Vernachlässigte IoT-Geräte und ihre Rolle im Cyberrisiko

Die stille Gefahr: Wie vergessene IoT-Geräte zu Einfallstoren für Cyberangriffe werden

In der heutigen vernetzten Welt sind Milliarden von Geräten, vom intelligenten Thermostat bis zur industriellen Steuerung, integraler Bestandteil unseres Alltags und unserer Geschäftsprozesse. Doch während die Vorteile des Internets der Dinge (IoT) weithin anerkannt sind, wächst parallel dazu eine stille, aber immense Bedrohung: vernachlässigte IoT-Endpunkte. Diese Geräte, die oft nach ihrer Installation in Vergessenheit geraten, entwickeln sich zunehmend zu offenen Türen für Cyberkriminelle und staatlich geförderte Angreifer. Für Unternehmen, insbesondere im B2B-Sektor, bedeutet dies ein potenziell verheerendes Risiko, das weit über den einzelnen Endpunkt hinausgeht.

Das exponentielle Wachstum des IoT und die Herausforderung der Sichtbarkeit

Die Verbreitung von IoT-Geräten nimmt rasant zu. Prognosen zufolge könnte die Zahl der verbundenen IoT-Geräte von 21,1 Milliarden im Jahr 2025 auf fast 39 Milliarden bis 2030 ansteigen. Dieses Wachstum verspricht zwar operative Vorteile, erweitert aber auch die Angriffsfläche exponentiell. Viele Unternehmen implementieren neue Hardware schneller, als sie bestehende Systeme ordnungsgemäß inventarisieren und ausrangieren können.

Ein zentrales Problem ist das Lebenszyklusmanagement. Zahlreiche IoT-Geräte bleiben weit über das vom Hersteller vorgesehene Software-Supportfenster hinaus in Betrieb. Firmware-Updates werden eingestellt, der Herstellersupport endet, doch die Hardware bleibt aktiv. Der Austausch funktionierender Infrastruktur wird selten zu einer Geschäftspriorität, solange sie nicht defekt ist. Für Sicherheitsteams bedeutet dies eine wachsende Anzahl von Endpunkten, die kontinuierlich überwacht werden müssen. Oft wird die mangelnde Sichtbarkeit zum entscheidenden Schwachpunkt, noch bevor ein Angreifer überhaupt im Netzwerk auftaucht.

Warum IoT-Geräte oft unsichtbar werden

Die Schwierigkeit, unmanaged IoT-Hardware abzusichern, liegt häufig in der fragmentierten Zuständigkeit. Während Gebäudetechnik-Teams Umweltsensoren installieren und Betriebsteams industrielle Überwachungshardware implementieren, bringen Drittanbieter bei Upgrades oft vernetzte Systeme ein, ohne diese in zentrale IT-Inventare zu integrieren. Mit der Zeit wird die Eigentümerstruktur unklar, und niemand fühlt sich mehr direkt für die Wartung des Geräts verantwortlich.

Fusionen, Büro-Umzüge oder Infrastruktur-Erneuerungen führen oft dazu, dass ältere Hardware unbemerkt im Hintergrund weiterläuft, ohne aktive Überwachung oder Firmware-Management. Organisationen sind sich manchmal nicht einmal bewusst, dass bestimmte Geräte noch im Netzwerk existieren. Dies schafft blinde Flecken, da Sicherheitsteams nur Systeme überwachen können, von deren Existenz sie wissen.

Ein Gerät, das nicht im Inventar erfasst ist, wird unwahrscheinlich gepatcht, ordnungsgemäß segmentiert oder in Zugriffsrichtlinien einbezogen. Dies unterstreicht die Notwendigkeit moderner Netzwerksicherheitsplattformen, die sich auf Gerätesichtbarkeit, Verkehrsinspektion und Segmentierung in verteilten Umgebungen konzentrieren, anstatt sich ausschließlich auf traditionelle Perimeterkontrollen zu verlassen.

Alte IoT-Geräte als einfache Einfallstore

Viele vernachlässigte IoT-Endpunkte verlassen sich immer noch auf veraltete Firmware, schwache Authentifizierungsmodelle oder Standardzugangsdaten, die nach der Bereitstellung nie geändert wurden. Im Gegensatz zu Laptops oder verwalteten Servern führen diese Geräte selten Endpoint Protection Software aus oder generieren detaillierte Sicherheitstelemetriedaten. Die Protokollierung ist oft minimal, die Überwachung inkonsistent und die Verkehrsinspektion kann je nach Standort des Geräts im Netzwerk begrenzt sein.

