So gehen die Auto-Hacker vor

Die bekannt gewordenen Fälle von gehackten Fahrzeugen werfen Grundsatzfragen auf: Wie leicht ist es wirklich ein Auto zu hacken und wie akut ist die Bedrohungslage für die Allgemeinheit? Als einer der weltweit größten Automobilzulieferer hat sich die Robert Bosch AG gegenüber der DPA zum Thema geäußert. Martin Emele, Leiter Produktsicherheit bei der Bosch-Tochter ETAS GmbH, sieht derzeit keine akute Gefahr für die Allgemeinheit durch Automobil-Hacker: "Da steht ein sehr hoher Aufwand dahinter. Die Angriffe sind auch nicht unbedingt auf andere Fahrzeugmodelle geschweige denn andere Hersteller übertragbar."

Dennoch stellen insbesondere Remote-Hacks nicht nur eine qualitativ ganz neue Art von Fahrzeug-Hack dar, sondern sie schüren auch die Angst vor groß angelegten Hackerangriffen auf Autofahrer. Schließlich kann ein unautorisierter Fernzugriff auf Bremse, Gas oder Lenkung lebensbedrohliche Folgen haben - und zwar sowohl für den Fahrer, als auch seine Umgebung. Doch selbst wenn dieser Fall ausbleibt - in vernetzten Autos werden darüber hinaus auch jede Menge Daten gesammelt und verwertet. Wie gehen die Hacker also vor, welche Schwachstellen nutzen sie und wie sieht die ganze Sache eigentlich im Business-Umfeld aus? Gerade Firmenwagen oder Unternehmensflotten könnten für Cyberkriminelle interessant sein. Wir gehen diesen - und weiteren - Fragen auf den Grund.

Bevor wir jedoch ins Detail gehen, zeigen wir Ihnen zunächst in Kooperation mit LoJack - US-Anbieter von Anti-Diebstahl- und Flottenmanagement-Lösungen - welche Wege Kriminelle mit Technologie-Affinität nutzen, um sich Ihres Fahrzeugs oder auch der dort gespeicherten Daten zu bemächtigen. In vielen Fällen ist dafür kein topmodernes Connected Car mit semiautonomen Fahrfunktionen nötig - jedes halbwegs moderne Fahrzeug hat heutzutage Technologien an Bord, die sich Kriminelle zu Nutze machen.

Knackpunkt CAN-BUS: Das Herz der vernetzten Autos

In vielen früheren und aktuellen Fällen von Auto-Hacks ist ein physischer Zugang zum Fahrzeug zwingend nötig, um Zugriff auf die Systeme zu erlangen. Doch egal ob nun per physischem oder kabellosen Zugang - der Knackpunkt im vernetzten Auto liegt im CAN-BUS-System. Dieses ist das elektronische Herz des Connected Car und zuständig für die Vernetzung aller Steuergeräte im Fahrzeug. Gelingt es Angreifern den CAN-BUS zu kapern, ist der Zugriff auf die Steuergeräte - und damit auch alle Fahrzeugfunktionen - meist nur noch eine Frage der Zeit.

Um zu diesem Punkt zu gelangen, bieten sich Angreifern diverse Ansatzpunkte. Einer liegt beim Connected Car in integrierten Mobilfunksystemen. Vor diesem Hintergrund erscheint die EU-Verordnung, die ab 2018 für alle Neufahrzeuge das SIM-basierte Notrufsystem eCall vorsieht, in ganz neuem Licht. Im Regelfall sind es aber die Infotainment-Systeme moderner, vernetzter Autos, die als Einfallstor für Hacker dienen. Diese Systeme bieten inzwischen immer häufiger zahlreiche kabellose Verbindungs- und Integrationsmöglichkeiten - etwa via Bluetooth oder WLAN. Diese Möglichkeiten zur externen Kommunikation können zu einem ernsthaften Problem werden. Insbesondere wenn die physischen Fahrsysteme architektonisch nicht strikt von den übrigen Systemen getrennt sind.

