Seit es mit dem Internet verbundene Fahrzeuge gibt, versuchen Hacker, sich Zugang zu ihnen zu verschaffen. Einigen ist dies gelungen. Und ihre Zahl nimmt zu.
Im Jahr 2010 zeigten Forscher der UC San Diego und der University of Washington, wie Hacker über das OnStar-Sicherheitssystem eines 2009 er Chevy Impala Zugriff auf das Fahrzeug erlangen konnten. Sobald sie sich im Inneren befanden, konnten sie die Bremsen steuern und Gespräche im Fahrzeug belauschen.
Fünf Jahre später übernahmen die Sicherheitsforscher Charlie Miller und Chris Valasek per Fernzugriff die Kontrolle über einen Jeep Cherokee 2014 , während der „“-Reporter Andy Greenberg von „Wired“ am Steuer saß. Indem sie eine Schwachstelle in der Mobilfunkverbindung des Fahrzeugs ausnutzten, gelang es ihnen, den Motor abzuschalten, die Bremsen zu deaktivieren und die Lenkung aus einer Entfernung von 10 Meilen zu übernehmen. (Chrysler veranlasste später einen Rückruf für 1,4 Millionen Fahrzeuge, bei denen dieser Mangel vorlag.)
Und Ende 2021 hackte sich der 19-jährige Forscher David Colombo von seinem Wohnort in München aus in mehr als zwei Dutzend Teslas in 13 Ländern ein. Er war in der Lage, Schlösser, Beleuchtung und Temperatur zu steuern sowie den Standort eines Fahrzeugs und die E-Mail-Adresse des Besitzers in Erfahrung zu bringen.
Der Jeep-Hack war ein ernster Weckruf für Automobilhersteller und Zulieferer, die daraufhin begannen, das Thema Cybersicherheit wesentlich ernster zu nehmen. „Was kritische Systeme im Fahrzeug betrifft, hat sich seit dem Kurs 2015 viel getan“, sagt Jennifer Tisdale, Geschäftsführerin von GRIMM, einem Unternehmen, das Automobilzulieferer dabei unterstützt, Sicherheitslücken zu identifizieren und zu beheben. „Ist es noch ein weiter Weg? „Auf jeden Fall.“
Tisdales zentrale Fragen betreffen die langfristige Sicherheit: Was geschieht, nachdem ein Fahrzeug den Hof verlassen hat und sich jahrelang im freien Verkehr befindet? Werden die Automobilhersteller, sobald Sicherheitslücken festgestellt werden, umgehend Software-Patches unter veröffentlichen? Und werden Privatpersonen und Unternehmen ihre Fahrzeuge besser auf dem neuesten Stand halten als dies bisher bei ihren Computern
oder Mobiltelefonen der Fall war?
„Darauf haben wir noch keine Antwort“, warnt sie.
Die Gefahr von Hackerangriffen auf Fahrzeuge betrifft jeden, insbesondere auch Betreiber von Nutzfahrzeugen, deren Flotten lahmgelegt werden könnten, was ihnen Millionen an Ausfallkosten und Lösegeldzahlungen kosten würde. Oder, schlimmer noch, ein Angreifer könnte ein Firmenfahrzeug in seine Gewalt bringen und es in eine Waffe verwandeln, wodurch der Ruf – und Menschenleben – gefährdet würden.
Hier erfahren Unternehmer, was sie über das wachsende Risiko von Cyberangriffen auf die Automobilbranche wissen müssen.
Black-Hat-Hacker greifen an
In der Vergangenheit wurden die meisten Sicherheitslücken im Bereich der Automobil-Cybersicherheit von Sicherheitsforschern und sogenannten „White-Hat-Hackern“ aufgedeckt, die auf Seiten der Industrie tätig waren. Doch das beginnt sich nun zu ändern.
„Hacker halten Ausschau nach Bereichen, in denen sich Geld verdienen lässt, sei es durch Ransomware-Angriffe auf Fuhrparks oder durch den Diebstahl sensibler Daten.“
Im Jahr 2021 gingen laut dem jährlichen „ Global Automotive Cybersecurity Report“ von Upstream Security fast 57 % der 240 bekannten Angriffe auf die Automobilbranche auf das Konto böswilliger Akteure. Das entspricht einem Anstieg von knapp unter 50 % auf 2020.
Dem Bericht zufolge wiesen die Vorfälle im Jahr 2021 folgende Merkmale auf:
- In 85 % der Fälle ging es um den Fernzugriff auf ein Fahrzeug.
- In 40 % der Fälle handelte es sich um Datenlecks auf Servern, die mit vernetzten Fahrzeugen kommunizieren.
- 24 % übernahmen die Fernsteuerung wichtiger Fahrzeugsysteme, häufig über mobile Apps. (Der Tesla-Hacker Colombo verschaffte sich über „TeslaMate“, eine App eines Drittanbieters, Zugang.)
