IT-Sicherheitsmaßnahmen sind nur effektiv, wenn Verbraucher*innen sie auch umsetzen können. Wie wichtig es ist, ihre Perspektive beim Erarbeiten von Normen und Standards einzubeziehen, zeigt eine aktuelle Studie des DIN-Verbraucherrats.
Verbraucher*innen, die im Internet unterwegs sind, haben das Thema IT-Sicherheit meist auf dem Schirm. Doch wie steht es um ihr Wissen in Bezug auf Produkte aus dem Bereich Internet der Dinge (Internet of Things, IoT)? Dieser Frage ist der DIN-Verbraucherrat in einer aktuellen Studie nachgegangen. „Wir wollten allgemeine Wissenslücken und somit Ansatzpunkte für Hersteller und Normung identifizieren sowie herausfinden, was sich Verbraucher*innen von möglichen Unterstützungsmaßnahmen in Bezug auf IT-Sicherheit bei IoT-Geräten – etwa in Form von Sicherheitslabeln – wünschen“, sagt Dr. Alexander Goschew, zuständiger Projektmanager beim DIN-Verbraucherrat.
In Deutschland können sich Verbraucher*innen auf der Suche nach der passenden IoT-Ausstattung aktuell am IT-Sicherheitskennzeichen (IT-SiK) des Bundesamts für Sicherheit in der Informationstechnik (BSI) orientieren. Seit Dezember 2021 können Hersteller das IT-SiK beantragen und so zeigen, dass ihre Produkte die sicherheitstechnischen Anforderungen des BSI erfüllen. „Es handelt sich um eine Selbstdeklaration der Hersteller, die bisher noch nicht für alle Produktgruppen gilt“, gibt Goschew zu Bedenken. „Aufgabe des BSI ist es, den Antrag auf Plausibilität zu prüfen. Eine technische Prüfung der Geräte findet lediglich nachgelagert stichprobenartig oder anlassbezogen in der Marktaufsicht statt.“ Es ist derzeit das einzige Label am deutschen Markt. Auf EU-Ebene sieht der EU-Rechtsakt zur Cyber-Sicherheit von 2019 zwar ein mehrstufiges Sicherheitszertifizierungsschema vor, dieses wurde bisher jedoch noch nicht umgesetzt.
SICHERHEITSKENNZEICHEN STARK GEFRAGT
Dabei ist das Interesse an solchen Labeln groß, wie die Studie zeigt. 75 Prozent der Befragten gaben an, dass ihnen ein IT-Sicherheitssiegel bei der Kaufentscheidung helfen würde. „Das zeigt, wie wichtig solche Label sein können“, so Goschew. „Die Verbraucher*innen sind nämlich durchaus dazu bereit, ein hohes Maß an Eigenverantwortung für die Sicherheit ihrer IoT-Geräte zu übernehmen.“ Laut Studie sehen 52 Prozent der Nutzer*innen die Hauptverantwortung für die Sicherheit ihrer Geräte bei sich selbst. Interessanterweise ist für sie der Preis für das Produkt weniger ausschlaggebend, solange es ein entsprechendes Kennzeichen trägt.
TRANSPARENT UND VERBINDLICH
Gemäß den Studienergebnissen bietet die Transparenz durch möglichst mehrstufige, extern geprüfte Sicherheitskennzeichen eine wichtige Orientierungshilfe für Verbraucher*innen. Zudem können Hersteller sie unterstützen, indem sie mit durchdachtem Produktdesign und Voreinstellungen sicherheitsrelevantes Verhalten fördern. Im Bereich der IT-Sicherheit kommt der Normung eine Schlüsselrolle zu. Mindestanforderungen und Empfehlungen an die IT-Sicherheit von IoT-Geräten für Verbraucher*innen formuliert bisher beispielsweise die Europäische Norm ETSI EN 303 645. „Wichtig ist es, IT-Sicherheit aus Perspektive der Verbraucher*innen zu sehen“, sagt Goschew. „Aber auch die Formulierung in den entsprechenden Standards spielt eine Rolle. Die Anwendung von Normen ist freiwillig, aber wenn sie Anforderungen statt Empfehlungen formulieren – wo technisch sinnvoll – sorgt dies für mehr Verbindlichkeit.“
„Ein interessantes Normungsprojekt, das gerade begonnen hat, ist die internationale Norm ISO/IEC 27404, die ein vierstufiges Sicherheitslabel für Verbraucher-IoT-Geräte definieren soll. Stufe eins wäre dann mit einer Plausibilitätsprüfung verbunden, ab Stufe drei soll dann auch die Technik extern geprüft werden. Das ist viel weitreichender als das, was es bisher in Deutschland gibt“, so Goschew. „Unsere Studienergebnisse bestätigen, dass es hier Bedarf gibt.“