Aus der Sicht eines Angreifers sind diese Systeme oft leichter zu kompromittieren als gehärtete Unternehmensendpunkte. Die größere Sorge ist dabei meist nicht das Gerät selbst, sondern der Netzwerkzugang, den es anschließend ermöglicht. Ein anfälliger Sensor oder eine IP-Kamera mag keine sensiblen Informationen direkt enthalten, kann aber ein erstes Einfallstor in Umgebungen bieten, die mit wichtigeren Systemen verbunden sind. Ein Beispiel hierfür ist die Entdeckung von 301 D-Link-Kameras in der Schweiz, von denen viele öffentlich zugänglich waren und veraltete Firmware nutzten, was sie zu einem leichten Ziel für Angreifer macht.

Einmal eingedrungen, suchen Angreifer oft nach Möglichkeiten, sich lateral zu Identitätsinfrastrukturen, Dateifreigaben, Cloud-Workloads oder operativen Systemen zu bewegen, die niemals über die IoT-Umgebung erreichbar sein sollten. Viele IoT-bezogene Vorfälle entwickeln sich daher zu umfassenderen Infrastrukturproblemen und nicht zu isolierten Gerätekompromittierungen.

Die Rolle der KI bei der Verschärfung der Bedrohungslage

Die zunehmende Integration von Künstlicher Intelligenz (KI) in die Cyberbedrohungslandschaft verändert die Dynamik von IoT-Sicherheitsrisiken erheblich. KI wirkt hier als Beschleuniger für Angreifer und schafft gleichzeitig neue Angriffsvektoren innerhalb der Geräte selbst:

• Automatisierung der Schwachstellenforschung: KI-Systeme können Firmware-Binärdateien analysieren, potenzielle Speicherfehler identifizieren, funktionierende Proof-of-Concept-Exploits generieren und Netzwerke nach anfälligen Geräten durchsuchen – alles ohne menschliches Zutun und mit Maschinengeschwindigkeit. Was früher Wochen dauerte, nimmt heute Stunden in Anspruch.
• KI-gestützte Botnets: Botnets wie Aisuru/TurboMirai erreichen DDoS-Kapazitäten von über 20 Terabit pro Sekunde, eine massive Steigerung gegenüber früheren Generationen. KI ermöglicht eine intelligentere Koordination, schnellere Verbreitung und gezieltere Angriffe. Kompromittierte IoT-Geräte mit Standardpasswörtern oder ungepatchter Firmware werden rekrutiert, um als verschleierte Proxys für kriminelle Aktivitäten zu dienen.
• Lieferkettenkompromittierung: Das "BadBox 2.0"-Phänomen von 2025 zeigte, wie Malware bereits im Werk in günstige Android-basierte Streaming-Boxen, Tablets und andere Geräte eingebettet wurde. Die Infektion war so tief in der Firmware verankert, dass selbst ein Zurücksetzen auf Werkseinstellungen sie nicht entfernte. Dies ist kein Patch-Problem, sondern eine kompromittierte Lieferkette, bei der das Produkt selbst zum Angriffsvektor wird.
• Adversarial Attacks auf KI-Systeme in Geräten: Wenn das Verhalten eines Geräts durch ein KI-Modell gesteuert wird, kann dieses Modell direkt angegriffen werden. Adversarial Machine Learning-Angriffe nutzen subtile, oft unmerkliche Änderungen an Eingabedaten, um das KI-Modell zu falschen Entscheidungen zu verleiten. Dies kann von der Fehlklassifizierung eines Stoppschilds durch ein selbstfahrendes Auto bis zur Manipulation von Sensordaten in Industrieanlagen reichen, um kritische Ausfälle zu übersehen oder Fehlalarme auszulösen.
• Datenvergiftung (Data Poisoning): KI-Modelle in IoT-Systemen werden oft kontinuierlich mit Felddaten trainiert. Wenn Angreifer diese Daten beeinflussen können, können sie das Modellverhalten schleichend korrumpieren, was sich erst viel später und schwer nachvollziehbar manifestiert.
• Das Problem der Nicht-Determiniertheit: Moderne KI-Agenten sind nicht-deterministisch, was für kreative Anwendungen von Vorteil ist, aber in operativen Technologieumgebungen (OT) wie Fabrikhallen oder Stromnetzen, wo Vorhersagbarkeit entscheidend ist, eine ernste Gefahr darstellt. Wenn ein KI-System unterschiedliche Ausgaben für dieselben Sensordaten produziert, fehlt eine zuverlässige Basis zur Erkennung von Anomalien.

