Cyber Resilience Act und IoT Cyberresilienz als Schlüssel für die Sicherheit von IoT-Geräten

Anbieter zum Thema

Infineon Technologies Austria AG

Bürklin GmbH & Co. KG

CSA Group Bayern GmbH

MES Electronic Connect GmbH & Co. KG

Der European Cyber Resilience Act (CRA) hat das Potenzial, die Cybersicherheit von IoT-Geräten zu verbessern und die Sicherheit von Verbrauchern zu steigern. Der Umgang mit dem CRA kann daher als Blaupause für ähnliche Regelwerke dienen. Thomas Rosteck, Division President Connected Secure Systems bei Infineon Technologies, wirft einen Blick auf Herausforderungen und Chancen.

Die Cybersicherheit (Security; Absicherung vernetzter Geräte vor Fremdzugriffen von außen) elektronischer, vernetzter Geräte, also des Internets der Dinge (IoT), ist zu einem entscheidenden Faktor für die Zukunft der digitalen Welt geworden. Die jüngste Verabschiedung des European Cyber Resilience Act (CRA) in der Europäischen Union markiert einen wichtigen Schritt hin zu einer höheren Sicherheit für vernetzte Geräte – und sorgt somit für mehr Vertrauen von Nutzerinnen und Nutzern. Obwohl der CRA eine europäische Richtlinie ist, reicht sein Einfluss weit über die Europäische Union hinaus. Denn: Jeder Hersteller, der auf dem europäischen Markt tätig ist, muss dafür sorgen, dass seine Produkte und Dienstleistungen entsprechend gesichert sind und somit den Vorschriften entsprechen. Als einer der führenden Anbieter von Halbleitern und Sicherheitslösungen sehen wir bei Infineon den CRA als gute Basis, um die Cybersicherheit von Geräten und entsprechend die Sicherheit für Verbraucherinnen und Verbraucher zu verbessern.

Grundsätzlich gilt, dass sich Security erhöhen lässt, wenn sie zusätzlich zur Software- auch auf der Hardware-Ebene verankert ist. Besonders für sicherheitssensible und -kritische Anwendungen ist dies unumgänglich. Dieser „Security by Design“-Ansatz ist seit jeher unser Handlungsmotiv. Deshalb unterstützen wir den CRA und betrachten ihn als wichtigen Schritt auf dem Weg zu einer breiteren Akzeptanz von Cybersicherheitsmaßnahmen. Insbesondere, da der European Cyber Resilience Act die erste Regulierung ihrer Art ist, die verpflichtenden Charakter besitzt und nicht nur auf Freiwilligkeit basiert. Schon jetzt bemerken wir, dass das Thema Security in vernetzten Geräten bei Herstellern erkennbar an Bedeutung gewinnt – auch bei Kunden, die sich bisher weniger mit dem Thema Sicherheit beschäftigt haben. Wir sehen jedoch ebenfalls, dass die Umsetzung des CRA eine große Herausforderung für Hersteller vernetzter Geräte ist – regulatorisch, organisatorisch und finanziell. Unser Ziel ist es daher, einfach zu implementierende Sicherheitslösungen anzubieten, die Hersteller bei der Erfüllung der Vorgaben des European Cyber Resilience Acts unterstützen. Für einen erfolgreichen Start des European Cyber Resilience Acts muss die Europäische Union zudem verlässliche Planungssicherheit schaffen und zeitnah klar definierte Spezifikationen und Umsetzungsrichtlinien kommunizieren, damit sie wie angekündigt bis 2027 im Rahmen des CRA umgesetzt werden können. Für eine pragmatische und realistische Zielsetzung sollte man sich deshalb an bestehenden Standards und Spezifikationen orientieren.

Vertrauen braucht (skalierbare) Sicherheit

Bereits seit einigen Jahrzehnten werden in vielen Bereichen sogenannte Hardware-Anker zur Sicherung von Security-Merkmalen eingesetzt. Gesicherte Hardware-Chips, wie Trusted Platform Modules (TPMs), sind essenziell für die Produktsicherheit, das Vertrauen der Nutzerinnen und Nutzer und schützen Marken- und Unternehmenswerte der Hersteller. TPMs von Infineon basieren auf den Spezifikationen der Trusted Computing Group (TCG) und werden in verschiedenen Branchen eingesetzt, darunter Computing, industrielle Automation und Automotive. Insbesondere in datensensiblen Bereichen wie Government ID, Payment und Banking, SIM-Karten und eSIM-Chips ist Security durch vertrauenswürdige Hardware von zentraler Bedeutung. Im Industrial IoT (IIoT) sorgt gesicherte Hardware für resilientere Betriebsabläufe oder schützt mittels Authentifizierung vor Produktfälschungen. Dabei werden gesicherte Zertifikate, Schlüssel und Geräte-IDs in einer zertifizierten Umgebung bereitgestellt. Eindeutige Zertifikate auf Wafer-Ebene und eine unveränderliche Chip-ID erlauben eine klare Identifizierung von Geräten. So wird nicht nur die Authentizität des Geräts verifiziert, sondern auch das Risiko von Cyberangriffen minimiert.

Der Entschluss der Europäischen Union, die zusätzlichen Sicherheitsanforderungen des European Cyber Resilience Acts in das bekannte CE-Prüfsiegel zu integrieren, gewährleistet eine starke Transparenz für Verbraucherinnen und Verbraucher. Das Kennzeichen ist bekannt und „gelernt“, da auch bisher jedes Produkt, das unter eine EU-Richtlinie fällt und in der EU betrieben oder vermarktet wird, dieses aufweisen musste. Daher müssen sich auch Hersteller außerhalb der EU vorbereiten und ihre Produkte entsprechend sicher designen und deklarieren. Mit Inkrafttreten des European Cyber Resilience Act im Dezember 2027 bekommen Verbraucherinnen und Verbraucher beim Kauf von elektronischen Produkten dann nicht nur wie bisher die Gewissheit, dass das Produkt in physischer Hinsicht sicher ist (safety). Auch die Security ist dann mit der CE-Kennzeichnung abgedeckt.

