Datensicherheit

BKA: Bordcomputer von Autos sind Einfallstore für Hacker

Berlin/München.  Bordcomputer können eine Gefahr sein – wenn Hacker sie missbrauchen. Möglich wären Terroranschläge. Aber auch die Polizei will Zugriff.

Assistenzsysteme wie hier BMW Connected werden immer üblicher. Die Bordcomputer sind inzwischen enorm hochgezüchtet.

Assistenzsysteme wie hier BMW Connected werden immer üblicher. Die Bordcomputer sind inzwischen enorm hochgezüchtet.

Foto: BMW Group

Automobile sind leicht zu hacken. Ein Einfallstor liegt ganz nahe am Fahrersitz. Es ist der Stecker zur „On Bord Diagnose“ (OBD), den viele Autobesitzer von der Wartung kennen. Maik Böres bückt sich und findet die OBD-Schnittstelle mit geübtem Griff im 7er BMW ganz unten, links vom Bremspedal.

Auf die Büchse steckt er ein Modul, den Dongle. Nun ist er mit dem Wagen vernetzt und kann viele Daten auf seinem Handy oder Tablet auslesen.

Ein Hacker könnte laut Bundeskriminalamt (BKA) viel mehr, über eine solche Verbindung den Motor ausschalten, beschleunigen, die Bremsen auslösen. In einem vertraulichen BKA-Bericht heißt es, dass die Durchführbarkeit solcher Attacken „bei unterschiedlichen Modellen verschiedener Hersteller bereits jetzt regelmäßig in Tests bewiesen wird“.

Warnung vor Hackern: Bald Anschläge mit manipulierten Autos?

Der frühere Mossad-Chef Juval Diskin warnt seit Jahren vor Anschlägen mit gehackten Autos. Der „Bild“ sagte er einmal, die Frage sei nur noch, wann es passieren werde. „Jeder sollte sich fragen, wann es passiert – nicht ob es passiert.“

Auf Risiken hinzuweisen, ist Anti-Werbung. Dass Autoleute wie Böres, Leiter „Future Mobility“ bei BMW, mit ihnen offensiver denn je umgehen, hat einen Grund. Die Hersteller befürchten, dass die EU-Kommission dabei ist, die Fahrzeuge nicht sicherer, sondern verwundbarer zu machen: Sie will, dass interessierte Firmen direkt Zugang zu den Daten im Auto erhalten – zur Förderung neuer Businessmodelle.

Die Sicherheit kommt zu kurz. Ein EU-Report von Mai 2017 zielt nach der Analyse des BKA „ausschließlich auf die Gewährleistung eines freien und fairen Wettbewerbs ab“.

Die Fahrzeuge sind faktisch rollende Smartphones

Bei BMW haben sich 220 Firmen registrieren lassen und ihr Interesse an den Daten angemeldet. In Frage kommen Lieferanten, Versicherer und insbesondere die Internetwirtschaft. Die wenigsten haben einen Businessplan, sie stecken vorsorglich ihre Claims ab.

Daten gelten als die Goldadern im Internetzeitalter. Wer die Gewohnheiten und Bedürfnisse der Fahrer kennt, kann ihnen passgenau Angebote machen, zum Beispiel Versicherungstarife nach Fahrstil. Wenn selbstfahrende Autos einmal selbstverständlich geworden sind, ist allein schon die Unterhaltung des (gelangweilten?) Fahrers ein Geschäftsmodell.

Seit Jahren wird um den Zugriff auf die Daten gerungen. Es gibt viele Vorschläge. In die engere Auswahl kommen zwei Szenarien. Entweder die Hersteller installieren in ihren Wagen Schnittstellen, über die Dritte die Daten aus dem Auto abrufen – oder sie stellen sie auf einem neutralen Server zur Verfügung.

Wer darf wie auf die wertvollen Bewegungsdaten zugreifen

Für den Datenschutzbeauftragten des Bundes ist entscheidend, dass die Daten nicht ohne Einwilligung der Betroffenen die Fahrzeuge verlassen; eine Plattform „keine Zugriffe auf sicherheitskritische Fahrfunktionen ermöglicht“ und die Kommunikation „gegen Hackerangriffe geschützt“ ist, sagte ein Behördensprecher unserer Redaktion.

