© Kitchner Bain / 123RF.com

Bei modernen Autos kann man via Internet den Motor starten oder den Fahrzeugstatus überprüfen. Hinzu kommen Echtzeitnavigation, Fahrzeugdiagnosen und Software-Updates via Internet. All das sind potenzielle Angriffspunkte.

In der Vergangenheit haben Sicherheitsforscher aufgezeigt, dass das Hacken von Fahrzeugen mit internetfähigen Systemen zwar schwierig, aber durchaus möglich ist. So nutzten Angreifer bereits 2010 Schwachstellen, um einen Chevrolet Impala zu übernehmen; 2015 gelang es ihnen, einen Jeep zu hacken. Diese Angriffe setzten komplexe Techniken voraus, wie das Reverse Engineering des speziellen Codes in den Telematiksystemen der Fahrzeuge, das Einschleusen von Schadsoftware über Audiosignale oder sogar das Abspielen einer infizierten Musik-CD im Auto.

Eine Gruppe unabhängiger Sicherheitsforscher hat kürzlich eine Sicherheitslücke [1] in einem Webportal des Autoherstellers Kia entdeckt, die sich deutlich einfacher ausnutzen lässt. Sie ermöglicht es, die Kontrolle über die internetbasierten Funktionen der meisten modernen Kia-Modelle vom Smartphone des Fahrzeugbesitzers auf das eigene Telefon oder den Computer des Angreifers zu übertragen. Durch das Ausnutzen dieser Lücke und die Entwicklung einer eigenen App, die Befehle an die Zielfahrzeuge sendet, konnten die Forscher nach Eingabe des Kennzeichens eines mit dem Internet verbundenen Kia in Sekundenschnelle das Fahrzeug orten, die Türen entriegeln, die Hupe betätigen und sogar den Motor starten.

Die webbasierte Angriffstechnik der Gruppe gibt Angreifern allerdings keinen Zugriff auf Fahrzeugsysteme wie die Lenkung oder die Bremsen; auch die Wegfahrsperre bleibt intakt. Allerdings ließe sich die Technik mit Methoden kombinieren, die Autodiebe bereits nutzen, um Wegfahrsperren zu umgehen. Günstigere Autos ohne Wegfahrsperre könnten in jedem Fall gestohlen werden. Selbst wenn die Schwachstelle nicht direkt zu einem Autodiebstahl führt, eröffnet sie viele andere Möglichkeiten. So könnten Diebe leichter Gegenstände aus dem Auto entwenden. Zudem ließe sich die Technik nutzen, um Fahrer und Passagiere zu belästigen oder Daten abzugreifen.

Die von der Gruppe entdeckte Technik nutzt eine relativ einfache Schwachstelle im Backend des Kia-Webportals für Kunden und Händler aus. Dieses Portal dient dazu, den Zugang zu den vernetzten Fahrzeugfunktionen einzurichten und zu verwalten. Als die Forscher direkt Befehle an die API der Webseite sendeten, die Benutzern den Zugriff auf die zugrunde liegenden Daten ermöglicht, stellten sie fest, dass sie nichts daran hinderte, die Rechte eines Kia-Händlers zu übernehmen. So konnten sie die Kontrolle über die Fahrzeugfunktionen einem beliebigen Kundenkonto zuweisen. Das Kia-Webportal ermöglichte Abfragen von Fahrzeugen basierend auf ihrer Fahrzeugidentifizierungsnummer (VIN). Die Forscher entdeckten, dass sie die VIN eines Autos schnell finden konnten, indem sie dessen Kennzeichen auf der Website PlateToVin.com eingaben.

Internetfähige Fahrzeugsysteme sind zwangsläufig potenziell anfällig für diverse Angriffe. Hersteller implementieren bereits Maßnahmen wie Verschlüsselung und mehrstufige Authentifizierung, um unbefugte Zugriffe zu verhindern. Dennoch treten immer wieder Schwachstellen wie die jetzt entdeckte auf. Das Risiko lässt sich nur durch regelmäßige Software-Updates und Sicherheitsprüfungen minimieren. (jcb)