Autos hacken: Weniger Sicherheitslücken, Risiko verlagert sich in die Cloud

Forschende der Universität Göteborg und der Chalmers-Universität haben für die Jahre 2022 bis 2024 insgesamt 413 dokumentierte Software-Sicherheitslücken bei Autos gezählt. Das wirkt viel, doch eine ältere Untersuchung kam allein für 2019 auf 363 Lücken. Die Zahl der bekannten Schwachstellen pro Jahr geht also zurück. Entwarnung bedeutet das laut den Autoren nicht, denn die Art der Lücken hat sich verändert.

Einfallstore wandern aus dem Fahrzeug

„Vor zehn Jahren wurden die meisten Sicherheitslücken in den fahrzeugeigenen Systemen entdeckt“, sagt Erstautorin Srijita Basu. „Mittlerweile hat sich der Anteil der Schwachstellen in Apps, auf Websites und in Cloud-Diensten fast verdreifacht.“ Aus solchen Systemen lassen sich viele persönliche Daten auslesen, etwa Wohnort, Arbeitsplatz, Hobbys oder die Schule der Kinder. So geschah es 2024 bei Volkswagen.

Das Infotainment soll eigentlich strikt von sicherheitskritischen Funktionen wie ABS, ESP oder Fahrassistenz getrennt sein. Das ist nicht immer der Fall: 2015 steuerten Forscher bei einem Jeep Cherokee über das Infotainmentsystem Bremse, Gaspedal und Türverriegelung fern. Die Branche habe seither offenbar zu wenig gelernt, heißt es im Paper. Infotainment- und Telematiksysteme dienten oft als Brücke zu sensibleren Fahrzeugnetzwerken, die Lücken gingen größtenteils auf Software von Drittanbietern zurück.

Basu zeigt sich überrascht, wie elementar manche Schwachstellen sind, etwa Passwörter, die seit der Installation nie geändert wurden. Das anfälligste Produkt war das Open-Source-Tool Grafana, die häufigsten Angriffsarten waren SQL-Injection und Cross-Site-Scripting.

Warum das wichtig ist

Je stärker Autos mit ihrer Umgebung vernetzt sind, etwa beim Streaming oder bei der Kommunikation mit der Ladesäule, desto größer die Angriffsfläche. Und je mehr sich Fahrer auf Assistenzsysteme verlassen, desto gravierender wären die Folgen eines Angriffs. Bessere Verschlüsselung allein genügt nicht: Ein grundlegendes Problem sind fehlende Berechtigungsprüfungen. Nutzende melden sich zwar an, doch ob sie auf das angefragte Fahrzeug zugreifen und die Funktion auslösen dürfen, bleibt oft ungeprüft.

Basu rät Herstellern, von der Web- und IT-Welt zu lernen, wo viele dieser Lücken seit Jahren bekannt sind. Autofahrer:innen sollten starke Passwörter nutzen und Softwareupdates regelmäßig einspielen.