Datenschutz- und Sicherheitsbedenken beim Connected Car Cybersicherheitsrisiken in vernetzten Fahrzeugen

Anbieter zum Thema

TREND MICRO Deutschland GmbH

sysob IT-Distribution GmbH & Co. KG

Fsas Technologies GmbH

FTAPI Software GmbH

Heutige Automobile erzeugen und übertragen enorme Datenmengen. Die Analyse und Nutzung dieser Fahrzeugdaten generiert viele neue Geschäftsmöglichkeiten, schafft jedoch auch eine Reihe neuer Herausforderungen– wie etwa Cybersicherheitsrisiken vernetzter Fahrzeuge. Die Automobilindustrie muss dies zur Kenntnis nehmen und sich mit den versteckten Datenschutz- und Sicherheitsrisiken auseinandersetzen.

Das heutige Ökosystem der Automobildaten ist ein Netzwerk miteinander verbundener Datenquellen, das vernetzte Fahrzeuge, Erstausrüster (OEMs) und deren Zulieferer sowie Datenbroker und Verbraucher umfasst. Die Datenerfassung ist ein entscheidender Bestandteil dieses Ökosystems und erfolgt über mehrere Methoden. Die primäre Erfassung erfolgt über die Telematik-Steuereinheit (TCU), die über Mobilfunknetze mit der Cloud-Infrastruktur von OEMs und anderen vertrauenswürdigen Parteien wie Tier-1- und Tier-2-Zulieferern kommuniziert. Zudem können Daten auch über mobile Anwendungen gesammelt werden, die mit dem Auto verbunden sind.

Diese Daten sind sehr wertvoll, da sie detaillierte Informationen wie Fahrzeugleistung, Fahrerverhalten und Nutzungsmuster enthalten. Sie helfen OEMs und Tier-1- und Tier-2-Zulieferern, ihre Produkte/Funktionen zu verbessern, neue Angebote zu konzipieren und das Fahrerlebnis durch Anwendungen wie vorausschauende Wartung, Routenoptimierung und personalisierte Empfehlungen zu verbessern.

Die neuen Möglichkeiten der Cyberkriminalität

Wenn die Menge und der Wert der Daten steigen, werden leider mit Sicherheit immer ausgefeiltere Formen der Cyberkriminalität folgen. Der Markt für Cyberkriminelle bezüglich Daten über vernetzte Autos steckt heute noch in den Kinderschuhen. Die Beobachtung des cyberkriminellen Untergrunds im Internet zeigt, dass sich die aktuellen Bedrohungen vor allem um "Car Modding" drehen, bei dem Enthusiasten Fahrzeugfunktionen hacken und Daten wie den Kilometerstand manipulieren. Aber es ist leicht, sich andere, weitaus komplexere und schädlichere Wege vorzustellen, wie Fahrzeugdaten in naher Zukunft missbraucht werden könnten:

• Fahrzeugverfolgung: Zielfahrzeuge können via Echtzeit-Standortdaten verfolgt werden. Mit dem Zugriff auf den Echtzeit-Standort eines Fahrzeugs und seine regulären Routen könnten Kriminelle beispielsweise ein Fahrzeug in ein "Trojanisches Pferd" verwandeln, indem sie Schmuggelware im/unter dem Fahrzeug verstauen. Die Echtzeit-Fahrzeugverfolgung könnte auch die Überwachung von VIPs und ihren Vermögenswerten vorantreiben.

• Datenmanipulation: Die Erstellung gefälschter Sicherheitswarnungen oder die Änderung von Leistungsdaten kann zu falschen Diagnosen oder potenziell gefährlichen Fahreinstellungen führen.

• Ransoming von Daten: Fahrzeugdaten, die in der Cloud von OEMs, Zulieferern und Datenbrokern gespeichert sind, könnten gesperrt oder verschlüsselt werden, was Kriminelle in die Lage versetzt, Lösegeld für deren Wiederherstellung zu verlangen.

• Social Engineering: Gestohlene Daten können für gezielte Social-Engineering-Angriffe genutzt werden, bei denen Einzelpersonen manipuliert werden, um etwa vertrauliche Informationen preiszugeben.

• Unterbrechung der Infrastruktur: Krankenwagen, Nutzfahrzeuge und andere Fahrzeuge der kritischen Infrastruktur könnten Ziel von Cyberangriffen sein, um wichtige Dienstleistungen zu unterbrechen.

• Spionage: Automobildaten könnten analysiert werden, um Einblicke in die Abläufe, Strategien und Wettbewerbsvorteile eines Unternehmens zu erhalten, was Industrie- oder Wirtschaftsspionage fördert.

• Versicherungsbetrug: Daten über Beschleunigung, Bremsen, Geschwindigkeit und andere Gewohnheiten könnten manipuliert werden, um Fahrer für günstigere Versicherungstarife zu qualifizieren.

Möglichkeiten für den Zugriff auf Fahrzeugdaten

Sobald den Cyberkriminellen klar wird, wieviel Geld sich mit solchen Cyberangriffen verdienen lässt, werden sie erfreut feststellen, dass es bereits mehrere technische Möglichkeiten gibt, auf die Daten zuzugreifen, die sie für ihre Attacken benötigen.