In diesem Zusammenhang nimmt die "Hack-Arbeit" von Chris Valasek und Charlie Miller an einem Jeep Cherokee eine Sonderstellung ein. Die beiden Security-Spezialisten - die inzwischen vom Fahrdienstleister Uber rekrutiert wurden - haben einen ähnlichen Hack bereits 2013 mit verschiedenen anderen Automodellen demonstriert - damals noch mit physischem Zugang zu den Fahrzeugen. Aus diesem Grund werden die Erkenntnisse von Valasek und Miller von den damals betroffenen Autobauern - unter anderem Toyota und Ford - auch als realitätsfern abgetan, schließlich hätten reale Cyberkriminelle nicht die Möglichkeit das Armaturenbrett zu demontieren, um dann ein Notebook mit dem Auto zu verkabeln. Erst als Valasek und Miller in diesem Jahr den Jeep ohne Kabelbindung erfolgreich fernsteuern können, finden Sie Gehör. Natürlich dürfte letztlich auch die durch die Medienberichte entstandene Öffentlichkeit nicht unwesentlich dazu beigetragen haben.

Hacker & Privat-Autos: Hype oder reale Gefahr?

Die vernetzten Autos von Privatleuten dürften für Cyberkriminelle dennoch weitgehend uninteressant bleiben. Der Grund: Der Aufwand dürfte sich schlicht nicht lohnen. Ein mögliches monetäres Interesse das Angreifer hier verfolgen könnten, wäre der Diebstahl des Wagens. Allerdings gibt es hierzu deutlich effektivere Methoden. Eine Manipulation des Tachos, um durch Verschleierung der Laufleistung den Wiederverkaufswert zu erhöhen, wäre eine weitere denkbare Motivation für Hacker.

Speziell in Deutschland und Europa spielt natürlich das Thema Datensicherheit im Zusammenhang mit vernetzten Autos eine große Rolle. Hierbei geht es einerseits um die persönlichen Daten die im Fahrzeug gespeichert werden, andererseits aber auch um die Daten die das Fahrzeug etwa über seine Sensoren aggregiert. Eine aktuelle Studie des Beratungsunternehmens Arthur D. Little (ADL) die dem "Handelsblatt" vorliegt, will die Bedenken hinsichtlich der Sicherheit privater Daten als Hauptgrund für die Skepsis gegenüber autonomen Fahrzeugen identifiziert haben: 70 Prozent der 6.500 befragten Consumer aus zehn Kernmärkten der Branche äußerten diese Bedenken. Dass massive Cyberangriffe mit millionenfachem Datendiebstahl - wie aktuell etwa im Fall der Fast-Food-Kette Wendy’s - immer mehr in den Fokus der medialen Öffentlichkeit rücken, dürfte die Datenschutz-Ängste der breiten Masse weiter befeuern. Schließlich richten Hackerangriffe wie diese oft weit mehr als nur monetären Schaden an. Doch wie wahrscheinlich ist es, dass Hacker künftig - zum Beispiel über Auto-Botnets - massenhaft Daten von Privatnutzern abgreifen?

Klaus Schmitz, Leiter Automotive Zentraleuropa bei ADL relativiert im Interview mit dem "Handelsblatt": "Die Sicherheitsfrage beim vernetzten und autonomen Fahren wird von den Kunden derzeit noch falsch eingeschätzt. Während die Gefahr des Ausspionierens persönlicher Daten relativ gering ist, unterschätzen sie die IT-technisch wesentlich höhere Komplexität eines autonomen Automobils, das nicht vergleichbar ist mit der eines Smartphones."

Firmenwagen-Hack: Cyberangriff der Zukunft?

Ganz anders könnte die Sache künftig bei Enterprise-Fahrzeugflotten oder Dienstwagen aussehen. Insbesondere letztere dienen im Unternehmenseinsatz in der Regel auch als rollendes Büro. Der Diebstahl von Unternehmensdaten, die Erstellung eines Bewegungsprofils oder die Überwachung von Telefongesprächen im Auto sind ebenso denkbare Szenarien, wie eine neue Art von "Car-Ransomware", die das Auto zum Druckmittel einer Erpressung degradiert.