„Hacker haben es auf Bereiche abgesehen, in denen Geld zu verdienen ist – sei es durch Ransomware-Angriffe , Angriffe auf Fahrzeugflotten oder den Diebstahl sensibler Daten , wie beispielsweise Kundenabrechnungsdaten von gehackten Ladestationen für Elektrofahrzeuge“, sagt Guy Molho, Vizepräsident für Produkte bei Upstream, dessen Sicherheitstechnologie weltweit in mehr als 10 Millionen Fahrzeugen installiert ist. „Die allgemeine Regel ist einfach: Sie werden sich darauf konzentrieren, den höchstmöglichen Verdienst zu erzielen.“
Ransomware-Angriffe auf Fahrzeugflotten sind laut Tisdale das Hauptanliegen der Forscher bei GRIMM. In den vergangenen Jahren gab es bereits mehrere Angriffe auf Speditionsunternehmen, wobei sich fast alle auf Backoffice-Flottenmanagementsysteme konzentrierten. Zwar wurden keine direkten Angriffe auf Fahrzeuge gemeldet, doch stellen diese ein zentrales Problem für die US-amerikanische Lkw-Branche dar, deren Umsatz sich auf fast 800 Milliarden US-Dollar beläuft.
Eine enorme Angriffsfläche für Cyberangriffe
Mit dem Internet verbundene und autonome Fahrzeuge sind aufgrund der enormen Komplexität ihrer Softwaresysteme besonders anfällig für Sicherheitslücken.
Moderne Autos verfügen über 40 bis 150 elektronische Steuergeräte (ECUs) ( ), also Computerchips, die alles steuern – von der Temperatur im Innenraum bis hin zur automatischen Bremsfunktion, wenn der vor Ihnen fahrende Sattelzug plötzlich quietschend zum Stehen kommt. Die auf diesen Steuergeräten ausgeführte Software besteht
aus mehr als 100 Millionen Codezeilen – ein um ein Vielfaches größerer Codeumfang als beispielsweise im F-35 Joint Strike Fighter der US-Luftwaffe.
Auch Fahrzeuge stellen ein datenreiches Ziel dar. Vernetzte und autonome Fahrzeuge erzeugen riesige Datenmengen. (Die Schätzungen reichen von 300 Gigabyte bis 32 Terabyte pro Tag.) Es handelt sich um eine wahre Fundgrube an Informationen über den Aufenthaltsort von Fahrern, deren Fahrgewohnheiten, Abrechnungsdaten und die Fahrzeugleistung – Informationen, die Angreifer nutzen könnten, um Unternehmen und prominente Persönlichkeiten zu erpressen oder in Verlegenheit zu bringen.
[Lesen Sie auch: 5 Schritte zum Schutz der „Kronjuwelen“ Ihres Unternehmens – laut Experten]
„Die Fahrzeuge, die am anfälligsten für Angriffe sind, sind diejenigen, die externe Schnittstellen wie Schlüsselanhänger, Telematik, Unterhaltungssysteme und Apps von Drittanbietern bieten“, erklärt Slava Bronfman, Geschäftsführer und Mitbegründer von Cybellum. Die Plattform ermöglicht es Automobilzulieferern, digitale Zwillinge – virtuelle Simulationen von Fahrzeugen und deren Komponenten – zu erstellen, die vom ersten Entwurf bis zum Ende des Lebenszyklus des Fahrzeugs auf Schwachstellen überprüft werden können.
„Böswillige Akteure versuchen, Fahrzeuge mit den geringsten Schutzmaßnahmen anzugreifen“, fügt Tisdale von GRIMM hinzu. Im Jahr 2015 war dies das Auto bzw. der Lkw selbst. Heute umfasst dies das gesamte Umfeld, in dem die Fahrzeuge betrieben werden – darunter die Server, Satelliten und Mobilfunkmasten, mit denen sie kommunizieren, sowie Infrastruktur wie intelligente Ampeln, in die Fahrbahn integrierte Sensoren und Ladestationen.
Es ist an der Zeit, Maßnahmen zu ergreifen
Die Computerindustrie hat relativ früh erkannt, dass der Austausch von Informationen für die Erkennung und Abwehr von Sicherheitsbedrohungen von entscheidender Bedeutung ist. Aus diesem Grund wurde das U.S. Computer Emergency Readiness Team (US-CERT) ins Leben gerufen, und aus diesem Grund gibt es Datenbanken wie die von Mitre geführte Liste „ “ mit häufig auftretenden Schwachstellen und Sicherheitslücken ( , CVE).
„In diese Technologien wurden Milliarden investiert, und es gibt kein Zurück mehr.“Jennifer Tisdale, Geschäftsführerin von GRIMM
Automobilhersteller und Zulieferer haben sich traditionell dagegen gesträubt, Informationen mit Wettbewerbern auszutauschen. Dies begann sich im Jahr 2015 zu ändern, als die Branche das „Automotive Information Sharing and Analysis Center“ (Auto-ISAC) gründete. Dennoch, so Tisdale, seien Sicherheitslücken für viele in der Branche nach wie vor ein heikles Thema.
