Connected-Car-Sicherheit

IT-Security im Auto: Neue Wege

30.11.2016
Von   
Nach 15 Jahren als Senior Regional Director Germany bei Fortinet hat Christian Vogt Anfang 2020 die Rolle des Vice President DACH übernommen. Er verfügt über langjährige Leadership-Erfahrung und Expertise im Umgang mit großen und strategischen Kunden und Partnern im Markt für Sicherheits- und Netzwerktechnologie sowie in der Telekommunikationsbranche. Er studierte Betriebswirtschaft in Deutschland und den USA und hatte vor seinem Eintritt bei Fortinet 2006 unter anderem Positionen bei Cable & Wireless Deutschland, Inktomi und Oracle inne.

IT-Sicherheit im Auto: Bedrohungsszenarien beim Connected Car

Ransomware: Die Angriffe mit erpresserischem Schadcode nehmen seit einiger Zeit deutlich zu. Fahrerlose Autos sind für diese Art der Bedrohung ein fast perfektes Ziel. Stellen Sie sich folgendes Szenario vor: Ein Hacker informiert den Eigentümer über das Display des Wagens, dass dieser gesperrt wurde und er ein Lösegeld zahlen muss, um die Kontrolle wieder zu erlangen. Während Laptops oder Tablets relativ einfach und - insofern Backups vorhanden sind - sogar ohne Schäden wiederhergestellt werden können, sieht das bei Autos anders aus. Der Eigentümer befindet sich vielleicht weit weg von zu Hause - die Ransomware kann natürlich so programmiert werden, dass sie erst anspringt, wenn sich das Fahrzeug in einer bestimmten Entfernung von seinem Heimatstandort befindet. Logischerweise hätten nur wenige Autohäuser Erfahrung mit der Lösung solcher Probleme und sehr wahrscheinlich wäre die Hilfe von Spezialisten vonnöten, um die betroffenen Komponenten zurückzusetzen. Auch ist zu erwarten, dass die Lösegeldsummen in diesen Fällen sehr hoch ausfallen (aber wahrscheinlich niedriger als die Reparaturkosten, sodass die Eigentümer lieber zahlen werden) und die Behebung des Problems recht langwierig sein wird.

Spyware: Ein noch attraktiveres Ziel für die Hacker könnte es aber sein, über ein Auto Daten über dessen Eigentümer zu sammeln. Bereits heute sammeln Autos riesige Datenmengen und wissen viel über ihren Eigentümer - einschließlich der häufigsten Fahrziele, Routen, seiner Adresse, eventuell auch wo und wie er Dinge kauft, beziehungsweise bezahlt. Im Extremfall kennt das Auto der Zukunft auch die Personen, die mitfahren. Wenn ein Hacker weiß, dass sich jemand weit weg von seinem Zuhause befindet, kann er diese Informationen zum Beispiel an organisierte Einbrecherbanden verkaufen. Oder einfach die Anmeldedaten nutzen, um das Bankkonto des Autobesitzers leer zu räumen. Dieses Risiko besteht, weil fahrerlose und verbundene Fahrzeuge in der Zukunft sehr wahrscheinlich als Gateways für elektronische Transaktionen dienen werden, also auch für die automatische Bezahlung des morgendlichen Kaffees, der Parkgebühren oder Reparaturen. Wenn sensible Daten im Auto gespeichert werden, wird es zu einer weiteren Angriffsfläche für den Diebstahl persönlicher Daten. Und da die RFID- und NFC-Chips auf immer mehr EC- und Kreditkarten Verwendung finden und zum Standard werden, besteht theoretisch auch die Möglichkeit, über ein Auto die Informationen auf diesen Karten und damit über den Fahrzeugeigentümer und seine Mitfahrer zu erfassen.

Last, but not least gibt es noch Rechts- und Authentizitätsbedenken: Kann man davon ausgehen, dass die Standortdaten eines Autos immer der Realität entsprechen? Das heißt: Wenn in den Aufzeichnungen Ihres Autos steht, dass Sie es geöffnet haben und um eine bestimmte Uhrzeit an einen bestimmten Ort gefahren sind - kann man dann wirklich davon ausgehen, dass alles so geschehen ist? Würden solche Daten auch vor Gericht bestehen? Oder können sie nicht auch manipuliert werden? Das ist ein Problem, dass unbedingt angegangen werden muss. Eine vergleichbare Problematik stellt Software von unterschiedlichen Providern dar. Wenn ein Auto sich von Netzwerk zu Netzwerk bewegt, stellt sich die Frage nach dem Verantwortlichen, nach demjenigen, der für Sicherheitsverletzungen und mögliche Verluste und Schäden haftet.? War es ein Softwarefehler? War es ein fahrlässig gemanagtes Netzwerk? War es ein Benutzerfehler oder war der Benutzer nicht ausreichend geschult?