Cyberangriff auf vernetzte Autos

Die Studie „Automotive Cyber Security – Consumer Attitudes“, erstellt vom Center of Automotive Management (CAM) in Kooperation mit Cisco, zeigt, dass Cybersecurity inzwischen auch für Autofahrer ein zentrales Thema ist. Studienleiter Professor  Stefan Bratzel vom Center of Automotive Management (CAM): „Für Autofahrer ist Cybersicherheit ein vielschichtiges Thema, das mit ganz konkreten Sorgen einhergeht. Hier gibt es viel zu tun für die Hersteller.“ Im Interview ordnet Holger Unterbrink, Technical Leader des Threat-Intelligence-Teams von Cisco Talos, die Cyberrisiken vernetzter und digitalisierter Autos ein.

Herr Unterbrink, immer wieder gibt es Nachrichten über Autos, die von Cyberkriminellen aus der Ferne geknackt und manipuliert wurden. Wie groß ist die Gefahr wirklich?

Holger Unterbrink: Die gute Nachricht lautet: Bislang sind keine Angriffe öffentlich bekannt geworden, in denen Menschen körperlich zu Schaden kamen. Erfolgreiche Angriffe erfordern viel Spezialwissen und funktionieren meistens nur bei bestimmten Autoherstellern. Bis dato beschränken sich die Angriffe hauptsächlich auf Proof of Concepts (POC) von Sicherheitsforschern. In der realen Welt zielen die Angriffe zumeist darauf ab, das Auto zu stehlen oder Leistungsmerkmale unlizenziert freizuschalten. In vielen Fällen ist auch nicht das Auto das primäre Angriffsziel, sondern die Datenbanken und Webportale der Hersteller. Trotzdem dürfen sich Hersteller und Lieferanten nicht zurücklehnen, denn immer mehr Vernetzungen und Anwendungen vergrößern die Angriffsoberfläche permanent. Daher müssen sie strenge Sicherheitsmaßnahmen umsetzen, diese regelmäßig aktualisieren und gegenüber den KundInnen kommunizieren. Denn diese kaufen nur bei ausreichendem Vertrauen ein Auto, das sie jahrelang nutzen.

Wie groß ist das Vertrauen der Kunden in Cybersicherheit in Autos?

Genau das hat gerade die Studie untersucht. Demnach befürchtet fast die Hälfte der Deutschen einen Cyberangriff auf ihr vernetztes Auto und sieht Software-Updates als mögliche Gefahrenquelle für Manipulationen. Immerhin sind mehr als ein Drittel der Befragten zuversichtlich, dass sich die Autohersteller schon ausreichend mit Cybersicherheit beschäftigen. Mehr als drei Viertel der Befragten halten dieses Thema sogar für wichtig.

Wo sehen Fahrer die größten Gefahren?

Als größte Gefahr betrachten die deutschen Autofahrer eine Manipulation von digitalen Schlüsselsystemen. Darum sorgen sich 46 Prozent der Befragten. Es folgen mit 41 Prozent der Diebstahl persönlicher Daten und mit 35 Prozent die Manipulation von Fahrzeugfunktionen und Sicherheitssystemen. Dabei sind die Bedenken bei jüngeren Fahrern vergleichsweise größer, bei Fahrern von Elektroautos wesentlich geringer.

Die Wahrnehmung der Nutzer ist durchaus berechtigt, gerade im September wurde ein erfolgreicher Hack der Marke KIA bekannt – auch dieser jedoch von „White Hats“, also beauftragten Hackern, die Schwachstellen finden sollten.

Wir wird sich das Thema Cybersecurity von Autos weiterentwickeln?

Mit der steigenden Digitalisierung und Vernetzung von Fahrzeugen durch 5G oder WiFi vergrößert sich auch die mögliche Angriffsfläche. Die Nutzung von Online-Diensten, Streaming-Apps, Videokonferenzen und Bezahlsystemen sowie das Laden von Elektroautos erhöhen die Gefahr von Hacker-Angriffen. Die am häufigsten eingesetzten Online-Dienste sind die Smartphone-Kopplung mit 46 Prozent und Verkehrsdaten für Navigationsdienste mit 39 Prozent. Regelmäßig nutzen 20 Prozent der Befragten Smartphone-Apps des Fahrzeugherstellers. Allerdings verwenden viele AutofahrerInnen bisher nur wenige der verfügbaren Vernetzungsfunktionen.

Wie hoch ist das Risko aus Sicht des Datenschutzes?

