Ich hatte gestern auf dem Paderborner Tag der IT-Sicherheit einen erhellenden Moment: Im Workshop zur Bedrohungsanalyse ging es um ein Toy-Example. Unsere Beispiel-Firma verkauft Saugroboter, wir haben eine App und eine “Cloud”. Die App kann Kommandos an die Cloud geben, diese gibt Kommandos an den Sauger. Der Sauger meldet Daten an die Cloud, die Cloud meldet Daten an die App. Für Leute, die von Japan aus ihren Staubsauger steuern wollen, oder so…
Von 14 IT-Sicherheitsexperten hat weniger als die Hälfte erkannt, dass die Karte, die der Sauger von der Wohnung baut und bei Veränderungen korrigiert, massiv schützenswert ist, weil sie Auskunft über den intimen Wohnbereich das Kunden liefert, inklusive Einkommens- und Familienverhältnissen. Die offensichtliche Lösung, dass man im Einrichtungsprozess vorsieht, dass App und Sauger anwenderfreundlich Schlüsselmaterial austauschen und ab dann nur noch Ende-zu-Ende-verschlüsselt kommunizieren, hat außer mir leider niemand vorgestellt. Und selbst nach Vorstellung fehlte das Verständnis dafür, dass die Funktionalität der Cloud als Relay für Kommandos und Daten damit gar nicht eingeschränkt wird. Oder dass Klartext-Nutzerdaten, die aus der Firma getragen werden können, aus Sicherheitsperspektive immer eine Zumutung für die Firma sind: Im Zweifel kommen die Nutzer mit den teuren Anwälten und machen mir die Firma zu. Von der ethischen Verantwortung ganz zu schweigen. Durch die Lösung verschwindet eine komplette Problemklasse.
Es fehlt offenbar massiv an Sensibilisierung, in dieser Weise über Sicherheit nachzudenken.