Wie Sicherheitsforscher verhindern, dass Autos gehackt werden

Heutzutage sind Autos praktisch rollende Computer. Es ist überall Konnektivität eingebaut, die Wagen sind mit Internet und Software ausgestattet, wie wir sie von Computern oder Smartphones kennen. Bereits vor einigen Jahren demonstrierten Sicherheitsforscher*innen, wie Autos aus der Ferne manipuliert werden können, wobei etwa die Klimaanlage und das Radio aufgedreht worden sind.

Die Sicherheitsforscher*innen wollten dabei niemandem etwas Böses, sondern nur auf die Gefahren der zunehmenden Vernetzung der Fahrzeuge hinweisen. Ihre Dienste sind für die Branche wertvoll, um die Produkte zu verbessern.

Tesla per Smartphone stehlen

Auch der Salzburger Sicherheitsberater Martin Herfurt hatte eine solche Motivation, als er vergangene Woche bei einer Sicherheitskonferenz des österreichischen Bundesheers in Linz einen Tesla Model 3 live knackte. Er nutzte dazu eine Sicherheitslücke im Schlüsselsystem, das es Tesla-Besitzer*innn erlaubt, ihr Auto mit dem Smartphone aufzusperren. „Ich wollte aufzeigen, wie wichtig es ist, Sicherheit von Anfang an in die Softwareentwicklung einzubeziehen“, erklärt Herfurt, der mit seiner Firma IT-Wachdienst eine Schulung für Entwickler*innen anbietet.

Jene sollen dadurch lernen, wie kriminelle Angreifer*innen zu denken. Das sei notwendig, um bei der Entwicklung von Autos möglichst früh im Prozess Sicherheitsgefahren zu minimieren. „Tesla ist dabei nur ein Beispiel, aber es gibt viele andere Hersteller, die ähnliche Schwachstellen aufweisen“, so Herfurt.

➤ Mehr lesen: Salzburger hackt Tesla live: "Ist noch immer kinderleicht"

Rückrufe wären extrem teuer

Dem stimmt Michael Schäfer, Geschäftsführer des Ulmer IT-Beratungs- und Forschungseinrichtung Schutzwerk, prinzipiell zu. „Tesla ist außerdem ein gutes Beispiel dafür, dass es ein großes Problem ist, Schwachstellen bei Fahrzeugen, die bereits auf dem Markt sind, zu beheben. Da wird eher versucht, Dinge kleinzureden“, sagt Schäfer. Denn im Zweifelsfall kommt es zu Rückrufen von Autos und Kosten in Millionenhöhe. „Das kann richtig viel Geld kosten“, so Schäfer. Tesla hat etwa nur das Notwendigste ausgebessert. „Es ist noch immer kinderleicht, Teslas zu hacken“, sagt Herfurt.

Immer mehr Autohersteller und Zulieferer arbeiten aber mit Sicherheitsfirmen wie jener von Herfurt und von Schäfer zusammen. Auch Forschungseinrichtungen wie das Austrian Institute für Technology (AIT) überprüfen die speziellen Komponenten mit sogenannten „Penetrationstests“. „Dabei werden die Systeme mit den gleichen Methoden angegriffen, die auch Kriminelle verwenden würden, jedoch im Auftrag der Hersteller und in enger Abstimmung mit den Eigentümer*innen“, erklärt Florian Skopik vom Center for Digital Safety & Security vom AIT. 

„Wir überlegen uns, wie man Sicherheitsmechanismen innovativ umgehen kann, und zwar auf eine Art, wie es die Hersteller nicht vorgesehen haben“, so Skopik. „Die Probleme treten üblicherweise an Schnittstellen auf, an denen die Komponenten unterschiedlicher Hersteller kombiniert werden“, so Skopik. „Die Ergebnisse werden im Anschluss den Herstellern mitgeteilt, damit die Schwachstellen gezielt ausgemerzt werden können“, so der AIT-Experte.

➤ Mehr lesen: Fahrerassistenzsysteme: Wenn das Auto plötzlich ungewollt beschleunigt

Strengere Regelungen für die Zulassung

Doch seitens der Hersteller passiert vieles nicht freiwillig, sondern weil es immer mehr Regulierung in diesem Bereich gibt. „Hersteller müssen sich bei der Fahrzeugentwicklung Gedanken über Bedrohungen machen“, sagt Schäfer. "Es wurden außerdem in den letzten 2 Jahren neue Voraussetzungen für die IT-Sicherheit eingeführt. Diese werden geprüft, bevor ein Fahrzeug überhaupt zugelassen werden darf“, so Schäfer. „Die Hersteller müssen beim Zulassungsprozess Unterlagen vorlegen, die belegen, dass sich um das Thema Sicherheit gekümmert wurde“, sagt der Schutzwerk-Geschäftsführer.

Seine Firma führt aufwendige Prüfungen im Auftrag von Herstellern durch, teilweise sogar mit Roboterunterstützung. „Sicherheitstests von Fahrzeugen erfordern oft viel Handarbeit an den Platinen der Steuergeräte. Das haben wir versucht, durch einen Roboter teilweise zu automatisieren“, erklärt Schäfer. Der Roboter sei Open Hardware und Open Source und somit auch von anderen für diesen Einsatzzweck nachzubauen.

Diese Prüfung der Fahrzeuge finde im Entwicklungsprozess allerdings relativ spät statt, so Schäfer. „Das sollte eigentlich früher passieren, damit es im Fall des Falles keine so große Belastung für die Autohersteller ist“, sagt der Experte. Eine hundertprozentige Sicherheit vor Angriffen gebe es allerdings nicht, ergänzt Skopik. „Ziel ist es, die Hürden für Angreifer*innen so hoch zu legen, dass ein Cyberangriff so aufwendig wird, dass er sich ökonomisch nicht mehr rechnet. Dann hat man als Verteidiger gewonnen“, sagt der AIT-Experte.

➤ Mehr lesen: Kein Fahrer sieht zu: Paare berichten über Sex in Robotaxis