Maßnahmen zur Risikominimierung

Die Komplexität der Bedrohung erfordert mehr als nur das Patchen von Geräten. Hier sind zentrale Maßnahmen, die Unternehmen ergreifen sollten:

1. Netzwerksegmentierung: Dies ist eine der effektivsten Kontrollen. IoT-Geräte sollten von sensibler Infrastruktur getrennt werden, um die laterale Bewegung von Angreifern zu begrenzen. Ein kompromittierter Smart TV in einem isolierten VLAN ist ein Ärgernis; in einem flachen Unternehmensnetzwerk ist er ein Einfallstor.

2. Umfassende Inventarisierung: Sie können nicht schützen, was Sie nicht kennen. Eine lückenlose und aktuelle Inventarisierung aller vernetzten Geräte, einschließlich Modell, Firmware-Version, Standort und Verantwortlichkeit, ist unerlässlich. Automatisierte Tools zur Asset Discovery sind hierbei hilfreich.

3. Beschaffung als Sicherheitsentscheidung: Bei der Anschaffung von IoT-Geräten sollten Sicherheitsaspekte eine zentrale Rolle spielen. Bevorzugen Sie Hersteller mit nachweislichen Sicherheitsstandards, Firmware-Signierung und klar definierten Support-Lebenszyklen. Billige Hardware ohne Support kann sich langfristig als sehr teuer erweisen.

4. Skepsis gegenüber KI-gestütztem IoT: KI-gesteuerte Entscheidungen in operativen Kontexten sollten mit Skepsis betrachtet werden. Beschränken Sie deren Berechtigungen, prüfen Sie die Ergebnisse und fordern Sie menschliche Bestätigung für wichtige Aktionen. In deterministischen Sicherheitsumgebungen ist besondere Vorsicht geboten.

5. Netzwerk-Monitoring und Verhaltensanalyse: Da die meisten IoT-Geräte keine Endpoint Agents ausführen können, sind Verhaltensanomalien im Netzwerkverkehr oft das erste Anzeichen einer Kompromittierung. Unerwartete Verbindungen, ungewöhnlicher Bandbreitenverbrauch oder der Zugriff auf neue IP-Bereiche sollten untersucht werden.

6. Regelmäßige Firmware-Updates und sichere Konfiguration: Veraltete Firmware, Standardpasswörter und unnötig aktivierte Funktionen sind häufige Schwachstellen. Diese müssen regelmäßig überprüft, aktualisiert und deaktiviert werden. Deaktivieren Sie nicht benötigte Dienste wie UPnP, SSH oder offene Debug-Ports.

7. Verschlüsselung der Kommunikation: Stellen Sie sicher, dass alle Kommunikationswege verschlüsselt sind, insbesondere für sensible Daten. Bevorzugen Sie Geräte, die HTTPS, TLS, WPA2 oder WPA3 unterstützen.

8. Incident-Response-Planung: Ein klar definierter Plan für den Umgang mit kompromittierten IoT-Geräten ist unerlässlich. Dieser sollte Isolierung, Protokollsicherung, Zurücksetzen von Zugangsdaten und die Überprüfung der Firmware-Integrität umfassen.

Die langfristige Herausforderung: Der "Long Tail" von verlassenen Geräten

Das Kernproblem liegt in der Geschäftsphilosophie der IoT-Branche, die oft auf Kostenminimierung und schneller Markteinführung basiert, anstatt auf Sicherheit. Dies führt zu Milliarden von Geräten mit dünnen Angriffsoberflächen, langer Betriebszeit, begrenzten oder fehlenden Patch-Mechanismen und keiner Möglichkeit, moderne Sicherheitstools auszuführen.

Die physische Lebensdauer von Consumer-IoT-Geräten übersteigt oft deren Support-Lebenszyklus. Ein 2019 verkauftes Smart Lock mit einem dreijährigen Sicherheits-Supportfenster ist 2025 wahrscheinlich immer noch in Gebrauch – mit bekannter, ungepatchter Firmware, die von automatisierten Scannern leicht gefunden werden kann. Hersteller haben nur begrenzte finanzielle Anreize, Hardware weiterhin zu patchen, die sie bereits verkauft haben. KI-gestützte Schwachstellenscans bedeuten, dass diese verlassenen Geräte viel schneller gefunden und ausgenutzt werden als je zuvor. Die Anzahl der Geräte in diesem "Long Tail" – über das Ende des Supports hinaus, aber immer noch in Betrieb – beläuft sich auf Hunderte von Millionen.