In der EU formieren sich Parlament und Kommission neu. Es ist offen, welche Empfehlung aus Brüssel kommen wird. Die Autohersteller wollen unbedingt verhindern, dass Dritte direkt Zugriff auf die Fahrzeuge erhalten. Denn: Wenn was passiere, „stehen wir beim Kunden gerade“.

Die Umleitung über einen neutralen Server sei am sichersten. Der Verband der Automobilindustrie (VDA) mahnt, „das Auto ist kein Smartphone“. Es benötige „höhere Standards in Bezug auf Sicherheit und Datenschutz“.

Aber würden die Hersteller die Daten fair und diskriminierungsfrei bereitstellen? Oder würden sie vorab rausfiltern, was andere nicht erfahren sollen? Seit der Dieselaffäre sind solche Fragen nicht ehrenrührig. Wer einmal betrügt…

Berater von BMW ist ehemaliger Geheimdienstchef

Dabei haben die Hersteller relevante Einwände. Auch die internationale Polizeibehörde Interpol hält das VDA-Modell der Daten auf einem fremden Server für die „sicherste Option“, wie die Behörde dem Ex-BND-Präsidenten Gerhard Schindler bescheinigte. Schindler ist heute Berater und Lobbyist von BMW. Wer zur Datensicherheit in den Autos recherchiert, stößt auf den Namen des früheren Geheimdienstchefs.

Beim BKA weckte er Begehrlichkeiten, die Schindler kaum einkalkuliert hatte. „Mit dem Vorhaben der EU-Kommission, den Zugriff auf die fahrzeugeigenen Daten gesetzlich zu regeln und möglicherweise auch über einen direkten Zugang freizugeben, ließen sich viele aktuell bestehende Problemfelder der Polizei auflösen“, glauben sie in Wiesbaden. Die Polizei hat ihre eigene Agenda.

Sie strebt selbst den direkten Zugang zu den Fahrzeugen an – um sie leichter bis bisher zu orten und auszuspähen. Ein 37-seitiger vertraulicher BKA-Bericht für die letzte Frühjahrskonferenz der Innenminister mit dem Titel „Zugriff Dritter auf im Fahrzeug generierte Daten“ beschreibt detailliert die „Bedürfnisse“ der Polizei.

Bei BMW haben sie die potenziellen Angreifer auf einer Grafik dargestellt. Man findet darauf Hacker, Saboteure, Diebe, aber auch – irritierend – „Spionage“ und „Regierungsbehörde“.

Apollo-Mission mit weniger Rechenaufwand als modernes Auto

Angefangen hat die Verletzlichkeit mit dem OBD-Stecker, der seit mehr als 30 Jahren in Autos installiert wird und zunächst nur für Reparatur und Wartung relevant war. Anfangs konnte man Emissionswerte, später auch Fehlercodes auslesen. Mit der Zeit liefen allerdings zwei Entwicklungen zusammen: Autos wurden zu rollenden Computern. BMW verbaut in seiner 8er Reihe 155 Steuergeräte, von der jedes ein Unmenge an Daten produziert.

Wenn Böres die Rechnerkapazitäten der Apollo-Mission mit der moderner Wagen vergleicht, dann „war es leichter zum Mond zu fahren als heute ein Auto zu steuern“. Zur Digitalisierung kam die Vernetzung hinzu: Über einen Dongle kann man dank Internet und Mobilfunk über eine SIM-Karte von überall auf die Daten zugreifen.

Moderne Autos registrieren mit einer Vielzahl von Sensoren Außen- und Innentemperatur, Regen, Glätte, Fahrverhalten, Tankfüllung, Ölstand, Reifendruck, Status der Türen und Lampen, Airbags, Scheibenwischer, Kilometerstand, Standorte, Routen, Stopps, Verbrauchs- und Emissionsdaten, Straßenzustand, Sprachkommandos, Musikauswahl, und, und, und.

Die Daten gehören zwar dem jeweiligen Autobesitzer, der auch gefragt wird, in den seltensten Fällen aber die Tragweite einer Einverständnis-Erklärung überblicken kann. Der Gesetzgeber hat es versäumt, zu regeln, welche Informationen dem Fahrer, welche dem Hersteller und welche der Allgemeinheit zustehen, etwas zur Verkehrssicherheit – und welche besonders schutzbedürftig sind.

