Hacker mit an Bord

Eine Vielzahl möglicher Schwachstellen

Die Zeiten, in denen bei Autos ein Satz von Schraubenschlüsseln alles richten konnte, sind vorbei. Stattdessen laufen im Hintergrund der Fahrzeugtechnik unzählige Softwareprozesse, die Lenkung, Bremsen, Motor, Assistenzfunktionen und Infotainment steuern. Alle diese Systeme sind über den sogenannten CAN-Bus (Controller Area Network) miteinander verbunden – einer Technik, die es unterschiedlichen elektronischen Steuergeräten im Fahrzeug ermöglicht, miteinander zu kommunizieren. Für Hacker stellt dieses System eine beliebte Angriffsfläche dar. „Ein Auto von heute hat rund 100 Steuergeräte an Bord und mehr als 100 Millionen Zeilen Softwarecode – das ist mehr, als ein Düsenjet oder eine Raumfähre besitzt“, stellt Thorsten Holz fest, Informatiker und Professor am Helmholtz-Zentrum für Informationssicherheit (CISPA) in Bochum. „Jedes dieser Systeme kann eine Schwachstelle sein.“

Ein typisches Angriffsszenario beginnt recht harmlos und geht zum Beispiel aus von einem manipulierten Musikstück auf einem USB-Stick, einer Schadsoftware, eingeschleust über die Bluetooth-Funkverbindung mit dem Smartphone, oder einer infizierten App im Infotainment-System des Wagens. Schlüssellose Zugangssysteme wie die sogenannte Keyless-Go-Technik lassen sich per Funk attackieren, und auch die in Werkstätten verwendete Diagnoseschnittstelle kann der Startpunkt eines Angriffs sein. Hacker nutzen solche Einfallstore, um Zugriff auf den CAN-Bus als das zentrale Nervensystem des Fahrzeugs zu bekommen – und damit unter anderem auf die Regelung von Bremsen, Lenkung, Motorsteuerung und weiteren sicherheitsrelevanten elektronischen Funktionen.

Ein Jeep wird gekapert

Wie real die Gefahr ist, zeigte ein Fall aus den USA: Dort übernahmen bereits 2015 im Rahmen einer Vorführung zwei IT-Sicherheitsexperten die Kontrolle über einen fahrenden Jeep Cherokee. Sie schalteten per Laptop das Radio ein, manipulierten die Klimaanlage – und legten schließlich den Motor des Wagens lahm. Der Fahrer war machtlos gegen diesen Eingriff aus der Ferne. Der Hersteller des Autos reagierte auf die Demonstration mit einem Software-Update für rund eine Million Fahrzeuge – ganz im Sinn von Charlie Miller, einem der beiden Jeep-Hacker. „Wir wollten zeigen, dass es geht – und damit etwas geschieht“, begründete er die aufsehenerregende Aktion.

Die Bedrohungen für die Cybersicherheit von Fahrzeugen sind vielfältig. Zu den häufigsten Angriffsmethoden gehört das sogenannte Remote-Hacking: Angreifer greifen dabei über das Internet auf Fahrzeugsoftware zu und manipulieren kritische Systeme. Ein weiteres Angriffsszenario ist die Veränderung von Kommunikationsprotokollen. Fahrzeuge kommunizieren über verschiedene Protokolle, etwa über das CAN. Angreifer können diese Protokolle nutzen, um sensible Daten auszulesen oder Fahrzeugsysteme zu stören. Bei Attacken per Phishing und Social Engineering versuchen Angreifer, über eine gefälschte App oder Website Zugang zu Fahrzeugdaten zu erhalten. Der Fahrer wird arglistig getäuscht. Schließlich gehört auch sogenannte Malware zum Instrumentarium von Cyberkriminellen. Ebenso wie etwa ein Laptop lässt sich auch ein Fahrzeug mit einem solchen Schadprogramm infizieren, das dann die Kontrolle über digitale Bordsysteme übernehmen oder persönliche Daten stehlen kann.

