DIE LAGE DER IT-SICHERHEIT IN DEUTSCHLAND 2020 | ZIELGRUPPENSPEZIFISCHE ERKENNTNISSE UND LÖSUNGEN 2.1.6 Sicherheit von Wearables, Smart Home und dem Internet der Dinge Wearables sind intelligente elektronische Geräte, die am Körper getragen werden, und aus dem Leben vieler Menschen nicht mehr wegzudenken. Vor allem Fitness-Tracker sind sehr beliebt. Armbanduhren zeigten früher nur die Uhrzeit oder das aktuelle Datum an, können heutzutage jedoch, sofern sie smart sind, bei alltäglichen Dingen des Lebens unterstützen, zum Beispiel beim Lesen oder Schreiben von Nachrichten, beim Erhalt und der Steigerung von körperlicher Fitness oder beim Zurechtfinden in fremden Umgebungen. Kurz gesagt: Smart Watches bieten viele nützliche Funktionen bis hin zur Erweiterung des eigenen Smartphones am Handgelenk. Insbesondere Smart Watches mit GPS-Tracking sind beliebt, auch um den Standort von Kindern oder hilfsbedürftigen Personen nachvollziehen zu können. Eine ständige Internetanbindung und GPS-Tracking eröffnen allerdings auch Möglichkeiten für kriminelle Absichten. So existieren zum Beispiel Medienberichte über kritische Schwachstellen in Smart Watches, die die Privatsphäre von Nutzerinnen und Nutzern verletzen. Bei einer Smart Watch für Kinder stellte ein Sicherheitsforscher beispielsweise gravierende Sicherheitsmängel fest und informierte hierüber Ende 2019 sowohl das Computer Emergency Response Team (CERT) des BSI als auch die Presse. Daraufhin wurden die Schwachstellen in einer sicherheitstechnischen Prüfung verifiziert und der Hersteller zu einer Stellungnahme nach § 7a BSIG zu den festgestellten Schwachstellen aufgefordert. Aufgrund einer fehlenden Verschlüsselung bei der Kommunikation zwischen der Smartphone-App und dem Server des Herstellers sowie einer fehlerhaft durchgeführten Authentifizierung war es möglich, die übertragenen Daten mitzulesen und persönliche Daten von Nutzerinnen und Nutzern abzufragen. Durch das Ändern der Geräte-ID in einer Konfigurationsdatei der App auf dem Smartphone wurde darüber hinaus die Möglichkeit eröffnet, die App mit der Smart Watch einer anderen Person zu verbinden. Somit erhielt der Angreifer Zugriff auf die gespeicherten Daten einer fremden Smart Watch, zum Beispiel auf die Telefonkontakte, den Live-Standort der Person u. ä.. Dadurch wurde eine Übernahme und Steuerung beliebiger Benutzer-Accounts ermöglicht, ohne dass die eigentliche Inhaberin oder der Inhaber dies zwangsläufig bemerkt hätte. Die Geräte-IDs wurden fortlaufend vergeben, was eine Übernahme eines Benutzer-Accounts durch die fehlende Authentisierung erleichterte. Um diese Schwachstellen ausnutzen zu können, bedurfte es keines tiefer gehenden technischen Wissens. 44 Nach Bekanntwerden der Schwachstellen beim Hersteller wurde das Produkt von diesem zunächst vom Markt genommen. Der Hersteller überarbeitete die Smart Watch und berichtete dem BSI, dass die Schwachstellen nun geschlossen seien. Dies wurde durch eine erneute Überprüfung nachvollzogen. Hierbei war festzustellen, dass die bekannten Schwachstellen mit Hilfe eines Software-Updates der Smartphone-App und einer Schnittstelle am Server des Herstellers geschlossen wurden. Ein solcher Fall ist keine Ausnahme und trat in der Vergangenheit bereits mehrfach in ähnlicher Form auf. Präventiv können bereits in der Konzeptions- und Entwicklungsphase von smarten Produkten Sicherheitsstandards wie zum Beispiel der europäische Standard ETSI EN 303 645 angewendet werden. Dieser fordert beispielsweise, dass die Kommunikation von sensiblen persönlichen Daten, insbesondere zu externen Services, nach dem Stand der Technik verschlüsselt sein muss. Außerdem adressiert der Standard eine Basisschutzanforderung für Consumer-IoT-Geräte, worunter auch die Smart Watches fallen. Das BSI beteiligt sich an der Entwicklung des Standards und den zugehörigen Prüfspezifikationen. Generell lässt sich festhalten, dass Smart Watches und andere Geräte im Smart Home viele persönliche und sensible Daten generieren und speichern. Diese Daten sind ein wertvolles Ziel für Angreifer. Daher ist es wichtig und sinnvoll, diese Geräte entsprechend zu schützen. Das BSI setzt sich dafür ein, ein angemessenes Schutzniveau im Bereich der IT-Sicherheit insbesondere bei smarten Verbraucherprodukten zu etablieren. Die Schaffung angemessener Sicherheitsstandards und deren flächendeckender Einsatz bei Herstellern und Entwicklern ist dabei ein vordringliches Ziel des BSI. Die Förderung von Security by Design und Security by Default von der Produktentwicklung über den kompletten Lebenszyklus hinweg kann dabei das Sicherheitsniveau signifikant anheben und die geschilderten Angriffsmöglichkeiten deutlich reduzieren. Hierzu befindet sich das BSI in einem stetigen Austausch mit wichtigen Stakeholdern und bietet darüber hinaus ein umfangreiches Online-Angebot, um einen selbstbestimmten und bewussten Umgang der Bürgerinnen und Bürger mit smarten Produkten und Services im Internet of Things und dem Smart Home zu fördern. 2.1.7 Sicherheit von Medizinprodukten Die fortschreitende Digitalisierung im Gesundheitswesen hat nicht nur auf den Bereich der medizinischen Versorgung einen großen Einfluss, sondern auch auf die Medizintechnik und hier insbesondere auf die Vernetzung von Medizinprodukten. Schwachstellen in und an vernetzten