Risiko: Connected Car

Datendiebstahl im Auto

Automobile sammeln bereits seit Jahrzehnten reine Betriebsdaten, etwa um Reparaturen und die Wartung zu vereinfachen. Durch die Verbindung zum Internet und die Verknüpfung mit den Nutzerprofilen der Insassen stößt das Ganze jedoch in völlig neue Dimensionen vor.

  • Cockpit Connected Car

    Die zunehmende Durchdringung der Fahrzeuge mit Sensoren und digitalen Technologien tangiert nicht nur Bereiche wie Datenschutz und Privatsphäre, sondern kann auch zu großen Sicherheitsproblemen führen.

  • Thorsten Stuke, Mobility-Experte im Eco-Verband.

    „Es gibt viele verschiedene Interessenten für die Positionsdaten und andere Daten in den Autos, darunter Hersteller, Anbieter der Notruf- und Zahlungssysteme, Ladestationen, Versicherungen und viele andere. Das stellt hohe Anforderungen an den Datenschutz“, meint Thorsten Stuke, Mobility-Experte im Eco-Verband.

  • Stefan Ploder, Geschäftsführer bei Fernao Networks.

    „In Analogie zur Internetbranche ist die Eigentümerschaft der Daten auch im Automobilumfeld umstritten“, betont Stefan Ploder, Geschäftsführer bei Fernao Networks.

  • Richard Goebelt, Bereichsleiter Fahrzeug und Mobilität beim VdTÜV.

    Richard Goebelt, Bereichsleiter Fahrzeug und Mobilität beim VdTÜV, sagt: „Weder in Deutschland noch in der EU gibt es ein Eigentumsrecht an Daten.“

Nachdem in der Vergangenheit zunehmend elektronische Komponenten in den Fahrzeugen verbaut wurden, kommen aktuell immer mehr Internet-of-Things-Sensoren (IoT) hinzu, um sämtliche Fahraktivitäten zu erfassen und weiterzuleiten. Dies reicht von der Motorendrehzahl über die Abnutzung der Bremsscheiben bis hin zum Lenkverhalten. Die Möglichkeiten, die die IoT-Sensoren bieten, sollen künftig die Verbreitung des autonomen Fahrens vorantreiben. Im Zuge dessen kommunizieren die Fahrzeuge allerdings nicht nur mit den jeweiligen Herstellern, sondern auch mit ihrer Umwelt beispielsweise im Rahmen der Car-to-Car-Kommunikation. Über die Kommunikation der Autos untereinander hinaus zählt hierzu auch der Austausch mit den Verkehrsleitstellen oder intelligenten Infrastrukturen wie Ampelanlagen und Leitplanken. Da an vielen Orten jedoch noch keine durchgehende Web-Verfügbarkeit gewährleistet werden kann, müssen autonome Fahrzeuge auch ohne Internetverbindung funktionieren. Viele Connected Cars sind daher für den Offline-Modus ausgelegt, damit auch in Gegenden ohne ausreichende Netzanbindung oder fehlender Bandbreite ein sicherer Betrieb gewährleistet werden kann.

Doch egal, ob im On- oder Offline-Modus: Rund um die Uhr werden Fahrzeug- und Nutzungsdaten gesammelt. Dabei wird das Anhäufen von Fahrzeugdaten bereits seit gut 30 Jahren praktiziert und ist daher per se nichts Neues. Neu hingegen ist das Ausmaß, das die Datensammelwut mittlerweile annimmt. Laut dem IoT-Spezialisten Aptiv flirren heutzutage während eines Wimpernschlags ungefähr 15.000 Datenpakete durch das Bordnetz eines Automobils. Wenn im nächsten Jahrzehnt automatisiert fahrende Automobile unterwegs sein werden, soll dieser Datenverkehr gar auf unvorstellbare 100.000 Informationen pro Wimpernschlag steigen.

Dies ist ein Artikel aus unserer Print-Ausgabe 7-8/2018. Bestellen Sie ein kostenfreies Probe-Abo.

