In einer Umgebung, in der sich die Datensicherheit ständig weiterentwickelt, stehen Elektronikentwickler vor der gewaltigen Aufgabe, Systeme zu entwerfen, die nicht nur komplexe Cyber-Bedrohungen abwehren, sondern auch den strengen gesetzlichen und behördlichen Rahmen einhalten. Diese anspruchsvolle Aufgabe ergibt sich aus einer äußerst dynamischen Cyber-Bedrohungslandschaft, in der organisierte Cyberkriminelle immer wieder neue Wege finden, um sensible Daten und kritische Infrastrukturen ins Visier zu nehmen.
Die Cyber-Bedrohungslandschaft ist sowohl breit als auch tief und umfasst verschiedene Arten von Angriffen. Bei Angriffen auf die Lieferkette erlangen böswillige Akteure über Drittanbieter die Kontrolle über die IT-Infrastruktur eines Unternehmens. Ein weiteres weitverbreitetes Problem sind Ransomware-Angriffe, bei denen bösartige Software Dateien verschlüsselt und Geräte und Daten für die Benutzer unzugänglich macht. Zudem stellen Datenschutzverletzungen ein großes Problem dar, da Cyberkriminelle Organisationen ins Visier nehmen, um sensible Informationen zu stehlen, darunter persönliche Daten, Finanzunterlagen und geistiges Eigentum.
Angesichts solch vielfältiger Cyber-Bedrohungen ist das Risiko für Einzelpersonen und Organisationen durch unzureichenden Datenschutz und unzureichende Sicherheit enorm. SolarWinds erlebte beispielsweise einen vielbeachteten Angriff auf die Lieferkette, als seine routinemäßige Aktualisierung der Orion-Software kompromittiert wurde, was zu einem unbefugten Zugriff auf zahlreiche Regierungsbehörden und Unternehmen des Privatsektors führte.
Dies ist jedoch nur ein Beispiel von vielen bekannten Fällen, die zeigen, dass Datenschutzverletzungen extrem kostspielig sein können. Abgesehen von den finanziellen Einbußen durch entgangene Geschäfte und höhere Versicherungskosten verursachen Datenschutzverletzungen auch einen enormen Imageschaden und einen Vertrauensverlust bei den Kunden, der erst nach Jahren wieder ausgeglichen werden kann.
Regulatorisches Umfeld für Hardware-Sicherheit
Im Kampf gegen neue Cyber-Bedrohungen setzen Elektronikentwickler zunehmend auf hardwarebasierte Sicherheit. Hardwarebasierte Sicherheit ist ein Ansatz, bei dem physische Komponenten wie Prozessoren, sichere Chips oder kryptografische Module verwendet werden, um die Systemabwehr gegen Bedrohungen zu stärken. Im Gegensatz zu softwarebasierten Maßnahmen, die sich auf Programme und Algorithmen stützen, sind bei der hardwarebasierten Sicherheit die Sicherheitsmerkmale in die Hardware selbst eingebettet, die aufgrund dieser Embedded-Charakteristik einen physischen Schutz gegen bestimmte Angriffe und Widerstand gegen Manipulationen bietet.
Hardwarebasiertes Systemdesign setzt jedoch ein umfassendes Verständnis des Sicherheits- und Rechtsrahmens voraus, um zu gewährleisten, dass Systeme und Bauteile sicher sind und dass die Endprodukte oder ‑lösungen den gesetzlichen Anforderungen in vollem Umfang entsprechen. Zu diesen rechtlichen Standards gehören die Cyberresilienz-Verordnung der EU, die ISO/IEC und die DSGVO, um nur einige zu nennen. Betrachten wir also einige der wichtigsten Bestimmungen und Standards, die für den Bereich der hardwarebasierten Sicherheit maßgeblich sind, um zu verstehen, wie sie die Einführung von Sicherheitsmaßnahmen vorantreiben.
Cyberresilienz-Verordnung der EU
Die Cyberresilienz-Verordnung der EU (CRV), die im März 2024 vom Europäischen Parlament offiziell in Kraft gesetzt wurde, soll Verbraucher und Unternehmen schützen, die Produkte mit digitalen Bauteilen kaufen oder verwenden. Durch eine Reihe harmonisierter Vorschriften werden Anforderungen an die Cybersicherheit eingeführt, die für die Planung, das Design, die Entwicklung und die Wartung solcher Produkte gelten und auf jeder Stufe der Wertschöpfungskette eingehalten werden müssen. Ziel ist es, die Cybersicherheit für digitale Produkte auf dem gesamten EU-Markt zu verbessern und die Hersteller während des gesamten Lebenszyklus des Produkts in die Pflicht zu nehmen. Für Entwickler bedeutet dies, dass sie von der Designphase bis zum Ende des Lebenszyklus robuste, durchgängige Sicherheitsmaßnahmen integrieren müssen. Die Einhaltung der CRV hilft den Entwicklern beim Design von Systemen, die komplexen Angriffen standhalten und sowohl Nutzer als auch kritische Infrastrukturen schützen.
