Patchday für den Bordcomputer im Smart Car

Internet im Auto? Das ist der nächste Schritt der Vernetzung. Dabei geht es nicht nur um die Bespaßung der Beifahrer mit Netflix oder Spotify. Updates von Kartendaten oder der integrierten System-Software kommen bereits heute aus dem Netz. Und die Bordelektronik wird in Zukunft weiter ausgebaut, nicht nur in der automobilen Oberklasse.

So bietet beispielsweise Toyota selbst für die kleinen Modelle Aygo und Yaris ein bezahlbares Paket aus Kollisionsvermeidung und Spurhalteassistent an - alles gesteuert vom Bordcomputer. Das Auto wird dadurch zu einem rollenden IT-System, das wie seine stationären Kollegen vor Viren, Trojanern und Hackern geschützt werden muss.

Einbruch via Entertainmentsystem und Diagnoseschnittstelle

Das ist keine graue Theorie: Die Sicherheitsexperten Charlie Miller und Chris Valasek sind in die internen Systeme eines Jeep Cherokee eingebrochen, während der Fahrt und über das Internet. Sie haben dafür eine Sicherheitslücke im Chrysler-Entertainmentsystem Uconnect ausgenutzt.

Normalerweise erlaubt das System das Telefonieren, die Internetverbindung, Zugriff auf ein Navigationssystem und verschiedene Unterhaltungsfunktionen. Durch die Sicherheitslücke konnten die Forscher auch in die restliche Autoelektronik eingreifen. Dafür benutzten sie die Diagnoseschnittstelle CAN-Bus, die Uconnect mit den anderen Fahrzeugsystemen verbindet.

Sie luden den Journalisten Andy Greenberg von Wired ein, ihm das ganze realitätsnah vorzuführen. Auf einer Testfahrt trieben sie allerhand Schabernack mit seinem Jeep: Sie manipulierten die Klimaanlage, aktivierten die Pumpen der Scheibenwaschanlage und brachten den Wagen zum Stehen - stilsicher im Straßengraben.

Die wirklich fiesen Tricks haben sie gar nicht erst gezeigt. Nach Angaben der Sicherheitsexperten soll es möglich sein, den Wagen via Internet zu steuern, allerdings nur im Rückwärtsgang. Dafür wird vermutlich die Einparkhilfe genutzt, die den Wagen teilautonom in eine Parklücke rangieren soll.

Die Aktion ist eine Art „Proof of Concept“, denn die technischen Hintergründe waren nicht zu erfahren. Selbst auf der Sicherheitskonferenz Black Hat im Herbst in Las Vegas wollen Miller und Valasek entscheidende Details verschweigen, damit niemand die für diesen „Hack“ notwendige Software nachbaut.

Jeep-Hersteller Chrysler Fiat war von den Experten bereits vor einigen Monaten informiert worden und hat jetzt eine Rückrufaktion gestartet: Die Fahrer erhalten einen USB-Stick, mit dem sie selbst oder eine Werkstatt die Sicherheitsaktualisierung der Uconnect-Software aufspielen können.

Auto-Trojaner und andere Scheußlichkeiten

Der Jeep-Hack war recht spektakulär. Vorher war es Sicherheitsforschern lediglich gelungen, via Kabel in die internen Systeme von Autos einzudringen. Doch der aktuelle Fall zeigt deutlich, dass die schöne Zukunft der Smartcars mit ganz viel vernetzter Technologie einen Haken hat: Es gibt dieselben Sicherheitsprobleme wie beim Desktop-PC oder Mobilgerät.

Wird es bald Auto-Spam geben, bei dem plötzlich statt Musik Werbung für Heckspoiler erklingt? Gibt es demnächst Auto-Trojaner, die den Wagen sperren und nur gegen einen kleinen Unkostenbeitrag via Mobile Payment wieder verfügbar machen?

Bisher wurden die Sicherheitslücken noch nicht ausgenutzt. So ging auch die Geschichte mit dem BMW-System ConnectedDrive Anfang des Jahres glimpflich zu Ende. Die Funktion zum Entriegeln des Schließsystems war unzureichend geschützt. Dadurch hätten Cyberkriminelle die Türen der BMW-Modelle via Mobilfunk öffnen können.

Das plakative „Drive by hacking“ eines Jeeps dürfte erst der Anfang sein. Die letzte, noch zukünftige Ausbaustufe des Smart Cars wird sicher ein E-Auto sein, das ähnlich wie ein Desktop-Computer mindestens einmal im Monat mit Sicherheitsaktualisierungen versorgt werden muss.

Elektroautos haben zwar eine einfachere Motortechnik als Wagen mit Explosionsmotoren, doch die Hundertschaft der anderen Systeme ist ja trotzdem noch da und gewohnt komplex. Und bis jetzt war noch nicht einmal von „Selbstfahreren“ die Rede. Sie bringen einen noch viel größeren Komplexitätssprung und noch mehr Sicherheitsprobleme.

Bildquelle: Thinkstock