Tatsächlich gibt es bislang allerdings lediglich einen dokumentierten Fall eines real durchgeführten Car Hacks im Unternehmensumfeld: Im Jahr 2010 sorgt der ehemalige Angestellte eines Autohändlers für Alarm bei der "High Tech Crime Unit" in Austin, Texas. Der damals frisch Entlassene hatte sich Zugang zu einem sogenannten "vehicle-immobilization system" verschafft. Dieses (nicht unumstrittene) System dient einigen Autohändlern in den USA normalerweise dazu, zahlungssäumige Kunden an ihre Pflichten zu erinnern. Zu diesem Zweck kann über ein externes Device zum Beispiel die Zündung lahmgelegt, oder die Hupe ferngesteuert werden. Nach seinem unfreiwilligen Abgang rächt sich besagter Ex-Mitarbeiter, indem er über einhundert Autos in der Datenbank des Händlers sabotiert. Die Wagen lassen sich nicht mehr starten, die Hupe ist nur noch durch das Abklemmen der Batterie zum Schweigen zu bringen. Wie das bei den betroffenen Kunden angekommen ist, kann man sich lebhaft ausmalen. Und auch wenn dieser Fall relativ glimpflich - das heißt ohne Verletzte - verlaufen ist: Er beweist, welche schwerwiegenden Schäden Angreifer mit Auto-Hacks im Unternehmensumfeld anrichten können.

"Neues Einfallstor in Unternehmensnetzwerke"

Wird der Firmenwagen also künftig zum bevorzugten Ziel für Hacker, Geheimdienste und Industriespione? Die COMPUTERWOCHE hat Matt Rahman, Chief Strategy Officer beim IT-Security-Anbieter IOActive, zum Thema befragt.

CW: Die Medienberichterstattung zum Thema Auto-Hacks hat sich in den letzten Wochen und Monaten verdichtet. Aber: Besteht eine echte Gefahr - insbesondere für Unternehmen? Welchen IT-Sicherheits-Problemen sollten sich Unternehmen bewusst sein?

MATT RAHMAN: Es besteht eine echte Gefahr für Unternehmen - speziell für die, deren Mitarbeitern eine Fahrzeugflotte zur Verfügung steht. Einerseits kann für Unternehmen die Sicherheit ihrer Angestellten zum Thema werden: Sollte ein Mitarbeiter aufgrund eines Hackerangriffs während der Fahrt verletzt werden - oder gar Schlimmeres - ist das Unternehmen dafür haftbar. Andererseits haben immer mehr Fahrzeuge Infotainment-Systeme an Bord, die die Koppelung eines Smartphones erlauben. Wenn Mitarbeiter dies in einem Flottenfahrzeug tun und dabei über ihre Smartphones auf das Unternehmensnetzwerk zugreifen können, könnten Hacker ebenfalls einen direkten Zugang erhalten.

CW: Flotten- und/oder Firmenwagen könnten also in Sachen Industriespionage die Hacker-Ziele der Zukunft sein?

RAHMAN: Definitiv. Ein Firmenwagen könnte wie erwähnt über das Mobile Device eines Mitarbeiters der das Auto bewegt, als neues Einfallstor in Unternehmensnetzwerke missbraucht werden. Vernetzte Fahrzeuge stellen für Hacker neue Angriffsvektoren dar, über die sie Angriffe starten können.

CW: Nehmen die Autohersteller die Security-Risiken bei Connected Cars nicht ernst genug?

RAHMAN: Dank der Forschungsarbeit in den letzten drei Jahren beginnen die Hersteller die Gefahren ernster zu nehmen. Natürlich gehört IT-Security nicht zu den nativen Geschäftsfeldern der OEMs, also wenden sie sich zum Beispiel an uns, um diese Probleme in den Griff zu bekommen.