Die Angreifer sind häufig Cyberkriminelle, die zum Beispiel auf Raub oder Betrug aus sind, oder politische Hackergruppen, die es auf Sabotage abgesehen haben. Doch auch für Wirtschaftsspionage etwa durch Geheimdienste oder andere Unternehmen lässt sich ein Datenklau via Fahrzeugtelematiksystem nutzen. Daneben gibt es aber auch sogenannte White Hat-Hacks. Dahinter stecken IT-Forscher oder Mitglieder von Computerclubs, die Cyberattacken gezielt zur Aufklärung von Schwachstellen in Autos einsetzen – wie beispielsweise im Fall des 2015 in den USA digital gekaperten Jeeps.

Eine Nebenwirkung der Vernetzung

Der Hauptgrund für die wachsende Gefahr durch Cyberangriffe im Verkehr ist die zunehmende Vernetzung von Autos mit ihrer Umwelt, etwa über Mobilfunk, WLAN, GPS oder digitale Schnittstellen zur Werkstatt. Die von Forschern und Entwicklern an unabhängigen Instituten oder bei etlichen Herstellerunternehmen vorangetriebene Technik des autonomen Fahrens könnte diesen Trend noch verstärken. Denn dabei sind Sensoren, Kameras und Algorithmen im Fahrzeug auf eine permanente Verarbeitung einer Vielzahl von Daten angewiesen. Ohne Schutzmaßnahmen wird daraus ein offenes Scheunentor für Cyberkriminelle.

Hinzu kommt ein Effekt der stark ausgeprägten Arbeitsteilung in der Automobilindustrie: Viele Zulieferer arbeiten an jeweils sehr speziellen Einzelkomponenten, oft weltweit verteilt, die dann zusammengefügt werden. Diese Komplexität der internationalen Zulieferketten macht es schwierig, Sicherheitslücken frühzeitig zu erkennen und zu schließen.

Neue Regeln und technische Schutzschilde

Fakt ist: Die Automobilbranche hat auf die wachsende Bedrohung aus dem Cyberspace reagiert. Seit 2022 gilt die UN-Regelung WP.29, die Fahrzeughersteller dazu verpflichtet, ein Cybersecurity-Management-System (CSMS) einzuführen. Das bedeutet: Sicherheitsaspekte müssen von Anfang an in die Fahrzeugentwicklung integriert sein – im Fachjargon heißt dieses Konzept „Security by Design“. Zudem investieren vor allem Hersteller von Fahrzeugen im Premiumsegment massiv in Techniken zur Cybersicherheit. Denn jedes einzelne Steuergerät und jede Software-Komponente im Wagen kann einem Angreifer als Zugang zum System dienen. Und schließlich gehört zur Ausstattung moderner Fahrzeuge eine Vielzahl von Sensoren, Kameras und Software.

Die Automobilindustrie hat begonnen, sich intensiver mit der Cybersicherheit auseinanderzusetzen. Viele Unternehmen entwickeln neue Sicherheitslösungen und -techniken, um Fahrzeuge zu schützen. Ein Beispiel dafür sind sichere Software-Updates: Automobilhersteller implementieren dazu Systeme, die es ermöglichen, neue oder erweiterte Programmfunktionen regelmäßig und auf eine besonders gut geschützte Weise in das Fahrzeug zu übertragen, um erkannte Sicherheitslücken zu schließen. Eine weitere Möglichkeit, für mehr Sicherheit zu sorgen, sind sogenannte Intrusion Detection Systems (IDS). Diese Systeme überwachen den Datenaustausch im Fahrzeug und können verdächtige Aktivitäten erkennen – und darauf reagieren. Auch eine Verschlüsselung der Daten trägt zum Schutz gegen Angriffe bei. Sie schützt die Kommunikation zwischen Fahrzeugen und externen Systemen und verhindert Datenlecks.

Hinzu kommt, dass weltweit tätige Organisationen wie die ISO (International Organization for Standardization) und die UNECE (United Nations Economic Commission for Europe) an neuen Sicherheitsstandards für die Automobilindustrie arbeiten.

Allerdings gilt: Trotz deutlicher Fortschritte bei der Cybersicherheit gibt es noch viele Herausforderungen. Die große Komplexität moderner Fahrzeuge und die Vielzahl an Softwareanwendungen machen es schwierig, alle potenziellen Schwachstellen zu identifizieren und zu beseitigen. Zudem müssen Hersteller dafür Sorge tragen, dass Sicherheitstechniken nicht die Benutzerfreundlichkeit des Fahrzeugs beeinträchtigen. Ein weiterer kritischer Punkt ist die Zusammenarbeit zwischen Automobilherstellern, Softwareentwicklern und Sicherheitsforschern. Eine offene Kommunikation und der Austausch von Informationen über Bedrohungen durch Cyberkriminelle sind entscheidend, um die Sicherheit der elektronischen Fahrzeugsysteme zu verbessern.