Generell gibt es bei Connected Cars verschiedene Datentypen, die sich „grob nach Bewegungs- und Umfelddaten, Zustands- und Verhaltensdaten sowie Komfortdaten unterteilen lassen“, erklärt Richard Goebelt, Bereichsleiter Fahrzeug und Mobilität beim VdTÜV, einem Verband neutraler technischer Dienstleister. Eine gewisse Sonderrolle komme darüber hinaus den gesetzlich vorgegebenen Identifikationsdaten aus dem Notrufsystem eCall (siehe Infokasten) und der Fahrzeugidentifikationsnummer (FIN) zu, die laufend miterfasst und übermittelt werden.

Diese Datenvielfalt zeigt, dass neben dem reinen Fahrbetrieb auch die Fahrer selbst in den Vordergrund rücken. Zum einen bieten die Hersteller eigene Webplattformen und Infotainment-Systeme, über die sich Medien, Navigation oder Kommunikation steuern lassen. Zum anderen können die mittlerweile weit verbreiteten Smartphones per Bluetooth unkompliziert in die Fahrzeugsysteme integriert werden, etwa um die Lieblingsplaylist abzuspielen oder per Sprachassistent E-Mails zu beantworten.

Wem gehören die Daten?

In Verbindung mit der Nutzung von Online-Diensten werden bereits auf kurzen Fahrten zig Daten erhoben. „Wie erwähnt werden dabei neben den reinen Fahrzeugdaten zu Status, Verkehrsfluss, Position, Geschwindigkeit oder Verbrauch zunehmend Informationen über den Fahrer, sein Fahrerprofil oder seine Nutzungsvorlieben wie übliche Fahrtzeiten, Ziele oder Touren erhoben“, berichtet Stefan Ploder, Geschäftsführer bei dem Netzspezialisten Fernao Networks.

Ähnliche Beobachtungen macht Igor Ilunin, Leiter der Internet-of-Things-Abteilung (IoT) bei Dataart. Seiner Erfahrung nach beziehen sich die häufigsten gesammelten Daten auf den Standort, die Analyse des Fahrerverhaltens – z. B. Beschleunigung, Bremsen oder Geschwindigkeit – die Fahrzeugnutzung wie den Kraftstoffverbrauch, oder den Motorstatus. Doch wem gehören diese Daten eigentlich? Den Automobilherstellern oder den Fahrern selbst? Den Betreibern der im Fahrzeug genutzten Internetplattformen oder den Lieferanten der eingebauten IoT- und Software-Komponenten?

Diese Fragen sind alles andere als leicht zu beantworten, auch da noch große juristische Unsicherheit besteht. „Denn nach derzeitiger Rechtslage gibt es weder in Deutschland noch in der EU ein Eigentumsrecht an Daten“, betont Richard Goebelt. Nach aktueller Auffassung der Automobilhersteller gehören ihnen die Daten, die sie für eigene Zwecke weiterverarbeiten dürfen. „Dies ist jedoch ein umstrittener Punkt, der u.a. auf dem Verkehrsgerichtstag der Deutschen Akademie für Verkehrswissenschaft e.V. in Goslar lebhaft diskutiert wurde“, sagt Ploder. In Analogie zur Internetbranche ist die Eigentümerschaft der Daten demnach auch im Automobilumfeld umstritten. Ähnlich wie bei der Nutzung von Apps oder sozialen Netzwerken werden die User ebenfalls dazu aufgefordert, bei der Nutzung von „Mehrwertdiensten“ ihre Eigentümerrechte freiwillig abzutreten. Was viele ohne groß darüber nachzudenken, mit einem einzigen Klick tatsächlich tun.

Will man die Weitergabe persönlicher Informationen vermeiden und Datensparsamkeit hochhalten, bleibt Autofahrern eigentlich nur eines übrig, glaubt Stefan Ploder: „Aktuell können sich die Fahrer nur dann aktiv vor Datensammlungen schützen, indem sie keinerlei Online-Dienste nutzen. Demgegenüber kann die Erhebung der Daten in den Steuergeräten der Fahrzeuge jedoch derzeit nicht eingeschränkt werden.“ Und auch das seitens des Gesetzgebers verpflichtende Notrufsystem eCall lässt sich nicht einfach aushebeln.