Bei der CRV der EU bezieht sich die Zertifizierung auf das im Handel erhältliche Produkt. In der Regel führt der Entwickler eine Risikobewertung durch, bei der er andere relevante Standards und Richtlinien hinzuzieht, um festzustellen, ob ein Produkt in die Kategorie Standard (geringeres Cybersicherheitsrisiko), Klasse I (erhöhtes Cybersicherheitsrisiko) oder Klasse II (höchstes Cybersicherheitsrisiko) fällt. Die Standardkategorie umfasst in der Regel Produkte wie Smart-Lautsprecher und Smart-Home-Thermostate. Klasse I umfasst in der Regel Produkte wie Bauteile für das industrielle Internet der Dinge (IIoT) oder Unterhaltungselektronik mit begrenztem Zugriff auf sensible Daten oder kritische Funktionen. Klasse II umfasst dagegen in der Regel Produkte mit höherem Risiko, wie industrielle Steuerungssysteme, Server und Krypto-Prozessoren.
Je höher die Klasse, desto höher die Anforderungen an die Einhaltung der Vorschriften. Bei der Standardkategorie können die Hersteller ihre Produkte selbst bewerten. Bei Klasse I müssen die Hersteller ihre Produkte jedoch mithilfe einer Konformitätsprüfung durch Dritte oder anhand eines gleichwertigen Standards bewerten. Produkte der Klasse II müssen direkt einer Konformitätsbewertung durch Dritte unterzogen werden, ohne die Möglichkeit, einen gleichwertigen Standard zu verwenden.
ISO/IEC-Normen
Internationale Normen wie ISO/IEC 27001 bieten einen umfassenden Rahmen für das Management von Risiken der Informationssicherheit. Diese Standards helfen Entwicklern bei der Umsetzung bewährter Verfahren für die Sicherheit von Hardware, einschließlich Risikobewertung, Implementierung von Steuerungen und kontinuierlicher Überwachung. Durch die Einhaltung der ISO/IEC- Normen stellen Entwickler sicher, dass die Hardware-Designs nach den besten Verfahren erstellt werden und wesentliche Merkmale für die Sicherheit enthalten, wie beispielsweise Verschlüsselung, Zugriffskontrolle und sichere Boot-Prozesse. Dadurch wird gewährleistet, dass Sicherheitsaspekte bereits in der Designphase berücksichtigt werden, wodurch die Wahrscheinlichkeit von Schwachstellen, die nach der Implementierung ausgenutzt werden könnten, verringert wird.
Datenschutz-Grundverordnung, die DSGVO
Die Datenschutz-Grundverordnung der EU (DSGVO) legt den Schwerpunkt auf die Rechte der Verbraucher und den Umgang mit Daten und betont den Schutz personenbezogener Daten. Für Hardware-Entwickler bedeutet dies, dass sie Designs entwerfen müssen, die den Datenschutz und die Sicherheit standardmäßig einbeziehen. Dazu gehört die Implementierung von Datenverschlüsselung, sicherem Speicher und robuster Zugriffssteuerung. Die Einhaltung der DSGVO ist auf der Ebene der Applikationen/Dienste gesetzlich vorgeschrieben. Es ist jedoch von entscheidender Bedeutung, dies bereits in der Design-Phase zu berücksichtigen, und die Einbeziehung wesentlicher Bauteile für die Sicherheit in die Hardwareprodukte kann das Risiko möglicher Datenschutzverletzungen senken.
Die Einbeziehung von DSGVO-Grundsätzen in das Hardware-Design kann das Vertrauen der Nutzer stärken, da sie wissen, dass ihre Daten nach den höchsten Standards für Datenschutz und Sicherheit behandelt werden. Dieser proaktive Ansatz erleichtert auch die Durchführung von Audits und behördlichen Überprüfungen und kann den Zeit- und Ressourcenaufwand für die Einhaltung der Vorschriften verringern.
Wichtige Bausteine für hardwarebasiertes Design
Sicherheits- und Rechtsrahmen liefern die Grundlagen für effektive hardwarebasierte Sicherheit in elektronischen Systemen und Bauteilen. Die Einhaltung dieser Grundsätze kann dazu führen, dass erstklassige Produkte mit integrierter, moderner Sicherheit entstehen. Bei der Entscheidung zwischen Software- und Hardware-Sicherheit bieten hardwarezentrierte Maßnahmen bestimmte Vorteile, die softwarebasierten Ansätzen möglicherweise fehlen. Zu diesen Vorteilen zählen:
Größere Widerstandsfähigkeit gegen Angriffe: Dies ist auf die Tatsache zurückzuführen, dass der Einsatz auf einer niedrigeren Ebene erfolgt, unabhängig von potenziell anfälligen Software-Schichten.
