Ob Fitness-App, Blutzuckermessung oder die Übertragung von Sensordaten in der Produktion: Oft tauschen IoT-Geräte Informationen über das drahtlose Übertragungsprotokoll Bluetooth Low Energy (BLE) aus. Wie dieses Protokoll funktioniert und welche Sicherheitsaspekte Verbraucher*innen und Unternehmen beachten sollten, erklärt Matthias Cäsar vom Fraunhofer SIT im Interview.
Was ist Bluetooth Low Energy, und welche Bedeutung hat das Protokoll im IoT-Bereich?
Bluetooth LE dient zur Datenübertragung über kurze Distanzen. Die Reichweite liegt je nach Umgebung bei etwa 10 bis 50 Meter. Bluetooth LE sendet im ISM-Band, dem Industrial, Scientific and Medical-Band. Das ist ein lizenzfreier Frequenzbereich, den auch WLAN nutzt.
Bluetooth Low Energy ist eines der wichtigsten und weitverbreitetsten Funkübertragungsprotokolle zur Vernetzung im Internet of Things (IoT). Laut Bluetooth Special Interest Group (SIG) wurden allein im Jahr 2020 4 Milliarden Geräte mit einem Bluetooth-Chip ausgeliefert. Die Prognose für 2025 liegt bei 6,4 Milliarden Geräte. Ein Grund für die hohe Verbreitung liegt darin, dass mittlerweile jedes Smartphone, Tablet oder Notebook mit einem Bluetooth-Chip ausgestattet ist. Oft wird Bluetooth LE für die direkte, drahtlose Kommunikation zwischen einem Smartphone und einem IoT-Gerät wie Fitnesstracker oder Smartwatch genutzt. So findet man Bluetooth LE unter anderem in smarten Türschlössern, Medizinprodukten oder im Automotive-Bereich.
Wie wichtig ist die Sicherheit von Bluetooth Low Energy?
Bluetooth LE wird oft dazu verwendet, sensible Daten zu übertragen oder sicherheitsrelevante Aktionen durchzuführen. Beispielsweise werden in Medizinprodukten Messwerte wie Blutzuckergehalt auf ein Smartphone gesendet oder eine automatische Medikamentengabe gesteuert. Im Bereich Hausautomation können smarte Schließzylinder mittels einer Smartphone App bedient werden. Im Auto werden Smartphones als Schlüsselersatz verwendet, um Autotüren aufzuschließen und den Motor zu starten.
Durch diese breite Nutzung rückt die Technologie immer mehr in den Fokus von Cyberkriminellen. Kann eine Angreiferin oder ein Angreifer diese Funk-Kommunikation mithören oder diese sogar aktiv manipulieren, hat das weitreichende Folgen. Hacker suchen hierfür nach Schwachstellen im Protokoll oder in der jeweiligen Implementation. Schwachstellen im Protokoll betreffen meistens alle Bluetooth LE-Geräte, da es um grundsätzliche Probleme beim Design geht. Implementierungsspezifische Schwachstellen betreffen einen oder eine begrenzte Anzahl an Herstellenden, da hier Vorgaben der Bluetooth LE-Spezifikation ungenau oder falsch umgesetzt wurden. In manchen Fällen lässt die Spezifikation auch einen gewissen Spielraum zu, der zu Schwachstellen führen kann. Die Entwicklung eines sicheren Bluetooth LE-Produktes ist nicht trivial. Im Rahmen unserer Forschung haben wir uns intensiv mit Schwachstellen im Bluetooth LE-Protokoll beschäftigt und geben dieses Wissen in unserem Kurs „Security und Privacy von Bluetooth Low Energy“ weiter.
Was sind die Anforderungen an die Konnektivität in Bezug auf Reichweite, Leistung und Sicherheit beim Einsatz für IoT-Geräte?
