EU-Agentur sucht Sicherheit in IoT - und findet schlicht gar nichts

Die IT-Sicherheitsbehörde der EU, ENISA, hat in der letzten Zeit versucht sich einen Überblick über die Lage der Security von IoT-Produkten zu verschaffen. Und das Ergebnis ist - eigentlich erwartungsgemäß - so klar wie ernüchternd: Es gibt sie schlicht nicht. In einem Bericht, den die European Network and Information Security Agency gestern veröffentlichte, heißt es, dass es nicht einmal ein definiertes Basis-Level für die Sicherheit solcher Produkte gibt. Fehlen würden auch entsprechende Richtlinien und grundlegende Vorschriften. Letztlich muss man sich also nicht wundern, wenn sich die Hersteller völlig frei darin fühlen, den Markt mit allen möglichen IoT-Systemen zu fluten, ohne auch nur im Ansatz an das Thema IT-Security zu denken.

Bei der ENISA sieht man es als Notwendigkeit an, entsprechende Grundlagen in der EU zu etablieren - immerhin müssen ja auch alle anderen Hersteller technischer Geräte nachweisen können, dass ihre Produkte zumindest grundlegenden Sicherheitsanforderungen gerecht werden, wenn sie hier auf den Markt gebracht werden sollen. Autos müssen entsprechend erprobt werden, sogar Steckdosen sind zertifiziert, nur IoT-Systeme dürfen offen wie Scheunentore sein und die Funktionalität des Internets gefährden, wie sich bereits eindrücklich zeigte.

EU-Hersteller wittern ihre Chance

Entsprechend sehen natürlich die europäischen Hersteller ihre Chance gekommen, mit ihren bereits etablierten Security-Prozessen endlich gegen die Billig-Konkurrenz aus China punkten zu können. Infineon, NXP und STMicroelectronics haben daher bereits ein gemeinsames Positionspapier geschrieben, das zu Teilen sicherlich auch die Grundlage für europäische Richtlinien darstellen wird.

Darüber hinaus will ENISA aber mit den europäischen Gremien weitergehende Festlegungen ausarbeiten, mit denen zumindest eine grundlegende Sicherheit gewährleistet werden soll. Wie diese im Detail aussehen werden und welche Test-Verfahren durchlaufen werden müssen, ist aktuell aber noch völlig offen.