Neue Vorschriften der Wirtschaftskommission der Vereinten Nationen für Europa (UNECE) zwingen die Automobilhersteller jedoch dazu, ihre Cybersicherheit zu verbessern. Die Vorschriften legen Anforderungen an Cybersicherheits sleistung und Audits für alle neuen Fahrzeugtypen fest, die im Jahr 2022 verkauft werden, sowie für alle Neuzulassungen ab dem Jahr 2024, wie Niranjan Manohar, Leiter des Beratungsbereichs für vernetzte Fahrzeuge und das Internet der Dinge (IoT) in der Automobilbranche beim Beratungsunternehmen Frost & Sullivan, feststellt. Zwar gehören die USA nicht zu den 54 Mitgliedsländern der UNECE, doch müssen amerikanische Automobilhersteller deren Vorschriften einhalten, wenn sie Fahrzeuge in Ländern verkaufen möchten, die zu diesen gehören.
Die Einführung von Vorschriften sei ein wichtiger Schritt, so Bronfman, doch es gebe noch viel zu tun. „Zwar haben Originalausrüster (OEMs) und Zulieferer bereits damit begonnen, sich mit der Einhaltung der Vorschriften zu befassen, doch wird dies nach wie vor häufig als eine zu erfüllende Anforderung betrachtet und nicht als Mittel, um Fahrzeuge absolut sicher vor Cyberangriffen zu machen“, fügt er hinzu.
„Es wird nicht einfach werden“, warnt Manohar. „Begrenztes technisches Fachwissen und enorme Vorlaufkosten bei der Umsetzung neuer Prozesse werden die interne Implementierung für Erstausrüster zu einer Herausforderung machen“, sagt er. Infolgedessen gehen große Automobilhersteller und Zulieferer Partnerschaften mit Sicherheitsunternehmen wie GRIMM, Upstream und Cybellum sowie weiteren ein.
Dumm sein, um klug zu sein?
Frost & Sullivan prognostiziert, dass 86 % der Fahrzeuge , die im Jahr 2025 vom Band laufen, mit dem Internet verbunden sein werden. Und fast alle in den letzten Jahren verkauften Fahrzeuge verfügen über automatisierte Fahrerassistenzsysteme , die Ziel eines Angriffs werden könnten, wie beispielsweise die adaptive Geschwindigkeitsregelung oder die freihändige Lenkung.
Falls Sie noch kein vernetztes oder teilautonomes Auto oder Lkw nutzen, könnte sich dies bald ändern. Ihre Möglichkeiten, diese zu sichern, sind jedoch sehr begrenzt: Sie können keine eigene Software herunterladen, um Ihr iPhone unterwegs zu schützen, und Sie können sich auch nicht abmelden.
Automobilunternehmen werden auch weiterhin Updates für ihre Sicherheitssoftware und andere interne Software bereitstellen, so Manohar. Doch wie sicher werden diese Updates sein? Werden Unternehmen in der Lage sein, ein vollständiges Firmware-Update für den „ “ per OTA ( ) durchzuführen? Werden Verbraucher oder Mitarbeiter von Unternehmen dazu verleitet, schädliche Updates zu akzeptieren, wie es bei ihren Computern oft der Fall ist? Dies seien Probleme, die Automobilhersteller und Zulieferer noch lösen müssten, sagt er.
Unternehmen, die vernetzte Fahrzeugflotten besitzen oder betreiben, müssen dieselben oder noch strengere Richtlinien zur Cybersicherheit sowie zum Patch-Management anwenden wie bei ihren anderen digitalen Ressourcen – und neue Bedrohungen , sobald diese auftreten, genau im Auge behalten .
Molho von Upstream ist der Ansicht, dass Verbraucher und Unternehmen ihre Kaufentscheidungen für Pkw und Lkw in Zukunft unter anderem auf der Grundlage von Sicherheitsmerkmalen treffen werden, was die Hersteller dazu zwingen wird, darauf zu reagieren. Bronfman empfiehlt der Automobilindustrie die Einführung eines Bewertungssystems für Cybersicherheit, ähnlich den Sicherheitsbewertungen „ “ der National Highway Traffic Safety Administration (NHTSA).
Bis dahin müssen Unternehmen und Verbraucher alles in ihrer Macht Stehende tun, um sich zu schützen.
„In der Hacker-Community gibt es ein Sprichwort: ‚Es ist dumm, klug zu sein‘“, sagt Tisdale. „Heute gibt es intelligente Autos, intelligente Städte und intelligente Verkehrssysteme. In diese Technologien wurden Milliarden investiert, und es gibt kein Zurück mehr. Es stellt sich also die Frage: Wie können wir gemeinsam daran arbeiten, die Sicherheit zu gewährleisten?“
