- „Sprachsteuerung von Aufzügen wird in Zukunft selbstverständlich sein“
- „Dank Hackern können wir Sicherheitslücken aufdecken“
- „Jedes Unternehmen braucht heute Cybersecurity-Experten“
Ahmad-Reza Sadeghi ist Professor für Informatik mit dem Schwerpunkt Systemsicherheit an der TU Darmstadt und leitet dort das System Security Lab. Schon früh weckten Science-Fiction-Filme wie Star Track seine Leidenschaft für Computerwissenschaft und Technik. Verfilmte Visionen von intelligenten Geräten, insbesondere von Systemen mit Sprachschnittstelle, hatten es ihm besonders angetan. Da wundert es kaum, dass der Experte heute selbst über rund 45 solcher Smart-Geräte, viele mit Sprachassistentfunktion, verfügt. Zu Hause experimentiert er mit diesen Geräten, vom Lichtsystem über die Heizung bis zur Alarmanlage, ob er alles über seine Stimme steuern kann – mehr Smart Home geht nicht. Uns hat er erzählt, wie es bei alledem um die Cybersicherheit bestellt ist.
Herr Sadeghi, Gebäude werden immer mehr vernetzt – alles ist in irgendeiner Form untereinander und mit dem Internet verbunden. Gibt es dabei versteckte Sicherheitslücken? Und welche Tipps können Sie Bewohnern von Smart Homes mit auf den Weg geben?
Wenn man seine Sicherheitsmaßnahmen nach dem aktuellen Stand der Technik ausrichtet, ist man grundsätzlich gut geschützt. Sicherheitslücken sehe ich vor allem in zwei Bereichen. Zum einen missachten große Provider häufig die Datenschutzrichtlinien und zeichnen bei Geräten mit Sprachschnittstelle die Gespräche auf. Auf der anderen Seite geht es um funktionale Probleme, zum Beispiel mit Updates. Wenn sich beispielsweise die Steuerung des Lichtsystems nicht ordnungsgemäß automatisch aktualisiert, kann es sein, dass die Nutzer schon mal eine Stunde im Dunkeln sitzen.
Haben Sie keine Angst, selbst einmal in Ihren vier Wänden gehackt zu werden? Sie selbst sind ja in der Lage in eigentliche alle Systeme einzudringen, die mit dem Internet verbunden sind?
Das ist genau der Punkt, der mein Team und mich besonders interessiert: Zum Beispiel haben alle smarten Geräte theoretisch die Möglichkeit, Stimmen zu speichern. Aber wie schaffen wir es, dass die Daten – also die Infos, die ich zu Hause über meine Sprache preisgebe – nicht an fremde Server geschickt werden? Mein Team und ich arbeiten daran, die bestehenden Sicherheitslücken in diesem Bereich ausfindig zu machen und aufzudecken. Nur so können anschließend Möglichkeiten entwickelt werden, um sie zu beseitigen. Beispielsweise haben wir vor einigen Jahren 17 unterschiedliche Fitnesstracker getestet und es in allen Fällen geschafft, die Daten der Nutzer zu manipulieren. Die meisten Anbieter haben damals für ihre Geräte keine entsprechenden Schutzmechanismen verwendet.
Ist etwas Derartiges auch bei Aufzügen denkbar?
Auch Aufzüge verfügen über immer mehr vernetzte Funktionen und werden uns sicherlich bald anhand unserer Stimmen erkennen können und die Daten – also unsere Worte – entsprechend speichern und analysieren. Die Steuerung des Aufzugs über die Sprache wird vermutlich so selbstverständlich werden wie heutzutage die Nutzung eines Smartphones. Natürlich müssen wir dafür entsprechende Schutzmaßnahmen entwickeln, um die Daten sicher zu speichern sowie die möglichen Angriffe zu verhindern.
Wie könnten solche Schutzmaßnahmen aussehen? Ein smarter Aufzug kann schon heute wissen, wann sich wer durch ein Gebäude bewegt. Mit der Sprachsteuerung kommen noch mehr Informationen hinzu.