Wohl und Wehe für den Stadtverkehr

Laut einer Studie des Wirtschaftsberatungsunternehmens McKinsey von 2021 werden bis 2030 etwa 75 Prozent aller Fahrzeuge vernetzt sein. Durch diese enge Verflechtung von Autos mit ihrem Umfeld, durch die stetig zunehmende Digitalisierung an Bord und der möglicherweise künftigen Einführung autonom fahrender Wagen wird die Cybersicherheit zum Rückgrat der Mobilität von morgen. Autos werden bald nicht mehr nur mit anderen Fahrzeugen (Car2Car) kommunizieren, sondern etwa auch mit Ampeln, Verkehrsleitsystemen und Parkhäusern (Car2X Communication). Das bietet enorme Chancen, etwa bei der Suche nach einem freien Parkplatz oder um den Verkehr in den Innenstädten flüssiger zu machen, aber auch Risiken. Denn die dadurch weiter anschwellenden Datenströme müssen zuverlässig geschützt werden – sonst könnten Hacker im schlimmsten Fall den Verkehr ganzer Städte lahmlegen.

„Mit jedem zusätzlichen, verbundenen System steigt die potenzielle Angriffsfläche“, warnt Melanie Volkamer, Leiterin der Forschungsgruppe Security, Usability, Society (SECUSO) am Karlsruher Institut für Technologie (KIT). „Ein koordinierter Angriff auf eine Fahrzeugflotte oder ein Verkehrsnetz wäre keine Science-Fiction, sondern ist eine reale Bedrohung“, betont die Karlsruher Wissenschaftlerin. „Künftig werden wir neue Arten von Angriffen sehen“, ist Volkamer überzeugt. „Künstliche Intelligenz und insbesondere die sogenannte generative KI bringen auch den Cyberangreifern Vorteile“, warnt die KIT-Forscherin. Ähnlich wie bei einem Messer, das sich für viele gute Dinge nutzen lässt – aber eben auch, um zu verletzen oder zu töten, sei es auch mit der generativen KI: „Cyberangreifer können sich mit deren Unterstützung ohne viel technisches Know-how effektive Angriffswerkzeuge bauen lassen – beispielsweise eine schwer zu erkennende Phishing-E-Mail oder eine Ransomware, die beliebig viel Schaden anrichten kann.“

Doch es gibt auch eine gute Nachricht: Die Branche hat das Problem erkannt. Und neue gesetzliche Vorgaben wie die UN-Regelung WP.29 der Wirtschaftskommission der Vereinten Nationen, verpflichten die Automobilhersteller seit 2022, Sicherheitsmaßnahmen gegen Cyberangriffe systematisch in ihre Fahrzeuge zu integrieren – von der Entwicklung bis zur Stilllegung des Autos.

Ein vollständiger Schutz ist eine Illusion

Das Auto der Zukunft fährt, so die weit verbreitete Überzeugung der Forscher, elektrisch, vernetzt, autonom – und mit einer unsichtbaren Begleitung: der ständigen Wachsamkeit gegenüber Cybergefahren. Die Sorge um die Sicherheit vor Hackerattacken erfordert es, Techniken ständig weiterzuentwickeln. Mit den richtigen Maßnahmen und einem proaktiven Ansatz lassen sich die Risiken für die Autofahrer minimieren – auch angesichts einer weiter wachsenden Digitalisierung und Vernetzung. Allerdings: Indem Autos durch die Nutzung von KI-Systemen intelligenter werden – werden sie zugleich noch angreifbarer. Dadurch wandert der Fokus bei der Sicherheitsforschung vom Airbag zur Firewall. Der Kampf gegen Cyberbedrohungen hat erst begonnen und wird die Mobilität der Zukunft entscheidend mitprägen. Doch einen vollständigen Schutz gegen Angriffe wird es vermutlich niemals geben. ■

Menschen orientieren sich bei Entscheidungen an den Erfahrungen anderer. Dieses als „Social Proof“ bekannte psychologische Phänomen…