So funktioniert der eCall
Neue Automodelle, deren EU-Typgenehmigung nach dem 31.03.2018 erfolgt ist, müssen mit dem automatischen Notrufsystem eCall ausgerüstet sein. Dabei nutzt eCall europaweit Mobilfunk und Satellitenortung, um nach einem Unfall aus dem Auto heraus (automatisch oder manuell) eine Telefonverbindung zur Rufnummer 112 der nächsten Rettungsleitstelle herzustellen. Zusätzlich zur Sprachverbindung überträgt das im Fahrzeug montierte eCall-System Infos zum Unfallort, zur Art der Auslösung und zum Fahrzeug. Löst ein Unfall die Airbags aus, sendet das System automatisch einen Notruf ab. Bei Parkremplern passiert dagegen nichts. Das Notrufsystem kann zudem bei dringenden medizinischen Problemen manuell ausgelöst werden, etwa bei einer Herzattacke.
Quelle: www.adac.de

Als Alternative zum Komplettverzicht von Online-Diensten skizziert Richard Goebelt weitere Möglichkeiten, um die Privatsphäre beim vernetzten Fahren zu wahren. Er fordert, dass die Fahrzeugnutzer transparent nachvollziehen können müssen, welche Daten im Fahrzeug entstehen, gespeichert und übermittelt werden. Zudem müssen sie stets wissen, zu welchem Zweck sie genutzt und an wen welche Daten übertragen werden. „Die Technischen Überwachungsvereine (TÜV) sprechen sich hierbei für die Implementierung von Trustcentern in Form von Datentreuhändern aus, mit denen die Fahrzeugnutzer eine praxisgerechte Lösung erhalten, Zugriff auf die Daten zu nehmen oder diesen anderen per Einwilligung zu gewähren“, skizziert Richard Goebelt ein Szenario.

Datenweitergabe an Dritte

In Zeiten, in denen häufig kolportiert wird, dass Big Data das „Öl des 21. Jahrhunderts“ sei, sollte es nicht verwundern, wenn durch vernetzte Fahrzeuge gesammelte Daten entsprechend lukrativ weiterverwendet werden. Die meisten Connected-Car-Anbieter weisen die Weitergabe personenbezogener Daten allerdings (noch) weit von sich. Allerdings fällt es im Sinne der zunehmenden Datenökonomie schwer zu glauben, dass die Daten immer nur für hehre, eigene Zwecke und allein im Sinne der Nutzer verwendet werden. Auch da die Weitergabe viele neue erträgliche Geschäftsmodelle rund um Connected Cars verspricht. In diesem Zusammenhang bestätigt Igor Ilunin, dass die Nutzung von im Automobil generierten Informationen für unterschiedliche datengesteuerte Unternehmen wie Autowerkstätten, Tankstellen, Betreiber von Elektro-Ladestationen oder Versicherungen einen hohen Wert besitzen.

In der Praxis könnten Aggregatoren von Automobilherstellern und Drittanbietern sowie die Server von Konnektivitätsanbietern die Fahrzeug- und Nutzungsdaten abrufen. Dabei gilt grundsätzlich für alle Parteien: Die Berechtigung für die Verarbeitung und Nutzung sowohl von personen- als auch nicht-personenbezogener Daten ist vertragsrechtlich durch die Datenschutz-Grundverordnung (DSGVO) geregelt. „Aus diesem Grund müssen die Dritten zur Verfügung gestellten Daten anonymisiert werden oder bedürfen der ausdrücklichen Zustimmung des Fahrzeughalters“, so Ilunin. Sollte diese vorliegen, können die Informationen auch mit anderen Daten kombiniert werden, um erweiterte Analysen und Vorhersagen für bestimmte Dienste durchzuführen.

Hacker greifen an

Die zunehmende Durchdringung der Fahrzeuge mit Sensoren und digitalen Technologien tangiert nicht nur Bereiche wie Datenschutz und Privatsphäre, sondern kann auch zu großen Sicherheitsproblemen führen. Wie Stefan Ploder beschreibt, besitzen inzwischen die meisten Fahrzeuge aufgrund von Bluetooth-Zugängen oder eingebauten SIM-Karten eine Verbindung zum Internet. Darüber ablaufende Angriffe auf das Fahrzeug würden die Fahrzeughalter laut Ploder in der Regel nicht bemerken.