Der CRA wird mit seinen Richtlinien Nutzerinnen und Nutzer noch weiter für die Notwendigkeit von ausreichender Cybersecurity sensibilisieren und die Nachfrage nach gesicherten Endgeräten und Produkten erhöhen. Wichtig ist nun, dass die Hersteller sich zeitnah den Herausforderungen stellen, die aufgrund des CRA und ähnlichen Regularien in Ländern wie den USA, Japan, Singapur oder Indien auf sie zukommen werden. Wir bei Infineon sehen es als unsere Aufgabe, Hersteller bei der Erfüllung der Richtlinien zu unterstützen. Deswegen haben wir unsere sogenannte Edge Protect Sicherheitslösung entwickelt. Dabei können unsere Mikrocontroller mit integrierter Sicherheitsfunktion je nach CRA-Level entweder allein oder mit einem expliziten Sicherheitsbaustein (Secure Element) kombiniert werden. Dies ermöglicht es, Geräte von Anfang an sicher zu entwickeln und zu produzieren. Die unterschiedlichen Sicherheitslevel, im Einklang mit Industriestandards und gesetzlichen Vorschriften, ermöglichen eine produktspezifische Skalierbarkeit der Sicherheitsfunktionen. Je nach Endgerät muss der Schutz vor einfachen Angriffen über komplexere Attacken bis zu hochkomplexen Angriffen gegeben sein.

Auch im European Cyber Resilience Act findet sich eine Abstufung je nach Bedeutung und Risikoexposition der Endgeräte. Geräte, die für die Sicherheit und den Schutz der Bevölkerung unverzichtbar sind, werden als kritische oder hochkritische Produkte mit digitalen Elementen eingestuft. Darunter fallen Vorrichtungen zur Steuerung und Überwachung kritischer Infrastruktur, persönliche Geräte zur Beobachtung des Gesundheitszustands oder Überwachungskameras und Alarmanlagen. Diese Geräte bedürfen eines höheren Schutzes vor Angriffen. Produkte mit digitalen Bestandteilen, die nicht als kritisch oder hochkritisch eingestuft werden, wie Smarthome-Geräte, Wearables oder Unterhaltungselektronik, kommen mit einem geringeren Schutzniveau aus.

Die Integration skalierbarer Sicherheitsfunktionen in die Hardware und die Bereitstellung von Sicherheitsmechanismen für die gesamte Lebensdauer eines Geräts unterstützen Hersteller dabei, die Sicherheitsanforderungen des CRA zu erfüllen und ihre Produkte während der gesamten Produktlebensdauer vor Cyberangriffen zu schützen.

Der European Cyber Resilience Act: Der Auftakt für verbesserte Cybersicherheit

Der European Cyber Resilience Act ist lediglich der Anfang einer stetig wachsenden Reihe an Richtlinien, Anforderungen und Gesetzen zu mehr Cyber-Resilienz bei vernetzten Geräten.

Mit unserer über 30-jährigen Expertise im Sicherheitsbereich und unserer Sicht als eines der führenden Unternehmen im Halbleitermarkt möchten wir unseren Teil dazu beitragen, dem European Cyber Resilience Act zum Erfolg zu verhelfen. In der Arbeitsgruppe zur Standardisierung von Halbleitern, CENELEC TC47, haben wir von Infineon den Vorsitz. Hier wurde auch bereits begonnen, die grundlegenden Anforderungen von Produkten, die im CRA als „wichtig“ und „kritisch“ eingestuft werden, zu definieren. Außerdem sind wir Teil der Arbeitsgruppe zur Harmonisierung von CRA-Normen (CENELEC JTC13 WG9), sowie des Technischen Komitees ETSI Cyber für vertikale Standards, beispielsweise für Endverbrauchergeräte.

Um den CRA erfolgreich und im vorgegebenen zeitlichen Rahmen umsetzen zu können, raten wir dringend zu einem pragmatischen Ansatz. Dieser muss die Wiederverwendung bestehender und bekannter Sicherheitsstandards beinhalten, wie ETSI EN 303645 für Verbraucher, IEC 62443 für die Industrie und EUCC für kritische Produkte. Zudem legen wir der EU-Kommission nahe, Industriestandards wie EMVCo, ARM PSACertified und das Product Security Compliance Program der Connectivity Standards Alliance anzuerkennen und zu nutzen.

Der European Cyber Resilience Act hat das Potenzial, die Cybersicherheit von IoT-Geräten zu verbessern und somit die Sicherheit von Verbrauchern zu steigern. Und das weit über die Grenzen von Europa hinaus. Eine erfolgreiche Einführung und Umsetzung des CRA kann als Blaupause für ähnliche Regelwerke in weiteren Regionen oder auf internationaler Ebene dienen. Klare und zeitnahe Spezifikationen und Richtlinien sind jedoch für den Erfolg von zentraler Bedeutung. Wir bei Infineon sehen es als unsere Aufgabe, Hersteller bei der Erfüllung der Richtlinien des European Cyber Resilience Acts zu unterstützen und sind bereit, unseren Teil dazu beizutragen, das IoT noch sicherer zu machen.

 (sb)

* Thomas Rosteck ist Division President Connected Secure Systems bei Infineon Technologies.

(ID:50315384)