Was ist das Internet der Dinge (IoT)?

IoT einfach erklärt

Früher hatten nur Computer einen Netzwerkanschluss. Heute sind auch Dinge vernetzt, die niemand als Computer wahrnimmt: die Kamera am Werkstor, der Temperatursensor im Kühlraum, das Zutrittssystem am Empfang oder die Klimaanlage im Besprechungsraum. Zusammen bilden sie das Internet der Dinge.

Jedes dieser Geräte ist im Kern ein kleiner Computer mit eigener, fest eingebauter Software, der Firmware. Man kann sich ein Unternehmen wie ein Haus mit vielen Nebeneingängen vorstellen: Die Haustür – Server und Arbeitsplätze – ist meist gut gesichert. Die vielen kleinen Nebentüren geraten dagegen leicht in Vergessenheit. Ein Angreifer braucht aber nur eine offene Tür.

Vom IoT spricht man vor allem bei Alltags-, Büro- und Gebäudetechnik. Vernetzte Geräte, die industrielle Prozesse steuern, zählen meist zur OT, der Betriebstechnik in Produktion und Versorgung. Die Grenzen sind fließend; dann ist auch vom industriellen IoT die Rede.

So funktioniert das Internet der Dinge

Ein typisches IoT-System besteht aus mehreren Bausteinen – und jeder davon kann eine Schwachstelle haben:

1. Das Gerät: Sensoren erfassen Messwerte, Aktoren schalten oder bewegen etwas. Auf der Platine stecken oft Wartungsanschlüsse, über die sich das Gerät direkt ansprechen lässt.
2. Die Firmware: Sie steuert das Gerät. Fest einprogrammierte Passwörter, veraltete Programmbibliotheken oder ungeschützte Update-Funktionen sind typische Schwachstellen.
3. Die Verbindung: WLAN, Bluetooth, Mobilfunk oder spezielle Funkstandards übertragen die Daten – nicht immer verschlüsselt.
4. Die Cloud: Viele Geräte senden ihre Daten an Server des Herstellers und erhalten von dort Befehle.
5. App und Weboberfläche: Darüber bedienen Nutzende das Gerät. Sind sie unsicher programmiert, lassen sich unter Umständen auch fremde Geräte steuern.

Ein Beispiel aus der Praxis

Ein Logistikunternehmen hat in seinen Lagerhallen vernetzte Kameras installiert. Damit die Schichtleitung auch von unterwegs zuschauen kann, sind sie direkt aus dem Internet erreichbar. Gleichzeitig hängen sie im selben Netz wie die Büro-PCs und laufen noch mit dem Werkspasswort des Herstellers. Bei einem Penetrationstest – einem autorisierten, simulierten Angriff – findet das Prüfteam die Kameras über eine Suchmaschine, die gezielt nach vernetzten Geräten sucht. Es meldet sich mit dem Standardpasswort an und gelangt von der Kamera aus bis zu den Servern im Firmennetz. Ein Virenschutz hätte einen echten Angreifer dabei nicht bemerkt – auf Kameras lässt er sich in der Regel gar nicht installieren. Das Unternehmen ändert daraufhin die Passwörter, verlegt die Kameras in einen eigenen Netzbereich und erlaubt den Fernzugriff nur noch über einen abgesicherten Zugang.

Warum ist das für Unternehmen wichtig?

IoT-Geräte sind oft das schwächste Glied im Netz. Viele werden mit Standardpasswörtern ausgeliefert, erhalten selten Updates und laufen jahrelang unbeachtet. Schutzsoftware lässt sich auf ihnen meist nicht installieren, und in Inventarlisten fehlen sie häufig. Gekaperte Geräte dienen Angreifern als Einstieg ins Firmennetz. Oder sie werden zu Botnetzen zusammengeschlossen – Verbünden ferngesteuerter Geräte, mit denen Angreifer zum Beispiel Webseiten durch massenhafte Anfragen lahmlegen.

Für Hersteller kommt eine zweite Ebene hinzu: Der Cyber Resilience Act legt EU-weit verbindliche Sicherheitsanforderungen für Produkte mit digitalen Elementen fest. Sie reichen von der sicheren Entwicklung über Updates bis zur Meldung ausgenutzter Schwachstellen. Die Pflichten greifen gestaffelt: Die Meldepflichten gelten seit dem 11. September 2026, der Großteil der übrigen Anforderungen ab dem 11. Dezember 2027. Wer vernetzte Geräte entwickelt oder verkauft, sollte sie früh einplanen.

So schützen Sie sich

• Inventar führen: Erfassen Sie alle vernetzten Geräte – auch Kameras, Drucker, Zutrittssysteme und Gebäudetechnik.
• Standardpasswörter ändern: Vergeben Sie für jedes Gerät ein eigenes, starkes Passwort und schalten Sie nicht benötigte Funktionen ab.
• Netz trennen: Bringen Sie IoT-Geräte in einen eigenen Netzbereich, der nur die nötigen Verbindungen erlaubt (Segmentierung).
• Nicht offen ins Internet stellen: Machen Sie Geräte nicht direkt aus dem Internet erreichbar. Fernzugriff gehört hinter einen abgesicherten Zugang wie ein VPN.
• Updates einplanen: Spielen Sie Firmware-Updates regelmäßig ein und ersetzen Sie Geräte, für die es keine Updates mehr gibt.
• Beim Kauf auf Sicherheit achten: Bevorzugen Sie Hersteller, die Updates für einen klar benannten Zeitraum zusagen und Schwachstellen nachvollziehbar beheben.
• Testen lassen: Prüfen Sie kritische Geräte und eigene Produkte in einem Penetrationstest – einschließlich Firmware, App und Cloud-Anbindung.

Wie Rootsektor unterstützt

Rootsektor prüft vernetzte Geräte ganzheitlich – von Hardware-Schnittstellen und Firmware über Funkverbindungen bis zu App und Cloud. Ob Sie IoT-Geräte im eigenen Netz betreiben oder selbst vernetzte Produkte entwickeln: Unser Penetrationstest für OT, ICS/SCADA & IoT zeigt, wo Angreifer ansetzen könnten und wie Sie die Lücken schließen. Firmware analysieren wir mit Methoden aus dem Bereich Code Review & Reverse Engineering. Ihr Festpreisangebot erhalten Sie nach dem Scoping über unser Pentest-Angebot.