Cybersecurity für vernetzte Fahrzeuge Haben Hacker Zugriff auf mein Auto?

Immer wieder erregen Nachrichten über Autos, die von Cyberkriminellen aus der Ferne geknackt und manipuliert wurden, Aufsehen. Eine aktuelle Studie zeigt die erheblichen Bedenken der Fahrer. Doch wie groß ist die Gefahr wirklich?

„Hacker konnten Autos per App orten, starten, hupen lassen“, titelte vor kurzem der Spiegel. Einer Gruppe von Sicherheitsforschern war es gelungen, eine Schwachstelle im Webportal eines Autoherstellers auszunutzen. Mithilfe einer speziellen App konnten sie die Smartphone-Anwendung verwenden, mit der Fahrzeugbesitzer auf verschiedene Funktionen ihres Wagens zugreifen. Durch das Scannen von Kfz-Kennzeichen mit einer eigens entwickelten App waren sie in der Lage, die Fahrzeuge ferngesteuert zu starten, Türen zu öffnen und die Hupe zu betätigen.

Sind deutsche Autos von Hackern einfacher angreifbar?

Deutsche Automobilhersteller hinken bei der Cybersicherheit hinterher

Solche und weitere Berichte verunsichern viele Autofahrer in Deutschland. Über drei Viertel (77 Prozent) halten Cybersicherheit für ein wichtiges Thema, um das sich die Fahrzeughersteller kümmern sollten. Fast die Hälfte (42 Prozent) äußert Bedenken hinsichtlich eines möglichen Cyberangriffs auf ihr Auto, während 40 Prozent Software-Updates als potenzielle Gefahr ansehen. Das sind Erkenntnisse aus einer neuen Studie „Automotive Cyber Security – Consumer Attitudes“, erstellt vom Center of Automotive Management (CAM) in Kooperation mit Cisco.

Besonders kritisch sind die deutschen Autofahrer hinsichtlich der Manipulation von digitalen Schlüsselsystemen. 46 Prozent bewerten das Risiko hier als hoch oder sehr hoch. An zweiter Stelle liegen der Diebstahl persönlicher Daten (41 Prozent) und an dritter Stelle die Manipulation von Fahrzeugfunktionen und Sicherheitssystemen (35 Prozent). Bemerkenswert ist, dass bei jüngeren Fahrern die Risikoeinschätzungen im Vergleich höher, bei Besitzern von Elektroautos dagegen deutlich niedriger sind.

Gefahr durchaus realistisch

Die Vorsicht ist nicht unberechtigt, denn Cyberkriminelle gehen heute sehr professionell vor. Es gibt inzwischen eine eigene Hacker-Industrie, die hochgradig arbeitsteilig und rücksichtslos agiert. So werden inzwischen bereits gezielt Krankenhäuser angegriffen und dabei das Leben von Menschen riskiert, um Lösegeld zu erpressen. Kriminelle sind heute systematisch auf der Suche nach Schwachstellen.

Die größte Gefahr besteht nach wie vor im Diebstahl von Fahrzeugen oder im Hacken von Komponenten wie GPS-Sensoren und Kameras. Bei vernetzten Fahrzeugen kommt die Möglichkeit hinzu, gesperrte Funktionen freizuschalten. Da für die meisten Software-Features jedoch eine entsprechende Hardware vorhanden sein muss, bleibt das Risiko in diesen Fällen meist gering. Kritischer wird es bei ausgeschalteten oder manipulierten Funktionen, wie beispielsweise bei deaktivierten Geschwindigkeits- und Abstandswarnern. Auch die Gesichtserkennung zum Entsperren des Fahrzeugs kann durch gezielte Manipulation überlistet werden.

In den komplexen und in der Praxis noch wenig bewährten IT-Systemen der Fahrzeuge könnten Angreifer durchaus Sicherheitslücken finden. Das sehen auch die Fahrer so. Nur 22 Prozent beurteilen die Qualität der Cybersicherheit von vernetzten Autos als „gut“ oder „sehr gut“. Jedem dritten Deutschen ist ein IT-sicheres Fahrzeug bereits so wichtig, dass dieses Thema sogar die Kaufentscheidung beeinflusst (34 Prozent). Noch etwas mehr gilt dies für Elektroautos. 37 Prozent der Befragten sagen, dass sie sich gegen den Kauf entscheiden würden, da sie Risiken beim Laden an öffentlichen Ladestationen befürchten. Tatsächlich weist die E-Auto-Ladeinfrastruktur Sicherheitslücken auf und Hacker-Angriffe darauf nehmen zu, wie die Studie „Automotive Cyber Security“ von CAM und Cisco aus diesem Frühjahr beweist.

Risiko für Unternehmen mit E-Autos im Fuhrpark

Der Hacker und die Ladesäule

Die gute Nachricht lautet, bislang sind keine Angriffe öffentlich bekannt geworden in denen Menschen körperlich zu Schaden kamen. Erfolgreiche Angriffe erfordern viel Spezialwissen und funktionieren meistens nur bei bestimmten Autoherstellern. Bis dato beschränken sich die Angriffe hauptsächlich auf Proof of Concepts (POC) von Sicherheitsforschern. In der realen Welt, zielen die Angriffe zumeist darauf das Auto zu stehlen oder Leistungsmerkmale unlizenziert frei zu schalten. In vielen Fällen ist auch nicht das Auto das primäre Angriffsziel, sondern die Datenbanken bzw. Webportale der Hersteller.

Angriffsoberfläche vergrößert sich

Aber keine Frage: Mit der zunehmenden Vernetzung und Digitalisierung von Fahrzeugen durch 5G oder WiFi vergrößert sich auch das Risiko von Hacker-Angriffen. Denn die Nutzung von Online-Diensten, Streaming-Apps, Videokonferenzen und Bezahlsystemen im Fahrzeug oder das Laden von Elektroautos erzeugen immer neue potenzielle Angriffsflächen.