Das Auto als Waffe – das ist ein reales Bedrohungsszenario

Die Dongles wurden kleiner und erschwinglicher. BMW-Mann Böres besitzt eine Sammlung davon, die billigsten für ein paar Euro. „Viele Dongles haben nicht mal einen PIN-Schutz“, sagt er. „Die OBDII-Schnittstelle ist aktuell eines der Einfallstore für Hacking-Angriffe“, bestätigt das BKA. Wenn die OBD-Schnittstelle das Tor zum Auto ist, dann ist der Dongle der Schlüssel.

Seit 2018 müssen neue Fahrzeugmodelle in der EU mit dem Notrufsystem eCall ausgestattet sein – das auch mal Leben retten kann. Wie funktioniert es? Per SIM-Karte. Autos sind also doch Smartphones auf Rädern. Außerdem koppelt sich jeder Hersteller mit seinen Fahrzeugen zusammen. Auch Bluetooth und das Autoradio sind potenzielle Angriffswege wie eigentlich jede Direktverbindung.

„White Hat Hacker“ wissen das. Es sind Experten, die Schwachstellen suchen – und melden. Ein BMW wurde schon mal gehackt, ebenso eine „Corvette“, 2015 musste „Jeep“ 1,5 Millionen Fahrzeuge vom Typ „Cherokee“ zurückrufen.

Böres beschäftigt ein Team von Experten, die im Darknet und in Hackerkreisen unterwegs sind, um von neuen Schwachstellen oder Angriffstools zu erfahren und die Autos zu schützen. Das FBI gab im März 2016 eine Warnung heraus, im September desselben Jahres alarmierte die US-Autoindustrie das Repräsentantenhaus. „Die Bedrohung ist real“, stellt Interpol fest. Nur in Brüssel wird das Problem unterbelichtet.

Polizei ist auf die Hersteller angewiesen

Ein Licht ging den deutschen Sicherheitsbehörden auf. Nachdem Interpol sich gegen einen direkten Zugang zum Auto ausgesprochen hatte, wird laut BKA „unter Berücksichtigung der Bedarfe der Polizei eine neue Bewertung für erforderlich erachtet“. Die Polizei argumentiert in eigener Sache. Will sie ein Auto per GPS verfolgen oder abhören, braucht sie nicht nur eine richterliche Entscheidung, sondern auch die passenden Daten vom Hersteller.

Wenn sie für eine verdeckte Maßnahme im Auto abhören will, muss sie ihn um die Schlüsselcodes der Alarmanlage bitten. Anders als ein Einbrecher darf der Ermittler nichts beschädigen. Der Verdächtige soll ahnungslos bleiben. Der Polizei ist es ein Ärgernis, auf die Hersteller angewiesen zu sein.

Die Technik erschwert den Ermittlern, spurenlos zu arbeiten

Schon 2017 beklagten die Innenminister, „dass die fortschreitende Entwicklung im Bereich der Fahrzeug- und Schlosstechnik die verfügbaren technischen Möglichkeiten zur verdeckten Überwindung dieses Systeme einschränkt“. Der Grund sind zum Beispiel Remote-Apps: Wenn eine Tür aufgeht, bekommt der Autobesitzer wie bei Daimler eine Push-Nachricht („Mercedes Me“).

BMW bietet einen Zugriff auf Kameras (ConnectedDrive) und damit 360 Grad-Aufnahmen vom Auto. Für die Ermittler steigt das Risiko, auf frischer Tat erwischt zu werden. Wie einfach wäre es, direkt auf die Autodaten zugreifen zu können, die Insassen über die vorhandenen Kameras und Mikrofone auszuspähen, das Handy abzuhören, das Telefonbuch auszulesen?

So steckt die Polizei in einem Dilemma: Die sicherste Variante ist auch für sie hinderlich. Der direkte Zugriff würde ihr das Leben erleichtern, indes auch Hackern. Die Anschläge in Nizza, Berlin, London, Stockholm und Barcelona zeigten, dass Fahrzeuge als Waffe eingesetzt werden; umso leichter, wenn ein Terrorist nicht mal am Steuer sitzen muss.

Dass Hacker eine absolut reale Bedrohung sind, merkten mehrere Dax-Konzerne, die vor wenigen Wochen angegriffen wurden. Die UN geht auch davon aus, dass Nordkorea Hacker einsetzt – und somit Milliarden erbeutet. Der Hersteller Apple zahlt inzwischen Millionen an Menschen, die Sicherheitslücken in der Software auftun.

Zu den Kommentaren