Beschleunigung der Verschlüsselungsprozesse: Dies gewährleistet eine schnellere und sicherere Datenverarbeitung.
Fähigkeit, kritische Funktionen zu isolieren: Dies verhindert unbefugten Zugriff, selbst im Falle einer Kompromittierung der Software.
Immer mehr Entwickler sind auf der Suche nach qualitativ hochwertigen Bauteilen, um ein hardwarebasiertes Sicherheitsdesign zu implementieren und die strengen gesetzlichen und behördlichen Auflagen zu erfüllen. Diese Anforderung wird von einem breiten Bereich von Technologieanbietern erfüllt, darunter Analog Devices, Microchip Technology, NXP Semiconductors und STMicroelectronics, die sich zum Ziel gesetzt haben, die Bausteine für eine hochmoderne hardwarebasierte Cybersicherheit bereitzustellen.
Für Entwickler, die sichere IoT-Geräte entwerfen möchten, bietet beispielsweise NXP Semiconductors mit seiner Produktfamilie EdgeLock SE050 Plug and Trust Secure Element eine erstklassige, nach Common Criteria EAL 6+ und FIPS 140-2 zertifizierte Sicherheit. Die zertifizierte Sicherheit bietet starken Schutz gegen mehrere Angriffsmethoden sowie einen erweiterten Funktionsumfang für einen breiten Bereich von IoT-Applikationen. Dieses gebrauchsfertige Sicherheitselement für IoT-Bauteile bietet ein Root-of-Trust auf IC-Ebene, das als Eckpfeiler für die Schaffung einer sicheren Grundlage für die Authentifizierung von Geräten dient, was insbesondere im Kontext von IoT und verbundenen Systemen von entscheidender Bedeutung ist. Es bietet absolute End-to-End-Sicherheit – von der Edge bis zur Cloud – ohne Implementierung von Sicherheitscode oder Verwendung kritischer Schlüssel und Zugangsdaten.
Alternativ dazu bieten die 32-Bit-Mikroprozessoren SAMA5D4 von Microchip Technology hochwertige hardwarebasierte Sicherheit sowie eine große Auswahl von Core-Funktionen. Diese MPUs basieren auf dem leistungsstarken und energieeffizienten Arm® Cortex®-A5-Prozessor, unterstützen Grafikverarbeitung, bieten einen großen Bereich an Kommunikationsausgängen mit bis zu 152 E/As und verfügen über integrierte Kryptografie- und Microchip Secure Boot-Fähigkeiten. Es handelt sich um hochintegrierte Lösungen, die für einen optimalen Funktionsumfang entwickelt wurden, ohne die Sicherheit zu beeinträchtigen. Diese MPUs eignen sich ideal für Applikationen wie smarte Umrichter und HMIs, die häufig als Produkte der Klasse II der CRV eingestuft werden.
Eine weitere flexible und sichere Lösung ist das Hardware-Sicherheitsmodul PU-50n iShield USB von Swissbit. Diese USB 3.1 Solid-State-Flash-Laufwerke mit USB-Steckverbinder vom Typ A sind für die sichere Speicherung und Verwaltung von kryptografischen Schlüsseln ausgelegt. Das PU-50n ist ein Plug-and-Play-USB-Sicherheitsanker, der es Systemintegratoren ermöglicht, bestehende AWS IoT Greengrass-Produkte mit einem Hardware-Sicherheitsmodul aufzurüsten. Diese Eigenschaft macht es zur perfekten Wahl für die Nachrüstung von fertigen Hardware-Designs und Geräten, die bereits im praxisnahen Einsatz sind.
Fazit
Es ist unbestritten, dass Elektronikentwickler vor einer großen Herausforderung stehen, wenn sie Produkte entwickeln, die mit immer raffinierteren Cyber-Bedrohungen umgehen sollen. Mit der Zunahme der Cyber-Bedrohungen steigt auch die Komplexität der gesetzlichen und regulatorischen Rahmenbedingungen, die das Betriebsverhalten und den Schutz der Nutzer gewährleisten sollen.
Durch Einhaltung von Standards wie der Cyberresilienz-Verordnung der EU, ISO/IEC und der DSGVO können Entwickler in diesem dynamischen, sich ständig verändernden Umfeld die sichersten Produkte entwickeln. Die Einhaltung dieser Vorschriften muss durch die Auswahl qualitativ hochwertiger Bauteile unterstützt werden.