Sofern Aufzüge lediglich lokal miteinander kommunizieren, sind sie isoliert. Somit bestehen weniger Sicherheitsrisiken. Aufzug A darf Aufzug B also problemlos mitteilen, wo er sich gerade befindet. Komplizierter wird es, sobald die Daten an die Cloudserver gesendet werden. Eine firmeneigene Cloud wäre im eigenen Sicherheitsperimeter und ist noch relativ sicher, wenn sie auch nach den neusten Sicherheitsstandards betrieben und gewartet wird. Aber viele Unternehmen nutzen zur Analyse der Daten die Cloud eines externen Anbieters. Um dort die Sicherheit zu gewährleisten, müssten die Daten vor der Analyse zunächst auf einem lokalen Server anonymisiert werden.
Und wenn das nicht passiert? Bekommen Hacker durch den vernetzten Aufzug dann persönliche Informationen über mich und wenn ja welche?
Sicherlich können Hacker persönliche Daten bekommen. Wenn der Personenfluss analysiert wird oder ich eine digitale Zutrittskontrolle passiere, erfahren Hacker beispielsweise, wann ich komme und gehe. Wenn Kameras und Lautsprecher installiert wären, könnten sie herausfinden, wer mit dem Aufzug fährt und über was sich diese Personen im Aufzug unterhalten. Aber es geht nicht nur um den Schutz der privaten Daten, sondern auch um die physische Sicherheit. Ein mutwillig von außen eingeschleuster Fehler könnte schlimme Folgen haben.
Unterm Strich sollten wir uns aber nicht verängstigen lassen und die Situation positiv sehen. Denn wir können von Hackern viel lernen. Oft zeigen sie uns die bestehenden Sicherheitslücken überhaupt erst auf. Dadurch bringen sie uns dazu, unsere Sicherheitsvorkehrungen, die entsprechenden Technologien und unsere Kompetenzen im Bereich Cybersecurity immer weiter zu verbessern. Zwar werden wir auch in Zukunft nicht alle Sicherheitsprobleme in den Griff bekommen, da die Technik der Geräte und Anlagen immer komplexer wird. Aber wir können schon heute viele funktionierende Sicherheitsstandards anbieten und berücksichtigen.
Was bedeutet das konkret für die Aufzughersteller?
Jedes Unternehmen – auch ein Aufzughersteller – braucht heutzutage ein Cybersecurity-Expertenteam. Zum einen, um Sicherheitsvorkehrungen zuverlässig umsetzen und weiterentwickeln und dadurch den Datenschutz und Sicherheit gewährleisten zu können. Und zum anderen, um dieses auch nach außen transparent zu zeigen und das Vertrauen der Kunden zu gewinnen.
Mehr zu unseren vernetzten Aufzügen hier
Kurzes Glossar zur Cybersicherheit
- Phishing: Ein betrügerischer Versuch, eine Person dazu zu verleiten, sensible Informationen preiszugeben, indem man sich als vertrauenswürdige Instanz ausgibt, häufig per E-Mail.
- Malware: Bösartige Computersoftware, die darauf ausgelegt ist, Computersysteme zu beschädigen, zu stören oder sich unbefugten Zugriff darauf zu verschaffen.
- Ransomware: Eine Form von Malware, die den Zugriff der Nutzer auf ihre Dateien oder Geräte sperrt und eine Zahlung verlangt, um den Zugriff wiederherzustellen.
- IoT: Internet der Dinge – das Netzwerk miteinander verbundener Geräte (wie Smart-Home-Geräte, Wearables, industrielle Sensoren), die über das Internet kommunizieren und Daten austauschen.
- Sicherheitslücke: Eine Schwachstelle oder ein Fehler in einem System, Netzwerk oder einer Anwendung, die von Angreifern ausgenutzt werden könnte.
- OT: Operational Technology (Betriebstechnik) bezeichnet die Hardware und Software, die zur Überwachung und Steuerung physischer Geräte, Prozesse und Infrastrukturen in Branchen wie der Fertigung und dem Transportwesen eingesetzt wird.
