So gehen die Auto-Hacker vor

Die Reputation des vernetzten Autos hat in den vergangenen Monaten stark gelitten: Zahlreiche erfolgreiche Fahrzeug-Hacks werfen kein gutes Licht auf die IT-Security-Maßnahmen der Hersteller. Wir analysieren, wie die Auto-Hacker vorgehen. [...]

• Mehr und mehr Sicherheitslücken in vernetzten Autos werden bekannt. Wir zeigen Ihnen mögliche Angriffspunkte der Hacker.

• Privatautos sind nach Meinung von Exerten für Hacker uninteressant. Völlig anders sieht es dagegen im Unternehmensumfeld aus.

• Die Autoindustrie muss beim Thema IT-Sicherheit umdenken.

Die bekannt gewordenen Fälle von gehackten Fahrzeugen werfen Grundsatzfragen auf: Wie leicht ist es wirklich ein Auto zu hacken und wie akut ist die Bedrohungslage für die Allgemeinheit? Als einer der weltweit größten Automobilzulieferer hat sich die Robert Bosch AG gegenüber der DPA zum Thema geäußert. Martin Emele, Leiter Produktsicherheit bei der Bosch-Tochter ETAS GmbH, sieht derzeit keine akute Gefahr für die Allgemeinheit durch Automobil-Hacker: „Da steht ein sehr hoher Aufwand dahinter. Die Angriffe sind auch nicht unbedingt auf andere Fahrzeugmodelle geschweige denn andere Hersteller übertragbar.“
Dennoch stellen insbesondere Remote-Hacks nicht nur eine qualitativ ganz neue Art von Fahrzeug-Hack dar, sondern sie schüren auch die Angst vor groß angelegten Hackerangriffen auf Autofahrer. Schließlich kann ein unautorisierter Fernzugriff auf Bremse, Gas oder Lenkung lebensbedrohliche Folgen haben – und zwar sowohl für den Fahrer, als auch seine Umgebung. Doch selbst wenn dieser Fall ausbleibt – in vernetzten Autos werden darüber hinaus auch jede Menge Daten gesammelt und verwertet. Wie gehen die Hacker also vor, welche Schwachstellen nutzen sie und wie sieht die ganze Sache eigentlich im Business-Umfeld aus? Gerade Firmenwagen oder Unternehmensflotten könnten für Cyberkriminelle interessant sein. Wir gehen diesen – und weiteren – Fragen auf den Grund.
Bevor wir jedoch ins Detail gehen, zeigen wir Ihnen zunächst in Kooperation mit LoJack – US-Anbieter von Anti-Diebstahl- und Flottenmanagement-Lösungen – welche Wege Kriminelle mit Technologie-Affinität nutzen, um sich Ihres Fahrzeugs oder auch der dort gespeicherten Daten zu bemächtigen. In vielen Fällen ist dafür kein topmodernes Connected Car mit semiautonomen Fahrfunktionen nötig – jedes halbwegs moderne Fahrzeug hat heutzutage Technologien an Bord, die sich Kriminelle zu Nutze machen.
KNACKPUNKT CAN-BUS: DAS HERZ DER VERNETZTEN AUTOS
In vielen früheren und aktuellen Fällen von Auto-Hacks ist ein physischer Zugang zum Fahrzeug zwingend nötig, um Zugriff auf die Systeme zu erlangen. Doch egal ob nun per physischem oder kabellosen Zugang – der Knackpunkt im vernetzten Auto liegt im CAN-BUS-System. Dieses ist das elektronische Herz des Connected Car und zuständig für die Vernetzung aller Steuergeräte im Fahrzeug. Gelingt es Angreifern den CAN-BUS zu kapern, ist der Zugriff auf die Steuergeräte – und damit auch alle Fahrzeugfunktionen – meist nur noch eine Frage der Zeit.
Um zu diesem Punkt zu gelangen, bieten sich Angreifern diverse Ansatzpunkte. Einer liegt beim Connected Car in integrierten Mobilfunksystemen. Vor diesem Hintergrund erscheint die EU-Verordnung, die ab 2018 für alle Neufahrzeuge das SIM-basierte Notrufsystem eCall vorsieht, in ganz neuem Licht. Im Regelfall sind es aber die Infotainment-Systeme moderner, vernetzter Autos, die als Einfallstor für Hacker dienen. Diese Systeme bieten inzwischen immer häufiger zahlreiche kabellose Verbindungs- und Integrationsmöglichkeiten – etwa via Bluetooth oder WLAN. Diese Möglichkeiten zur externen Kommunikation können zu einem ernsthaften Problem werden. Insbesondere wenn die physischen Fahrsysteme architektonisch nicht strikt von den übrigen Systemen getrennt sind.