Bisher ist die Gefahr des Diebstahls persönlicher Daten aus dem Auto noch relativ gering. Wahrscheinlicher dürfte es sein, dass Hacker die zentrale Datenbank des Herstellers oder eines Partners angreifen. Dort liegen nicht nur die Informationen und Zahlungsdaten zu einem Kunden, sondern zu vielen tausenden KundInnen. Daher lohnt sich ein Angriff hierauf deutlich mehr. Entsprechend sind auch bei KeylessGo Replay-Attacken häufig die zentralen Webschnittstellen das Angriffsziel. Grundsätzlich sollte man also nur die absolut notwendigen Daten eingeben, wenn man einen Online-Dienst im Auto nutzen möchte, da die Daten immer irgendwo gespeichert werden.

Sind Datenschutz und -sicherheit überhaupt schon ein Thema bei den Käufern?

Einem Drittel der Deutschen ist IT-Sicherheit schon so wichtig, dass davon die Kaufentscheidung abhängt. Doch lediglich 22 Prozent bewerten die Qualität der Cybersicherheit von vernetzten Autos als gut. Nur 27 Prozent der Befragten glauben, dass die Autohersteller ausreichend für die Datensicherheit von Fahrzeugen sorgen. Bislang ist die Wahrnehmung des Themas vorwiegend durch Informationen zu Angriffen geprägt. Dazu zählen der Diebstahl von Fahrzeugen mit schlüssellosen Zugangssystemen mit 37 Prozent sowie Hacker-Angriffe auf die Fahrzeug-Software und Datendiebstahl mit je 17 Prozent.

Bei Elektroautos befürchten 41 Prozent der Befragten Risiken für den Datenschutz beim Laden an öffentlichen Ladestationen. Tatsächlich weist die Ladeinfrastruktur für E-Autos Schwachstellen auf und ermöglicht Hacker-Angriffe. Das belegt unsere Studie „Automotive Cyber Security“ von CAM und Cisco aus diesem Frühjahr.

Welche Schutzmaßnahmen fordern Endkunden?

Mehr als die Hälfte der Befragten fordert eine stärkere Verschlüsselung der Daten sowie regelmäßige Software-Updates. Knapp dahinter folgen transparente Informationen über Sicherheitsmaßnahmen. Gerade daran muss die Autoindustrie arbeiten. Denn Premium-Hersteller setzen bereits fast durchgehend eine starke Datenverschlüsselung ein – kommunizieren das aber nur selten. Auch Software-Updates sind bei aktuellen Modellen bereits üblich, doch oft geschehen sie automatisch und bleiben den FahrerInnen unbemerkt.

Wo lauern dann Ihrer Meinung nach die größten Gefahren?

Die größte Gefahr ist nach wie vor der Diebstahl von Autos oder das Hacken von Komponenten wie GPS-Sensoren und Kameras. Bei vernetzten Fahrzeugen kommt die Möglichkeit hinzu, eigentlich gesperrte Funktionen freizuschalten. Da für die meisten Software-Features aber eine entsprechende Hardware eingebaut sein muss, ist das Risiko hier meist gering. Kritischer sind ausgeschaltete oder manipulierte Funktionen, z.B. deaktivierte Geschwindigkeits- und Abstandswarner. Zudem gelingt durch manipulierte Gesichtserkennung das Entsperren eines Fahrzeugs. Künstliche Intelligenz spielt hier noch keine Rolle.

Wie sehen Sie die Zukunft bezüglich der Sicherheit vernetzter Autos?

Da sich die Angriffsfläche kontinuierlich vergrößert, wird es vielleicht schon in wenigen Jahren erfolgreiche Attacken auf vernetzte Autos geben – sei es von kriminellen Banden oder staatlich finanzierten Saboteuren. Gerade elektrische Fahrzeuge sind verstärkt für Cyberangriffe anfällig, wie eine Studie von Cisco Talos aus diesem Jahr zeigt. Inwieweit dadurch die Gesundheit und das Leben der FahrerInnen in Gefahr gerät, lässt sich nicht vorhersagen. Aber Autodiebstahl sowie ausgeschaltete oder manipulierte Funktionen sind durchaus zu erwarten. Eine komplett neue Front wird in Zukunft sicher bei autonom fahrenden Fahrzeugen und deren Künstlicher Intelligenz (KI) aufgemacht.

Holger Unterbrink

ist Technical Leader bei Cisco Talos.