Staatliche Akteure und kritische Infrastrukturen

Die Bedrohung durch vernachlässigte IoT-Geräte ist nicht nur auf kriminelle Aktivitäten beschränkt. Staatlich geförderte Akteure nutzen diese Schwachstellen zunehmend für verdeckte Angriffe auf kritische Infrastrukturen. Die FBI-Erklärung von September 2025 über die chinesische Hackergruppe Volt Typhoon, die monatelang persistenten Zugang zu operativen Systemen eines Versorgungsunternehmens hatte, zeigt die Ernsthaftigkeit dieser Bedrohung. Ziel ist hier nicht Datendiebstahl im herkömmlichen Sinne, sondern die Etablierung persistenten Zugangs zu industriellen Steuerungssystemen und Sensornetzwerken, die im Falle einer geopolitischen Krise zur Störung oder Zerstörung aktiviert werden könnten.

Die Kosten von IoT-bedingten Sicherheitsvorfällen sind erheblich. Ein durchschnittlicher IoT-Sicherheitsvorfall kostet rund 330.000 US-Dollar. Im Gesundheitswesen können IoMT-Verletzungen im Durchschnitt 10 Millionen US-Dollar übersteigen. Der Clorox-Produktionsausfall im Jahr 2023, der Berichten zufolge über die Fertigungsinfrastruktur erfolgte, kostete das Unternehmen Hunderte von Millionen an Produktionsausfällen. Dies sind keine abstrakten Risiken mehr.

Die Geräte sind allgegenwärtig und werden nicht verschwinden. Die Frage ist, ob Unternehmen sie unter Berücksichtigung dieser Realität entwickeln, kaufen und betreiben. Eine proaktive, ganzheitliche Sicherheitsstrategie ist unerlässlich, um die Integrität und Sicherheit unserer vernetzten Welt zu gewährleisten.

Bibliographie

• IoT News. (2026, 27. Mai). How abandoned IoT endpoints become open doors for attacker Internet of Things News %. Abgerufen von https://iottechnews.com/news/how-abandoned-iot-endpoints-become-open-doors-for-attacker/
• Indy. (2026, 23. April). The Quiet Threat: IoT in the Age of AI – Bubble. Abgerufen von https://bubble.ro/2026/04/23/the-quiet-threat-iot-in-the-age-of-ai/
• IoT For All. (2026, 8. Mai). Your IoT Devices Are Calling Home. Do You Know Who’s Listening? Abgerufen von https://www.iotforall.com/iot-devices-telemetry-security
• Cao, A. (2025, 25. Juli). Exploiting zero days in abandoned hardware - The Trail of Bits Blog. Abgerufen von https://blog.trailofbits.com/2025/07/25/exploiting-zero-days-in-abandoned-hardware/
• Lyrie Threat Intelligence. (2026, 28. April). The Invisible Army: How China Is Weaponizing 200K+ Compromised Routers to Hide APT Attacks | Lyrie Research | Lyrie Research. Abgerufen von https://lyrie.ai/research/research/2026-04-28-china-covert-botnet-networks-volt-flax
• Constantin, L. (2026, 22. April). Riddled with flaws, serial-to-Ethernet converters endanger critical infrastructure | CSO Online. Abgerufen von https://www.csoonline.com/article/4162289/riddled-with-flaws-serial-to-ethernet-converters-endanger-critical-infrastructure.html
• ITU Online IT Training. (2026, 26. April). Securing IoT Devices Against Common Vulnerabilities: A Step-by-Step Guide – ITU Online IT Training. Abgerufen von https://www.ituonline.com/blogs/securing-iot-devices-against-common-vulnerabilities-a-step-by-step-guide/
• Olsinski, B. (2026, 15. Mai). Are The Smart Devices In Your Office A Security Risk? Abgerufen von https://oandosystems.com/blog/smart-devices-office-security/
• Endolum GmbH. (2026, 29. April). 301 D-Link Cameras Wide Open in Switzerland | Endolum. Abgerufen von https://endolum.io/blog/swiss-dlink-camera-exposure-2026/
• DataFlowX. (2026, 24. März). The 30-Terabit Threat: Why “Firewalled” IoT is the New Air-Gap Myth. Abgerufen von https://www.dataflowx.com/post/the-30-terabit-threat-why-firewalled-iot-is-the-new-air-gap-myth