CW: Welche Strategie sollten die Autohersteller verfolgen, um maximale Sicherheit in ihren Fahrzeugen zu gewährleisten?

RAHMAN: Sobald ein Hersteller den Bau eines vernetzten Autos plant, sollte er mit einem auf IT-Security spezialisierten Unternehmen kooperieren. Nur eine möglichst frühe Einbeziehung von Spezialisten gewährleistet, dass die IT-Security bereits in der Planungsphase bedacht und entsprechende Lösungen integriert werden. Das ist auch wesentlich effizienter als der Versuch, nachträglich Schutzmaßnahmen zu implementieren.

Höchste Zeit zum Umdenken in der Autobranche

Das führt zu der Frage, wie die Autoindustrie und seine dominierenden Player künftig mit dem Thema IT-Security in vernetzten Fahrzeugen umgehen werden. Bislang bekleckern sich die OEMs nicht mit Ruhm - im Gegenteil: In den USA versuchen GM und der weltgrößte Hersteller von Landwirtschaftsmaschinen, John Deere, im April 2015 das amerikanische Urheberrechts-Gesetz DMCA (Digital Millenium Copyright-Act) so umzudeuten, dass sich in der Konsequenz auch Wissenschaftler und Security-Forscher mit Arbeiten wie dem "Jeep-Hack" strafbar machen würden.

An einem offenen, konstruktiven Diskurs über die IT-Sicherheit ihrer Fahrzeuge und Systeme scheinen manche Hersteller also wenig bis gar nicht interessiert. Das zeigt nicht nur das Verhalten von General Motors, und John Deere, sondern auch das Vorgehen von VW beim "Wegfahrsperren-Hack". Natürlich ist aus Herstellersicht die Angst vor Reputationsschäden nachvollziehbar, falls schwerwiegende Sicherheitslücken in ihren Fahrzeugen an die Öffentlichkeit gelangen. Dass die "Verteufelung" der (White-Hat)-Hacker-Szene aber nicht zielführend ist, hat man im Laufe der 1990er Jahre bereits in der IT-Branche erkennen müssen. Inzwischen rekrutieren die Tech-Unternehmen Hacker als Security-Spezialisten - nutzen sie also als "Watch Dogs". Es ist derselbe Weg, den nun offensichtlich auch Tesla gehen möchte: Security-Forscher werden mit Bug-Prämien dafür belohnt, dass sie Schwachstellen im System finden und dieses so sicherer machen. Dadurch muss der Eindruck entstehen, dass Tesla offener und ernsthafter mit dem Thema IT-Sicherheit umgeht als seine Konkurrenten. Aber: die Branche bewegt sich: "Over-the-air"-Software-Updates gehören mittlerweile bei einigen Herstellern (zum Beispiel BMW und Ford) zum guten Ton, GMs Luxusmarke Cadillac beschäftigt bereits seit September 2014 einen "Chief Product Cybersecurity Officer" und die deutschen Premium-Autobauer BMW, Audi und Daimler suchen derzeit händeringend nach IT-Spezialisten - nicht nur im Security-Bereich.

Auch Fiat Chrysler hat inzwischen - in Kooperation mit BugCrowd - ein Bug-Prämien-Programm gestartet, das zwischen 150 und 1500 Dollar Belohnung für das Auffinden von Sicherheitslücken vorsieht. Titus Melnyk, Security-Architekt bei FCA, dazu: "Wir wollen unabhängige Sicherheitsforscher dazu ermutigen, sich mit uns in Verbindung zu setzen und ihre Erkenntnisse mit uns zu teilen. Nur so können wir potenzielle Sicherheitslücken schließen, bevor sie für unsere Kunden relevant werden."

Sie wollen mehr Infos zum Thema IT-Security bei Connected Cars? Wir haben die aufsehenerregendsten Auto-Hacks des Jahres 2015 für Sie zusammengefasst. Außerdem zeigen wir Ihnen auch, welche IT-Sicherheitslösungen künftig bei vernetzten Autos zum Einsatz kommen könnten.

Mit Material von IDG News Service.