Drucker, Kameras und IoT im Netz

IoT-Sicherheit im IT-Grundschutz

Zwei Bausteine sind einschlägig: SYS.4.1 «Drucker, Kopierer und Multifunktionsgeräte» und SYS.4.4 «Allgemeines IoT-Gerät». Für Telefonanlagen und VoIP gibt es eigene Bausteine (NET.4.1, NET.4.2), für industrielle Steuerungen die IND-Schicht.

Basis-Anforderungen SYS.4.4

• Einsatzkriterien (A1): Vor der Beschaffung wird geprüft, ob das Gerät die Sicherheitsanforderungen erfüllt.
• Authentisierung (A2): Eine angemessene Authentisierung ist aktiviert, IoT-Geräte werden in das Identitäts- und Berechtigungsmanagement eingebunden.
• Einschränkung des Netzzugriffs (A5): Der Netzzugriff wird auf das erforderliche Minimum begrenzt und regelmäßig kontrolliert. Der Baustein nennt dafür unter anderem: an Netzübergängen nur vorher definierte ein- und ausgehende Verbindungen erlauben, IoT-Geräte in einem eigenen Netzsegment betreiben, das nur mit dem Management-Segment kommuniziert, und die UPnP-Funktion an allen Routern deaktivieren.
• Aufnahme in die Sicherheitsrichtlinie (A6).

Standard-Anforderungen betreffen unter anderem Beschaffungskriterien, sichere Installation und Konfiguration, verschlüsselte Datenübertragung, restriktive Rechtevergabe, Schutz der Administrationsschnittstellen, Überwachung des Netzverkehrs und eine geregelte Außerbetriebnahme.

Basis-Anforderungen SYS.4.1

• Planung des Einsatzes (A1): Vor der Beschaffung werden Kriterien wie sichere Protokolle zur Übertragung und Administration, Verschlüsselung gespeicherter Informationen und Authentisierung am Gerät berücksichtigt.
• Geeignete Aufstellung und Zugriff (A2): Geräte so aufstellen, dass Unbefugte nicht an Ausdrucke oder Bedienfelder kommen.
• Ordnungsgemäße Entsorgung ausgedruckter Dokumente (A22): Nicht benötigte Ausdrucke mit vertraulichen Informationen werden geeignet vernichtet.

Weitere Anforderungen umfassen eine Sicherheitsrichtlinie, Nutzungsregeln, Beschränkung administrativer Fernzugriffe, Authentisierung und Autorisierung, Verschlüsselung und den Schutz von Nutz- und Metadaten.

Typische Risiken

• Standardzugangsdaten: Viele Geräte werden mit bekannten Werkspasswörtern ausgeliefert. Automatisierte Angriffe probieren genau diese durch.
• Fehlende Updates: Billige Geräte erhalten oft nur kurz oder nie Sicherheitsupdates.
• Unkontrollierte Internetverbindungen: Kameras oder Steuerungen bauen Verbindungen zu Hersteller-Clouds auf oder öffnen per UPnP selbstständig Ports am Router.
• Gespeicherte Daten: Multifunktionsgeräte legen Scans, Faxe und Druckaufträge auf internen Speichern ab, Adressbücher enthalten E-Mail-Adressen und Zugangsdaten für Scan-to-Mail oder Netzwerkordner.
• Unverschlüsselte Protokolle: Verwaltung über HTTP oder Telnet, Druck über unverschlüsselte Protokolle.

Maßnahmen in der Praxis

Netz trennen

Der wirksamste Schritt ist ein eigenes Segment für Geräte, getrennt von Clients und Servern. Die Firewall-Regeln erlauben nur die nötigen Verbindungen: Arbeitsplätze dürfen Druckaufträge an die Drucker senden, Drucker dürfen Scans an einen definierten Netzwerkordner oder Mailserver schicken, Kameras sprechen nur mit dem Aufzeichnungsgerät. Internetzugang erhalten Geräte nur, wenn er nachweislich gebraucht wird, und dann nur zu den nötigen Zielen.

Grundkonfiguration

• Standardpasswörter ändern, Administratorzugang nur aus dem Managementnetz.
• Nicht benötigte Dienste abschalten, etwa Telnet, FTP, alte Druckprotokolle, Fernzugriffe des Herstellers, UPnP.
• Verwaltung nur über verschlüsselte Verbindungen.
• Zeit synchronisieren und, wo möglich, Protokolle an eine zentrale Stelle senden.

Drucker und Multifunktionsgeräte

• Vertrauliche Ausdrucke erst am Gerät nach Anmeldung freigeben, damit nichts im Ausgabefach liegen bleibt.
• Für Scan-to-Mail oder Scan-to-Folder ein eigenes Konto mit minimalen Rechten nutzen, nicht das Konto eines Administrators.
• Interne Datenträger verschlüsseln, wenn das Gerät es anbietet, und vor Rückgabe an den Leasinggeber sicher löschen lassen. Lassen Sie sich die Löschung bestätigen.

Kameras und Gebäudetechnik

Videoüberwachung berührt zusätzlich den Datenschutz. Zugriff auf Livebilder und Aufzeichnungen nur für berechtigte Personen, keine direkten Portfreigaben aus dem Internet, Fernzugriff über VPN. Bei Gebäudetechnik wie Heizung, Zutritt oder Alarmanlage klären Sie, wer das System wartet und wie dessen Fernzugang abgesichert ist.

Beschaffung

Viele Probleme lassen sich beim Kauf vermeiden. Fragen Sie vor der Anschaffung:

• Wie lange liefert der Hersteller Sicherheitsupdates, und wie werden sie verteilt?
• Lässt sich das Standardpasswort ändern, und gibt es individuelle Passwörter je Gerät?
• Funktioniert das Gerät ohne Hersteller-Cloud?
• Unterstützt es verschlüsselte Verwaltung und Übertragung?
• Gibt es einen Ansprechpartner für Sicherheitsmeldungen?

Mit dem Cyber Resilience Act der EU kommen schrittweise verbindliche Sicherheitsanforderungen an Hersteller vernetzter Produkte hinzu. Bis diese greifen, bleibt die sorgfältige Auswahl Aufgabe des Betriebs.

Ein Beispiel

In einer Arztpraxis hängen neben den Arbeitsplätzen ein Multifunktionsgerät, zwei Etikettendrucker, eine Telefonanlage, eine Videotürsprechanlage, ein Smart-TV im Wartezimmer und medizinische Geräte mit Netzanschluss. Alle liegen im selben Netz wie der Praxisserver. Eine sinnvolle Ordnung sieht so aus: Der Smart-TV wandert ins Gäste-Netz, Türsprechanlage und Telefonie in ein eigenes Segment, Drucker in ein Druckersegment, das nur Aufträge von den Arbeitsplätzen annimmt. Für die medizinischen Geräte wird mit dem jeweiligen Hersteller geklärt, welche Verbindungen sie wirklich brauchen. Danach ist auf einen Blick erkennbar, welche Geräte mit dem Server sprechen dürfen und welche nicht.

Inventar und Außerbetriebnahme

Nehmen Sie alle vernetzten Geräte in das IT-Inventar auf, mit Standort, Softwarestand und Zuständigkeit. Beim Austausch eines Geräts gehören Zugangsdaten, Netzwerkfreigaben und gespeicherte Daten zur Außerbetriebnahme. Konten für Scan-Funktionen werden gelöscht, Firewall-Regeln entfernt.