Die Anforderungen sind sehr abhängig von der jeweiligen Anwendung. Für alle gilt aber: Sicherheit und Privatsphäre sind wichtige Kriterien. Keine externe Person darf Daten bei der Übertragung auslesen oder gar manipulieren können. Die Herstellenden von IoT-Geräten müssen deshalb das Thema Sicherheit sehr früh in ihrer Produktentwicklung berücksichtigen. Leider ist das nicht immer der Fall. Wir bieten Beratung und Betreuung in jeder Phase der Entwicklung in Bezug auf Sicherheit und Privatsphäre, inklusive regelmäßiger Sicherheitstests. Unsere Industriekund*innen erhalten eine Bewertung ihrer Lösungen oder eine regelmäßige Reevaluation der Sicherheitseigenschaften. Darüber hinaus bietet unsere Schulung einen ersten Überblick, welche Sicherheitsaspekte bei Bluetooth LE zu beachten sind.
Für Endverbraucher*innen ist es generell relativ schwer festzustellen, welche IoT-Geräte sicher sind. Den Kund*innen bleibt nur die Online-Recherche nach Schwachstellenmeldungen und Produktbeurteilungen. Der interessanteste Aspekt in Punkto Sicherheit ist dabei, wie ein Unternehmen auf eine Schwachstelle reagiert. Hat es den Fehler schnell erkannt und ein Update bereitgestellt? Das sind dann die entscheidenden Kaufkriterien. Aber viele Anbietenden können das Problem gar nicht lösen, weil es keinerlei Updatemöglichkeiten gibt. Im Industriebereich laufen Geräte oft zwanzig Jahre lang ohne Updates.
Zusammenfassend kann man sagen: Es ist entscheidend, dass die Sicherheit schon ganz am Anfang der Produktentwicklung berücksichtigt wird. Gerade bei Start-ups, die wenig Geld und Zeit haben, steht oft die Userexperience stark im Vordergrund und die Mittel für Sicherheit fehlen oder werden nicht mit eingeplant. Doch dieses Problem betrifft auch größere, etablierte Unternehmen, die mit bestimmten Entwicklungsbudgets auskommen müssen.
Die gute Nachricht
In den letzten Jahren haben sich immer mehr Forschende auf die Sicherheitsanforderungen im IoT-Bereich spezialisiert, es wird immer mehr getestet. Das bedeutet, unsichere Geräte werden identifiziert und öffentlich bekannt gemacht. Das ist ein Anreiz für die Unternehmen, mehr für die Sicherheit ihrer IoT-Geräte zu unternehmen.
Die Sicherheit von IoT-Geräten ist keine Selbstverständlichkeit, sondern ein Thema, das die Anbieter*innen unbedingt berücksichtigen müssen und wobei sie sich beraten und helfen lassen sollten. Genau das können wir anbieten.
Außerdem: Informieren Sie sich über das IT-Sicherheitstestat als unabhängiger Qualitätsnachweis für die Sicherheit Ihrer IT-Produkte. Unsere Industriekund*innen erhalten eine Bewertung ihrer Lösungen oder eine regelmäßige Reevaluation der Sicherheitseigenschaften ihrer Produkte. Mehr dazu >>>
Unser Experte im Interview
Mathias Cäsar
Cybersicherheits-Experte
Fraunhofer SIT
Das Lernlabor Cybersicherheit ist ein Weiterbildungsprogramm, in dem Experten und Expertinnen von Fraunhofer und ausgewählten Fachhochschulen aktuellste Erkenntnisse auf dem Gebiet der Cybersicherheit vermitteln. Fach-und Führungskräfte aus Industrie und öffentlicher Verwaltung können so ihre Kompetenzen zu IT-Sicherheit aktualisieren und spezialisieren. An zahlreichen Standorten in Deutschland erhalten Sie eine kompakte Qualifizierung in hochwertigen Laboren. Die Präsenzphasen der Seminare dauern nur ein bis drei Tage und sind mit Online-Angeboten ergänzt, so dass die Kurse berufsbegleitend belegt werden können.