Cybersecurity und Ladeinfrastruktur Angriffsziel E-Mobilität

Anbieter zum Thema

Arvato Systems

TXOne Networks

Keeper Security EMEA Ltd.

Juice Technology AG

Angesichts der zunehmenden Softwareorientierung von Steuerungs­systemen und der wachsenden Popularität von Over-the-Air-Updates steigt das Risiko von Cyberangriffen auf Fahrzeuge und – im Falle von E-Autos – auch auf die Ladeinfrastruktur. Und das ist alarmierend, denn die Automobilbranche schenkt der Bedrohungslage noch viel zu wenig Beachtung. Es besteht ein dringender Bedarf an Konzepten, um dieses Risiko einzudämmen.

Mit 100 Millionen Zeilen Code hat ein modernes Fahrzeug mehr als vier Mal so viele Programmierzeilen wie ein F-35-Jet oder doppelt so viele wie der Teilchenbeschleuniger Large Hadron Collider (Stand 2015). Allein dieser Umfang birgt aufgrund seiner Komplexität eine Gefahrenquelle, und obwohl Autos ebenso wie Flugzeuge als sicherheitsrelevante Systeme intensiv getestet werden, ist das Auftreten von Softwarefehlern nicht auszuschließen. Ein Gedankenanstoß: Kommerzielle Software hat eine durchschnittliche Fehlerrate von 15 bis 50 Fehlern pro 1.000 Zeilen Code . Um Fehler zu beheben, aber auch um das Fahrzeug mit neuen Funktionen zu auszustatten, werden deshalb Over-the-Air-Updates aufgespielt. Tesla nutzt diese Möglichkeit sehr intensiv: So erhielt beispielsweise ein Tesla Model 3 allein in zwei Jahren über 120 Software-Updates.

Eine Vielzahl von Datenströmen schafft Angriffspunkte

Grundsätzlich birgt jede Schnittstelle ein Sicherheitsrisiko, aber das Einfallspotenzial bei drahtlosen Verbindungen ist weitreichender, denn ein Hack kann von überall erfolgen. Im harmlosesten Fall kann ein Angreifer so den Aufenthaltsort, die Bewegungsrichtung und -geschwindigkeit eines Fahrzeugs verfolgen oder Scheibenwischer und Klimaanlage manipulieren. Je autonomer die Fahrzeuge im Straßenverkehr werden, desto gravierender können böswillige Manipulationen (pdf) an der Software sein. Im schlimmsten Fall könnte ein Hack nicht nur ein einzelnes Fahrzeug treffen, sondern die gesamte Flotte eines Fahrzeugproduzenten. Dessen ist sich auch Tesla-Chef Elon Musk bewusst. Ein großer Vorteil des amerikanischen Autoherstellers: Musk kommt aus dem Softwarebereich. Dieses Problem betrifft jedoch auch traditionelle Automobilbauer wie VW und BMW, die ihren Ursprung jedoch nicht in der Software-Welt haben.

Bei Elektroautos ist die Situation noch weitreichender, da sie nicht einzeln betrachtet werden können; vielmehr sind sie Teil eines vernetzten Systems, zu dem auch Ladestationen gehören. Diese kommunizieren einerseits mit dem Fahrzeug, andererseits mit den Backends der jeweiligen Ladenetzbetreiber und Abrechnungsdienstleister, immer häufiger auch mit Home-Energy-Management-Systemen und künftig auch bidirektional mit den Energieerzeugern über das Stromnetz. Somit sind sie eigentliche Knotenpunkte im Internet der Dinge (IoT).

Deshalb müssen sich nicht nur die Autohersteller mit dem Thema Cybersicherheit befassen, sondern auch die Ladeinfrastrukturhersteller und die Energieversorger. Im Idealfall muss das Gesamtsystem von überall her geschützt werden. Hersteller von Ladestationen kommen indessen häufig aus der Kabel-und-Stecker-Welt oder sind Start-ups, die noch nicht viel mit Cybersicherheit zu tun hatten, aus Kostengründen keinen umfassenden Schutz aufbauen können oder der Datensicherheit einfach nicht die Priorität einräumen, die sie haben sollte. Und so bieten sich Ladestationen geradezu als Einfallstor für Cyberangriffe an.

Weitreichende Konsequenzen

Dabei reichen die Risiken vom Diebstahl von Ladestrom, etwa durch die Manipulation von Abrechnungssystemen, über die Störung von Ladevorgängen, die bis zum totalen Ausfall der Ladestationen führen kann – herbeigeführt etwa durch DDOS- oder Ransomware-Angriffe – bis hin zu einer Destabilisierung des Stromnetzes durch wiederholtes synchronisiertes Ein- und Ausschalten von Ladevorgängen und damit auch zu möglichen Schäden an Fahrzeug-Akkus.