Zu den am meisten genutzten Online-Diensten zählen derzeit die Smartphone-Kopplung (46 Prozent) und Verkehrsdaten für Navigationsdienste (39 Prozent). 20 Prozent der Autofahrer verwenden regelmäßig Smartphone-Apps des Fahrzeugherstellers. Allerdings setzen viele bisher nur einen kleinen Teil der verfügbaren Vernetzungsfunktionen ein. Video-Streaming, Bezahlsysteme oder Online-Spiele im Multimedia-System nutzen die meisten Fahrer oder Mitfahrer nicht.

Die Jüngeren (18 bis 34 Jahre) bilden jedoch eine Ausnahme: Hier gehört bereits ein Drittel zu den Intensivnutzern. Audio-Streaming, Videokonferenzen und Online-Spiele verwenden sie etwa doppelt so häufig wie der Durchschnitt. Zudem greifen jüngere Fahrer wesentlich häufiger auf Bezahlsysteme im Fahrzeug zurück.

Datenschutz- und Sicherheitsbedenken beim Connected Car

Cybersicherheitsrisiken in vernetzten Fahrzeugen

Autofahrer fordern klare Kommunikation

Die Autofahrer haben dabei klare Vorstellungen, wie Hersteller das Vertrauen in die Sicherheit ihrer vernetzten Fahrzeuge erhöhen können. Sie erwarten insbesondere eine stärkere Verschlüsselung der Daten (56 Prozent) und regelmäßige Software-Updates (52 Prozent). Ebenfalls wichtig sind transparente Informationen über Sicherheitsmaßnahmen (48 Prozent).

Gerade daran hapert es häufig. Denn zumindest die Premium-Hersteller setzen schon fast durchgehend eine starke Datenverschlüsselung ein – nur kommunizieren sie das kaum. Auch Software-Updates werden meist schon regelmäßig durchgeführt, um das Auto gegen neue Verwundbarkeiten abzusichern. Allerdings geschieht das häufig im Hintergrund und bleibt so von den Fahrern oft unbemerkt.

Neue Bedrohungen durch Cyberkriminelle

Die eigentlichen Gefahren gehen aber von anderen Seiten aus. Kriminelle haben es meist auf den Diebstahl von Autos oder das Hacken von Komponenten wie GPS-Sensoren und Kameras abgesehen, wofür es schon viele bewährte Methoden gibt. Durch die Digitalisierung hinzugekommen ist die Freischaltung gesperrter Funktionen. Allerdings ist hier das Risiko relativ gering, da die meisten Software-Features eine entsprechende Hardware benötigen, die je nach Konfiguration fehlt. Kritischer sind Funktionen, die ausgeschaltet oder manipuliert werden. Dazu gehören die Deaktivierung von Geschwindigkeitswarnern oder eine manipulierte Bilderkennung von Temposchildern. Auch die Gesichtserkennung zum Entsperren des Fahrzeugs lässt sich damit überlisten. Künstliche Intelligenz spielt hier noch keine Rolle.

Die größte Gefahr ist nach wie vor der Diebstahl von Autos. Hierbei werden Diebstahlsicherungen umgangen wie z.B. das deaktivieren der GPS Ortung oder das Aufzeichnen von Kamerabildern bzw. anderen Telemetriedaten. Komfortfeatures wie z.B. KeyLessGo sind hier auch immer wieder beliebte Angriffsziele. Ärgerlich für die Hersteller aber von überschaubarem Schaden, dürfte das unlizensierte freischalten von Features z.B. Premium Navigationsfunktionen sein.

Die Lieferkette stellt ebenfalls eine potenzielle Gefahr dar, da Supply Chain Attacks in vielen Branchen zunehmend in den Fokus rücken. Statt die gut gesicherten Systeme eines Herstellers anzugreifen, nehmen Cyberkriminelle die Lieferanten ins Visier. Das hat gleich zwei Vorteile: Erstens sind die kleinen bis mittelständischen Unternehmen oft weniger gut abgesichert und einfacher anzugreifen. Zweitens lassen sich über einen erfolgreichen Hack gleich viele Kundensysteme beeinträchtigen oder sogar lahmlegen. Entsprechend fordern Regelungen wie das Lieferkettengesetz oder NIS-2, dass Hersteller auch die Sicherheit der Partnersysteme überprüfen. Gerade für die Automobilindustrie ist dies aufgrund der extensiven Lieferketten eine zentrale Anforderung.

Mehr Transparenz und Sicherheit

Bislang wurde noch kein vernetztes Auto auf der Straße gehackt. Die erfolgreichen Angriffe beschränken sich auf Laborversuche und vom Unternehmen selbst beauftragte White-Hat-Hacker, die oft erheblichen Arbeitsaufwand und viel Spezialwissen erfordern. Dennoch dürfen Hersteller und Lieferanten jetzt nicht nachlässig sein, denn die Angriffsoberfläche vergrößert sich rapide durch zunehmende Vernetzungen und Anwendungen. Daher müssen strenge Sicherheitsmaßnahmen umgesetzt, ständig aktualisiert und den Kunden kommuniziert werden. Nur wenn ausreichendes Vertrauen besteht, sind Endkunden bereit, ein Auto zu kaufen oder Leasing-Dienste in Anspruch zu nehmen.

Über den Autor: Holger Unterbrink ist Technical Leader bei Cisco Talos.

Vehicle Security Operations Center (VSOC)

Cybersicherheit ist in der Automobil­branche nicht mehr optional!

(ID:50259462)