Die Programmierschnittstellen (APIs), die geschaffen wurden, um mittels digitaler Cockpits reichhaltige Komfortfunktionen zu bieten, könnten auch für kriminelle Zwecke missbraucht werden, da sie einen einfachen Zugang zur elektrischen/elektronischen Architektur (E/E) von Fahrzeugen und zu elektronischen Steuergeräten (ECUs) bieten. Architekturunabhängige Malware könnte entwickelt werden, um Phishing-Angriffe auf Autos zu ermöglichen, indem Remote-Access-Trojaner (RATs), Ransomware, Botnets usw. installiert werden. Telefone mit Jailbreak, die mit dem Auto verbunden sind, bieten einen weiteren möglichen Angriffsvektor, um die Installation von Malware zu ermöglichen.

Angriffe auf die Clouds von OEMs könnten zudem dazu führen, dass Funktionen in Fahrzeugen deaktiviert werden und/oder personenbezogene Daten, Einnahmen usw. verloren gehen. Cloudbasierte APIs könnten ausgenutzt werden, um Autos zu lokalisieren, zu entriegeln, zu starten und zu stehlen oder den Diebstahl von Eigentum im Innenraum zu ermöglichen.

Die „offene“ Struktur von MQTT-Servern (Message Queuing Telemetry Transport) bietet weitere Möglichkeiten für den Zugriff auf und die Beschädigung von Fahrzeugdaten. MQTT wurde für die Machine-to-Machine-Kommunikation (M2M) entwickelt und ist ein Publish-Subscribe-Messaging-Protokoll, mit dem Geräte problemlos Nachrichten über unzuverlässige Netzwerke mit geringem Bandbreiten- und Strombedarf austauschen können. Oftmals sind offene/unsichere MQTT-Server so konfiguriert, dass sie Schreibanweisungen von jedem Abonnenten akzeptieren – was sie anfällig für Data-Poisoning-Angriffe macht. Zu den gefährdeten Daten gehören Fahrzeug-GPS-Daten, Motorüberwachung, Fahrzeugortungssysteme und On-Board-Diagnosedaten (OBD).

Verbesserung der Cybersicherheit in der Automobilindustrie

Die Automobilindustrie hat in der Vergangenheit der Fahrzeugsicherheit Vorrang vor der Datensicherheit eingeräumt, wobei Sicherheitsmaßnahmen oft nur dann implementiert wurden, wenn dies durch gesetzliche Anforderungen vorgeschrieben wurde. Das Fehlen umfassender Datensicherheitsmaßnahmen könnte jedoch dazu führen, dass die Beteiligten im wachsenden Datenökosystem der Automobilindustrie sehr anfällig für Cyberbedrohungen sind.

Es ist dringend erforderlich, dass die Stakeholder über die Einhaltung gesetzlicher Vorschriften hinausgehen, die Wichtigkeit der versteckten Cybersicherheitsrisiken vernetzter Fahrzeuge erkennen, umsichtig handeln und Vorkehrungen treffen:

• Robuste Maßnahmen für den Datenschutz – z.B. Verschlüsselung von Daten im Ruhezustand und bei der Übertragung, sichere Cloud-Speicher, regelmäßige Sicherheitsaudits, Penetrationstests, usw.– müssen umgesetzt werden.

• Anwender müssen von OEMs, Tier-1- und Tier-2-Zulieferern, usw. besser darüber informiert werden, wie sie ihre Daten erfassen, wo Risiken drohen und wie sie ihre Daten schützen können. Klarere, leichter verständliche Datenschutzrichtlinien und Anweisungen zur Anpassung der Einstellungen für die Datenerfassung sollten eingeführt werden.

• Fahrzeug-APIs sind ein häufiger Zugangspunkt für Cyberkriminelle, und daher sollte ihre Sicherung ein Schwerpunkt sein. Zu den Maßnahmen, die ergriffen werden könnten, gehören eine starke Authentifizierung, Ratenbegrenzung, Verschlüsselung, regelmäßige Überwachung und Protokollierung der API-Aktivitäten, um verdächtige Aktivitäten zu erkennen und darauf zu reagieren.

• Es müssen klare Regelungen für die Erhebung, Speicherung und Nutzung von Fahrzeugdaten verfasst und verabschiedet werden. Gesetzeslücken müssen geschlossen werden, um Klarheit und Stabilität zu schaffen. Datenschutzgesetze zum Schutz der Fahrer müssen bei Bedarf entwickelt und durchgesetzt sowie Hardware auch unter dem Cybersicherheitsaspekt entworfen werden.

Fazit

Die vielfältigen Möglichkeiten zur Erstellung von Profilen einzelner Fahrer und ihrer Passagiere werfen ernsthafte Sicherheitsbedenken darüber auf, wie der Missbrauch dieser Daten die Sicherheit und Privatsphäre von Personen auf der ganzen Welt gefährden könnte. Die globale Automobilindustrie muss die erheblichen Sicherheitslücken, die sich in ihrem sich schnell entwickelnden und wachsenden Datenökosystem offenbaren, proaktiv angehen. Lösungsmöglichkeiten sind vorhanden.

Über den Autor: Rainer Vosseler ist Manager, Threat Research bei VicOne.

(ID:49955504)