Kaspersky warnt

Trojanisches Pferd auf dem Beifahrersitz

Datum:09.09.2011
Autor(en):Ronald Wiltscheck

Kaspersky Lab¹ hat eine neue Plattform für die eigenen Security-Produkte² entdeckt: das Auto. Denn der PKW wird mit immer mehr Software bestückt, und diese ist vor Angriffen der bösen Cyberkriminellen nicht sicher.

Autohersteller wie BMW und Zulieferer wie Conti sehen Auto-Infotainment als zukünftigen Schlüssel zum Erlebnis der PKW-Marke. Farbige Displays haben sich in der Mitte des Armaturenbretts festgesetzt und dienen der Ausgabe von Navigationsdaten, dem Sprung ins Internet oder einfach zum Fernsehen³. Die Unterhaltungselektronik im Auto, Offboard-Navigation und Telefonie⁴ sowie der Anschluss an soziale Netzwerke wird mit Oberflächen ähnlich Googles Android gesteuert - etwa wie beim Saab⁵, der aber nicht mehr produziert wird, weil die schwedische GM-Tochter Insolvenz anmelden musste.

Sobald die Verbindung des Autos und seines Infotainment-Centers zum Internet hergestellt ist, liegt die Möglichkeit einer Infektion mit Viren und Trojanern wie bei PCs und Smartphones auf der Hand. Haben wir also bald Trojanische Pferde⁶ als Mitfahrer zu befürchten?

Es ist schlimmer, als der gewöhnliche Autofahrer ahnt. Der Computer im Infotainment-Center ist nämlich keineswegs der erste Rechner im Auto, sondern einer der letzten. Heute hausen in einem Auto 20 bis 80 Steuersysteme⁷, angetrieben von unterschiedlicher Software und verbunden über einen gemeinsamen Datenbus wie dem gebräuchlichen CAN-Bus, dem neuen MOST und FlexRay⁸, Der Grund für die elektronische Aufrüstung liegt im Bestreben der Autoindustrie, ihre Autos sparsamer und sicherer zu machen, manchmal auch narrensicher.

[Hinweis auf Bildergalerie: Die wichtigsten Security-Anbieter in D] ^gal1

Motorsteuerung, ABS, ESP - alles durch Software

Die Steuerung des Motors erfolgt durch eine Motronic, die Verbesserung der Sicherheit durch die Bremshilfe ASB und den Schleuderassistenten ESP. Vom neuerdings verfügbaren Spurassistenten ist es nicht mehr weit bis zur Google-Vision vom Auto ohne Chauffeur⁹ und Entmündigung der Lenker am Steuer. "Diese Apparaturen und Applikationen sind noch Neulinge in der Welt der Automobil-Technologie. Viele Fahrer der alten Schule möchten diese computerartige Hardware vielleicht gar nicht in ihrem Auto haben. Das haben sie jedoch bereits, auch wenn sie es meist gar nicht merken", meint Vicente Diaz, Virenanalyst bei Kaspersky Lab¹⁰. Diaz hat sich in einer aktuellen Analyse¹¹ dediziert mit dem Thema IT-Sicherheit in Autos gewidmet.

Zu den zahlreichen Prozessoren kommt nicht wenig an Software. Im kommenden Opel Ampera, der in Gleiwitz hergestellt wird, sollen es rund zehn Millionen Zeilen Quellcode sein. Das liegt mengenmäßig auf dem Niveau eines Windows NT 4.0 (welcher Mitte der Neunziger Jahre erschien) mit damals rund zwölf Millionen Zeilen Quellcode. Leider dürfte das sicherheitstechnische Niveau dieser Architekturen noch unter dem des guten alten Windows NT liegen.

Das haben Studenten der University of Washington und der University of California San Diego erfolgreich erprobt. Sie haben durch Analyse und Manipulation der Datenpakete (mittels Fuzzing-Techniken) volle Kontrolle über alle möglichen Untersysteme eines Autos erlangt - unter anderem die Bremsen - und Schadcode in die Telematik-Einheit eingebettet. Die rudimentären Netzwerk-Schutzmechanismen haben sie einfach umgangen¹². Doch nicht nur gewitzte Studenten hacken Autos, sondern auch deutsche Opel-Kunden ihren Zafira.

Nach Recherchen der Zeit¹³ knackt ein Code den Bordcomputer, der dann auch aufpreispflichtige Features der Bordelektronik gehorsam anbietet.. Die oben erwähnten Studenten wendeten klassische Techniken von Cyberkriminellen an und versahen eine MP3-Musikdatei mit einem Virus. Oft genug ist es auch der Leichtsinn der Autoelektroniker - so plaudert der neue Nissan Leaf den genauen Aufenthaltsort und die Fahrweise per RSS-Feed aus¹⁴. Es zeigt sich also, dass Autos heute noch anfälliger gegen Angriffe von Cyberkriminellen sind als viele Desktop-Computer. (rw)

Links im Artikel: