Die zunehmende Vernetzung von Fahrzeugen bietet Komfort und neue Funktionen, birgt aber auch Sicherheitsrisiken. Forscher haben jetzt ein eindrucksvolles Sicherheitsproblem aufgedeckt, das sich nicht nur auf Spielereien beschränkt.
Durch eine Schwachstelle in der API-Zugriffsverwaltung von Hersteller-Apps für Fahzeuge hätten Angreifer theoretisch Zugriff auf Tausende Fahrzeuge bekommen können. Konkret hätten sie Türen entriegeln und Motor starten können. Das ist kein technisches Proof-of-Concept, sondern ein echtes Sicherheitsrisiko für echte Menschen.
Die Lücke betraf mindestens zwei grössere Autohersteller. Die Forscher kontaktierten diese natürlich verantwortungsvoll und gaben den Herstellern Zeit zur Behebung, bevor sie die Findings veröffentlichten. Das ist die Standard-Praxis der Security-Forschung und verhindert, dass Angreifer die Lücke vor dem Patch ausnutzen.
Wie konnte es zu solcher Lücke kommen? Häufig liegt es darin, dass App-APIs nicht richtig überprüfen, ob ein Nutzer tatsächlich der Besitzer eines Fahrzeugs ist. Ein Angreifer, der eine API-Anfrage manipulieren kann, könnte so Fahrzeuge anderer Nutzer steuern. Im Kontext von Fahrzeugen ist das natürlich kritisch.
Für Nutzer bedeutet das konkret: Falls man eine Hersteller-App für Fernzugriff auf sein Auto nutzt, sollte man überprüfen, ob es Updates gibt. Die Hersteller sollten Patches bereitgestellt haben. Fahrzeugbesitzer sind in diesem Fall abhängig davon, dass ihre Autohersteller die Updates bereitstellen und kommunizieren.
Das Thema illustriert auch, warum IT-Security bei Fahrzeugen genauso wichtig ist wie mechanische Sicherheit. Ein Auto ist nicht mehr nur eine Maschine, sondern ein Gerät mit Netzwerk-Verbindung, mit allen damit verbundenen Risiken.