wir auf einer Podiumsdiskussion ausführlich diskutieren. Technologische Aspekte auf den unterschiedlichen Ebenen, von der Hardware und Software über sichere Protokolle bis hin zu den verschiedenen Testmöglichkeiten werden wir auf der embedded world Conference auf einem dedizierten Security-Track thematisieren. Dieser ist in 2024 so groß wie noch nie!

Erfahren Sie mehr zu Tickets und Programm der embedded world Conference 2024 unter: www.embedded-world.de