In diesem Zusammenhang nimmt die „Hack-Arbeit“ von Chris Valasek und Charlie Miller an einem Jeep Cherokee eine Sonderstellung ein. Die beiden Security-Spezialisten – die inzwischen vom Fahrdienstleister Uber rekrutiert wurden – haben einen ähnlichen Hack bereits 2013 mit verschiedenen anderen Automodellen demonstriert – damals noch mit physischem Zugang zu den Fahrzeugen. Aus diesem Grund werden die Erkenntnisse von Valasek und Miller von den damals betroffenen Autobauern – unter anderem Toyota und Ford – auch als realitätsfern abgetan, schließlich hätten reale Cyberkriminelle nicht die Möglichkeit das Armaturenbrett zu demontieren, um dann ein Notebook mit dem Auto zu verkabeln. Erst als Valasek und Miller in diesem Jahr den Jeep ohne Kabelbindung erfolgreich fernsteuern können, finden Sie Gehör. Natürlich dürfte letztlich auch die durch die Medienberichte entstandene Öffentlichkeit nicht unwesentlich dazu beigetragen haben.
HACKER & PRIVAT-AUTOS: HYPE ODER REALE GEFAHR?
Die vernetzten Autos von Privatleuten dürften für Cyberkriminelle dennoch weitgehend uninteressant bleiben. Der Grund: Der Aufwand dürfte sich schlicht nicht lohnen. Ein mögliches monetäres Interesse das Angreifer hier verfolgen könnten, wäre der Diebstahl des Wagens. Allerdings gibt es hierzu deutlich effektivere Methoden. Eine Manipulation des Tachos, um durch Verschleierung der Laufleistung den Wiederverkaufswert zu erhöhen, wäre eine weitere denkbare Motivation für Hacker.
Speziell in Deutschland und Europa spielt natürlich das Thema Datensicherheit im Zusammenhang mit vernetzten Autos eine große Rolle. Hierbei geht es einerseits um die persönlichen Daten die im Fahrzeug gespeichert werden, andererseits aber auch um die Daten die das Fahrzeug etwa über seine Sensoren aggregiert. Eine aktuelle Studie des Beratungsunternehmens Arthur D. Little (ADL) die dem „Handelsblatt“ vorliegt, will die Bedenken hinsichtlich der Sicherheit privater Daten als Hauptgrund für die Skepsis gegenüber autonomen Fahrzeugen identifiziert haben: 70 Prozent der 6.500 befragten Consumer aus zehn Kernmärkten der Branche äußerten diese Bedenken. Dass massive Cyberangriffe mit millionenfachem Datendiebstahl – wie aktuell etwa im Fall der Fast-Food-Kette Wendy’s – immer mehr in den Fokus der medialen Öffentlichkeit rücken, dürfte die Datenschutz-Ängste der breiten Masse weiter befeuern. Schließlich richten Hackerangriffe wie diese oft weit mehr als nur monetären Schaden an. Doch wie wahrscheinlich ist es, dass Hacker künftig – zum Beispiel über Auto-Botnets – massenhaft Daten von Privatnutzern abgreifen?
Klaus Schmitz, Leiter Automotive Zentraleuropa bei ADL relativiert im Interview mit dem „Handelsblatt“: „Die Sicherheitsfrage beim vernetzten und autonomen Fahren wird von den Kunden derzeit noch falsch eingeschätzt. Während die Gefahr des Ausspionierens persönlicher Daten relativ gering ist, unterschätzen sie die IT-technisch wesentlich höhere Komplexität eines autonomen Automobils, das nicht vergleichbar ist mit der eines Smartphones.“
FIRMENWAGEN-HACK: CYBERANGRIFF DER ZUKUNFT?
Ganz anders könnte die Sache künftig bei Enterprise-Fahrzeugflotten oder Dienstwagen aussehen. Insbesondere letztere dienen im Unternehmenseinsatz in der Regel auch als rollendes Büro. Der Diebstahl von Unternehmensdaten, die Erstellung eines Bewegungsprofils oder die Überwachung von Telefongesprächen im Auto sind ebenso denkbare Szenarien, wie eine neue Art von „Car-Ransomware“, die das Auto zum Druckmittel einer Erpressung degradiert.
Tatsächlich gibt es bislang allerdings lediglich einen dokumentierten Fall eines real durchgeführten Car Hacks im Unternehmensumfeld: Im Jahr 2010 sorgt der ehemalige Angestellte eines Autohändlers für Alarm bei der „High Tech Crime Unit“ in Austin, Texas. Der damals frisch Entlassene hatte sich Zugang zu einem sogenannten „vehicle-immobilization system“ verschafft. Dieses (nicht unumstrittene) System dient einigen Autohändlern in den USA normalerweise dazu, zahlungssäumige Kunden an ihre Pflichten zu erinnern. Zu diesem Zweck kann über ein externes Device zum Beispiel die Zündung lahmgelegt, oder die Hupe ferngesteuert werden. Nach seinem unfreiwilligen Abgang rächt sich besagter Ex-Mitarbeiter, indem er über einhundert Autos in der Datenbank des Händlers sabotiert. Die Wagen lassen sich nicht mehr starten, die Hupe ist nur noch durch das Abklemmen der Batterie zum Schweigen zu bringen. Wie das bei den betroffenen Kunden angekommen ist, kann man sich lebhaft ausmalen. Und auch wenn dieser Fall relativ glimpflich – das heißt ohne Verletzte – verlaufen ist: Er beweist, welche schwerwiegenden Schäden Angreifer mit Auto-Hacks im Unternehmensumfeld anrichten können.