Durch den Umstand, dass bereits vorhandene Zuleitungen ohne weiteres zum Aufbau einer Ladeinfrastruktur genutzt werden können, sind auch Unternehmen, die lediglich die Infrastruktur bereitstellen, darunter zum Beispiel Raststätten oder Industrieunternehmen, über die angebotenen Lademöglichkeiten unmittelbar von Hacks bedroht. Erfolgreiche Cyberangriffe auf die Ladeinfrastruktur können dabei nicht nur den Geschäftsbetrieb stören, sondern auch den Ruf der Unternehmen schädigen und wirtschaftliche Schäden verursachen.

Ein weiteres Szenario, das kaum zur Sprache kommt, die Erpressung von Ladeinfrastrukturbetreibern und Energieversorgern durch die Androhung von Sabotageakten. Denn die Kreativität, mit der Cyberkriminelle agieren, endet nicht bei klassischen Malware-Angriffen oder E-Mail-Scam. Und die Bedrohungslage hat sich 2021 weiter verschärft, denn 46 Prozent der Unternehmen in Deutschland waren mindestens einmal von Cyberangriffen betroffen . Die dadurch entstandenen Schäden belaufen sich gemäß der Bitkom-Befragung auf 223 Milliarden Euro.

Vorbeugen ist besser als heilen

Eine der besten Maßnahmen zur Abwendung von Cybervorfällen bei Unternehmen ist die Einführung eines Informationssicherheits-Management-Systems. Dazu gehört auch eine Klassifizierung von Unternehmenswerten. Zum Schutz von sensiblen Daten besteht darüber hinaus die Möglichkeit, Unternehmensteile mit mehr oder weniger sensiblen Daten voneinander zu entkoppeln. Dadurch schützt man nicht nur die eigenen, sondern auch die Daten von Kunden und Partnern. Mit einer Zertifizierung nach ISO-Standard, zum Beispiel nach ISO 27001, können die eigenen Bemühungen transparent nach außen kommuniziert werden.

Auch Bug-Bounty-Programme bieten sich als probates Mittel zur Vermeidung von Sicherheitslücken an. In der Regel sind es größere Unternehmen, die es sich leisten können, Friendly Hacker auf die Suche nach Schwachstellen in ihrer Software anzusetzen und sie finanziell zu entschädigen.

Für alle Geräte und Systeme, die mit dem Netz verbunden sind, ist es ratsam, die Cybersicherheit von Anfang an, also bereits bei der Produktplanung und -entwicklung, mit einzubeziehen. Bei diesem „Security by Design“-Ansatz verwenden die Technologiehersteller vorzugsweise proprietäre Chipsätze anstelle von Standardhardware und sorgen dafür, dass die Kommunikationsverbindungen per default verschlüsselt sind.

E-Mobility-Security: Eine Herausforderung für alle Beteiligten

In Bezug auf Ladestationen ist selbstverständlich die elektrische Sicherheit zusammen mit der Anwendersicherheit vorrangig. In einer Zeit, in der E-Autos und Ladestationen zu Akteuren im Internet der Dinge werden, gewinnt jedoch die Prävention und Abwehr von Cyberangriffen stetig an Bedeutung. Gerade weil das IoT ein relativ neues Phänomen ist und es deshalb bislang nur wenige Anwendungen gibt, wird es stark unterschätzt.

Doch das ist fatal. Aufgrund der Vielzahl von Marktteilnehmern im Bereich der Elektromobilität und der damit einhergehenden zunehmenden Vernetzung ist auch systemrelevante Infrastruktur betroffen. Das Problem beschränkt sich somit nicht auf eine Branche und sollte über branchenübergreifende Sicherheitskonzepte angegangen werden. Automobilhersteller sowie Produzenten und Betreiber von Ladeinfrastruktur sind daher gefordert, sich gemeinsam mit Energieversorgern und Abrechnungsdienstleistern dieser Herausforderung zu stellen.

Über den Autor: Christoph Erni ist Gründer und CEO der Juice Technology AG, der Schweizer Herstellerin von Ladestationen und -lösungen, die er 2014 mangels Verfügbarkeit sinnvoller Ladelösungen kurzum selbst gründete. Das Unternehmen sicherte sich mit der mobilen 22-kW-Ladestation Juice Booster 1 bereits im ersten Geschäftsjahr die Poleposition in diesem Segment und hält diese seither.

(ID:47950902)