Fahrzeug-Hacking: Hacker zeigen, wie sich jedes Auto manipulieren lässt

Moderne Fahrzeuge gelten als Schlüssel für effizientere, sicherere und klimafreundlichere Mobilität. Gleichzeitig wächst mit der zunehmenden Vernetzung eine Angriffsfläche, die bislang vor allem in der Informationstechnologie bekannt war. Eine aktuelle Untersuchung zeigt, wie eng diese beiden Welten inzwischen miteinander verknüpft sind.

Vernetzte Fahrzeuge als digitale Systeme

Laut Angaben des Rechercheportals Cybernews sind heutige Fahrzeuge längst nicht mehr nur mechanische Fortbewegungsmittel, sondern komplexe, vernetzte Computersysteme. Digitale Assistenzfunktionen, Fernzugriff per App oder cloudbasierte Telematikdienste gehören inzwischen zum Standard vieler Modelle. Diese Funktionen sollen Komfort und Effizienz steigern, eröffnen jedoch zugleich neue sicherheitsrelevante Risiken.

Kontrolliertes Experiment mit realen Fahrzeugen

Um diese Risiken greifbar zu machen, führte das Cybernews-Team gemeinsam mit dem IT-Sicherheitsforscher Sam Curry und dem Automotive-Hacker BusesCanFly ein kontrolliertes, ethisch begleitetes Experiment durch. Ziel war es, zu demonstrieren, wie modernes Fahrzeug-Hacking in der Praxis aussieht. Die Hacker haben nach eigenen Angaben in ihrer beruflichen Laufbahn Zugriff auf weit über 15 Millionen Fahrzeuge erlangt.

Minimaler Datenbedarf, maximale Wirkung

Nach Darstellung der Forscher reichen bereits grundlegende Informationen wie ein Kennzeichen oder andere einfache personenbezogene Angaben aus, um Fahrzeuge aus der Ferne anzugreifen. In einer Video-Dokumentation zeigten sie, wie sich mithilfe einer eigens entwickelten Anwendung Fahrzeuge live orten und fernsteuern lassen.

Sam Curry erklärte: „Wir konnten innerhalb von Sekunden eine vollständige Kopie des Standortverlaufs einer Person abrufen, die Hupe betätigen, das Fahrzeug entriegeln, den Kofferraum öffnen und auf die Kameras zugreifen.“

Nicht nur private Fahrzeuge betroffen

Besonders relevant für Flottenverantwortliche ist laut Cybernews, dass sich die Schwachstellen nicht auf private Pkw beschränken. Curry betonte, dass die Forscher Wege gefunden hätten, nahezu alles zu manipulieren – von normalen Privatfahrzeugen über Polizeifahrzeuge und Rettungswagen bis hin zu großen gewerblichen Fahrzeugflotten. Ziel der Angriffe seien zentrale Backend-Telematiksysteme, auf die zahlreiche Fahrzeugtypen zugreifen. Über diese Systeme seien Tracking sowie Fernbefehle wie Verriegeln, Entriegeln, Starten oder Stoppen von Fahrzeugen möglich.

Über diese Systeme ließen sich Fahrzeuge nicht nur lokalisieren, sondern auch verriegeln, entriegeln, starten oder stoppen, sowohl einzeln als auch in größerem Umfang.

Risiken über den Fahrzeugdiebstahl hinaus

Die Forscher weisen darauf hin, dass es dabei nicht nur um den Diebstahl einzelner Fahrzeuge geht. Laut Curry eröffnen die Schwachstellen weitergehende Szenarien, etwa die Überwachung von Personen, Einschüchterung oder die gezielte Störung von Einsatzfahrzeugen. Auf Verbraucherseite reichten die möglichen Folgen von Live- und historischen Standortdaten über Fernbefehle bis hin zu Kontoübernahmen und dem Zugriff auf sensible Kundendaten.

Im gewerblichen und staatlichen Umfeld ermöglichen dieselben Mechanismen laut Curry eine flächendeckende Kontrolle ganzer Fahrzeugbestände, einschließlich Polizeifahrzeugen, Rettungswagen und schweren Nutzfahrzeugen.

Datenweitergabe als systemische Grundlage

Curry weist darauf hin, dass Fahrzeugnutzer bei der Aktivierung digitaler Dienste regelmäßig der Weitergabe umfangreicher personenbezogener Daten zustimmen. Diese Daten liegen sowohl bei Drittanbietern als auch bei den Fahrzeugherstellern, die sie mit Nutzerkonten verknüpfen. In einem früheren Test habe er mehr als zwei Jahre hochpräziser Standortdaten abrufen können, basierend auf einfachen Identifikationsmerkmalen.

„Einige Unternehmen speichern jahrelange Standortverläufe, wie wir nach dem Hacken von Subaru gesehen haben, bei dem ich mehr als zwei Jahre eines auf zehn Meter genauen Fahrverlaufs des Autos meiner Mutter abrufen konnte – und das allein mit Kenntnis des Kennzeichens, der E-Mail-Adresse, der Telefonnummer oder sogar nur des Vor- und Nachnamens.“, sagte Curry.