Hacker-Alarm im Auto: Sicherheitslücken bedrohen Bremsen und Lenkung!

Ein Forschungsteam der Universität Göteborg hat für seine Untersuchung die staatlich betriebene US-Datenbank für bekannte Software-Schwachstellen (National Vulnerabilities Database) systematisch analysiert. Die Auswertung für den Zeitraum zwischen Jänner 2022 und September 2023 brachte insgesamt 413 bereits gemeldete Schwachstellen zutage, die internetfähige Fahrzeuge betreffen.

Wie die Forscher in ihrer Fachpublikation im renommierten Software Quality Journal betonen, könnten Angreifer solche Lücken ausnutzen, um zentrale Steuerungsfunktionen zu kapern. Studienleiterin Srijita Basu erklärte gegenüber der "Daily Mail", dass Sicherheitsexperten dieses Bedrohungsszenario für technisch absolut machbar halten. Bereits im Jahr 2015 hatten IT-Experten das Infotainmentsystem eines Jeep Cherokee geknackt, um Lenkung und Bremsen fernzusteuern, was damals den weltweiten Rückruf von 1,4 Millionen Fahrzeugen auslöste.

Das Hauptproblem moderner Autos liegt in ihrer komplexen Vernetzung. Während frühere Fahrzeuge in sich geschlossene Systeme waren, kommunizieren heutige Pkw permanent mit Cloud-Plattformen, Web-Diensten und Smartphone-Apps.

Srijita Basu erläutert das Zusammenspiel der internen Bordsysteme: "Moderne Autos enthalten mehrere miteinander verbundene Computersysteme. Einige verwalten Infotainment und Kommunikation, während andere für sicherheitskritische Funktionen wie Bremsen, Lenken und Beschleunigen verantwortlich sind. Wenn ein Angreifer eine Schwachstelle in einem System ausnutzt und von dort aus in ein anderes System wechseln kann, weil die Sicherheitsgrenzen unzureichend sind, könnten die Folgen gravierend sein."

Zwar wiesen die Forscher bei den 413 analysierten Schwachstellen die Übernahme der Bremsen nicht in einem praktischen Live-Test nach. Dennoch seien die Risiken hochbrisant. Ob ein Einbruch gelingt, hänge vom Zugriffslevel des Angreifers und der internen Sicherheitsarchitektur des Modells ab.

Die Zahlen der Experten enthüllen das ganze Ausmaß der Sicherheitskrise:

Für die Überprüfung von 20 quelloffenen Softwareprojekten, die in der Automobilbranche breite Anwendung finden, setzten die Experten fünf spezialisierte Scan-Werkzeuge ein. Das Ergebnis: 827 verwundbare Programmbibliotheken, die Entwickler als vorgefertigte Module übernommen hatten.

Im Vergleich zu früheren Studien aus den Jahren 2010 bis 2019 hat sich die Gefahrenlage drastisch verschoben: Früher saßen die Schwachstellen primär in physisch im Pkw verbauten Steuergeräten. Heute verlagert sich das Einfallstor massiv auf das digitale Ökosystem im Internet. Gleichzeitig hat sich der Anteil als "kritisch" eingestufter Lücken mehr als verdreifacht – von 5 Prozent im Jahr 2019 auf 16 Prozent im Jahr 2023.

Überrascht zeigten sich die Autoren über das Auftreten klassischer Website-Schwachstellen wie SQL-Injektionen. Damit können Hacker Datenbankverbindungen manipulieren, um Standortdaten, Fahrtenbücher oder vertrauliche Kundendaten abzugreifen. Hinzu kommen Risiken durch Rechteausweitungen (Privilege Escalation) und Speicherfehler.

Verbraucher können einige Schutzvorkehrungen treffen:

Dennoch sieht Studienleiterin Basu vor allem die Industrie in der Pflicht: Fahrzeughalter können versteckte IT-Fehler nicht selbst aufspüren. Autobauer müssen Cybersicherheit von der ersten Skizze an mitentwickeln und dürfen Sicherheitsprüfungen nicht erst kurz vor der Auslieferung ansetzen.