Konkrete Einfallstore beschreibt Richard Goebelt: „Ein unberechtigter Zugriff auf das Fahrzeug ist auf verschiedenen Wegen möglich. Beispielsweise werden via Funk die OBD/TCU-Schnittstelle oder das Infotainment System gehackt oder per Nutzerschnittstelle (LAN, USB, Blue-thooth) Schadsoftware mit entsprechenden Funktionen eingeschleust.“ Vor diesem Hintergrund fordert Thorsten Stuke, Mobility Experte im Eco-Verband, höchste Priorität für Sicherheitsfragen. „Wir brauchen Sicherheits- und Vertrauensfunktionen im Sinne von ‚Security by Design’ von Anfang an im Auto. Das heißt, die meisten Sicherheitslösungen müssen ohne Beteiligung der Nutzer funktionieren, diese jedoch unkompliziert einbinden“, fordert Stuke. In diesem Zusammenhang schlägt der TÜV „eine Automotive Security Platform vor, die u. a. eine Trennung von Fahrzeugfunktionen und Infotainment-, Telematik- und Navigationsanwendungen vornimmt und eine hochsichere, verschlüsselte Ende-zu-Ende Datenübertragung vorsieht“, berichtet Richard Goebelt. Außerdem sollen sich die Angriffsszenarien weiter reduzieren lassen, wenn die Hersteller nach der Auslieferung ihrer Fahrzeuge regelmäßig und über den gesamten Lebenszyklus hinweg Sicherheits-Updates zur Behebung von Fehlern ausrollen. Nicht zuletzt würden den Nutzern laut Goebelt auch Zertifizierungslösungen für Datenverarbeitungsverfahren beim vernetzten Fahren in die Karten spielen.

Den Automobilherstellern ist durchaus bewusst, dass sie in Sachen Datenschutz und Sicherheit die Hände nicht untätig in den Schoß legen dürfen. Von daher rüsten sie ordentlich auf und stecken viel Geld in die Entwicklung von Sicherheitssystemen. Dabei berücksichtigt beispielsweise Daimler bei der Weiterentwicklung der Schutzmechanismen die neuesten Erkenntnisse und Veröffentlichungen über kriminelle Methoden sowie über Angriffe auf Sicherheitssysteme.

Zur Gewährleistung von Vertraulichkeit und Integrität für den Zugriff auf Systeme, Fahrzeugdaten und die Benutzerdaten kommen bei Daimler verschiedene IT-Sicherheitsmethoden wie Public-Key-Cryptography, Zertifikatsinfrastrukturen, Firewall-Technologie, Intrusion Detection Systeme oder Virenscanner zum Einsatz. Darüber hinaus nutzt man eigenen Angaben zufolge entsprechende Verschlüsselungsprotokolle (TLS, IPsec, WPA2) gemäß den aktuellen Empfehlungen des Bundesamts der Sicherheit in der Informationstechnologie (BSI).

Absaugen von Fahrzeugdaten verhindern
Laut Igor Ilunin von Dataart gibt es verschiedene Möglichkeiten, um das
unberechtigte Absaugen von Fahrzeug- und Nutzungsdaten zu verhindern:

  • Sicherheits- und Authentifizierungslösungen, die den Kommunikationskanal zwischen Fahrzeug und Anbieter schützen
  • verschlüsselte Datenspeicherung auf Providerseite
  • Berechtigungen und rollenbasierte Zugriffe auf die Daten
  • Um Anomalien in der Datennutzung auszumachen, die auf unberechtigten Zugriff deuten, kann die Verwendung von Datenaufzeichnungen und -prüfprotokollen hilfreich sein.

Bildquelle: Thinkstock/iStock

 

 

©2018Alle Rechte bei MEDIENHAUS Verlag GmbH

Unsere Website verwendet Cookies, um Ihnen den bestmöglichen Service zu bieten. Durch die weitere Nutzung der Seite stimmen Sie der Verwendung zu. Weitere Infos finden Sie in unserer Datenschutzerklärung.

ok