Sicherheit für die Verwaltung eingebetteter Systeme - IT-Sicherheit zwischen Regulierung und Innovation - page 169

Fallbeispiel Unterhaltungselektronik (2)

Nach Betätigung von 4 „geheimen“ Tasten erscheint das Service Menu:

15/02/2011 14 escrypt GmbH - Embedded Security

Bild 13

Es gibt auch Unternehmen, die davon profitieren, dass man ihre Geräte vielseitig
einsetzt, aber den meisten Unternehmen schadet es eher. Ich möchte ein ganz
einfaches Rechenbeispiel bringen, mit dem sich die Höhe eines möglichen
Schadens durch fehlende Security berechnen lässt. Das Beispiel ist fiktiv, könnte
aber durchaus für das eine oder andere Gerät realistisch sein (Bild 14). Nehmen
wir an, Sie haben eine Navigationsdatenplattform von welcher 100.000 Geräte im
Umlauf sind und Sie können für einen relativ geringen Preis von 2 Euro gewisses
Kartenmaterial freischalten. Sie rechnen damit, dass pro Benutzer und pro Jahr
fünf Freischaltungen durchgeführt werden und dass eine Laufzeit von fünf Jahren
für dieses Gerät vorgesehen ist. Sie gehen also davon aus, dass Sie durch solche
Freischaltungen 50 Euro pro Gerät einnehmen werden. Wenn Sie jetzt annehmen,
dass jemand anderes nur 10 Prozent der Kunden über das Internet billiger mit
einem Hack bedient, dann würde ein Schaden von 500.000 Euro entstehen, weil
Ihnen diese 10 Prozent der Nachfrager einfach fehlen. Für einen Angreifer kann die
Motivation darin bestehen, dass er beispielsweise die Freischaltung statt für 2 Euro
für 1 Euro anbietet und er innerhalb des Zeitraums einen Umsatz von 250.000 Euro