Autos von Volkswagen und Audi per WLAN gehackt - Fahrer in Gefahr?

Seit einigen Jahren wird auch bei Autos immer mehr auf Vernetzung gesetzt. Dass durch den gesteigerten Comfort teilweise auch Sicherheitslücken entstehen, haben nun Sicherheitsexperten der niederländischen Firma Computest erneut gezeigt. Den Forschern gelang es über die WLAN-Verbindung des Infotainment-Systems einiger Volkswagen und Audi-Modelle Root-Zugriff auf den Zentralrechner der Autos zu erlangen. Die dabei infiltrierten Systeme kommen vom auf Audio- und Navigationssysteme spezialisierten Zulieferer Harman. Laut dem Bericht der Experten war so sogar eine Kommunikation mit dem Control Area Network (CAN) also der zentralen Steuereinheit des Autos möglich.

Während ihrer Untersuchung wurde die Sicherheitslücken sowohl im im WLAN-fähigen "Modularen Infotainmentbaukasten" (MIB) des Golf GTE als auch des Audi A3 Sportback e-tron jeweils aus dem Baujahr 2015 gefunden. Das verbaute Harman-System hat umfangreiche Funktionen. Über das sogenannte „MMX Board“ (Multi-Media eXtension) kann es das Navigationssystem kontrollieren und steuern welche Informationen auf dem Display angezeigt werden. Außerdem hat es Zugriff auf die "Radio Car Control Unit" (RCC), die es wiederum die Kommunikation mit dem CAN ermöglicht und den Radioempfang kontrolliert. Wie genau der Zugriff erfolgte ist nicht bekannt. Die Forscher erklärten lediglich das WLAN und Telnet genutzt wurden um mit Hilfe „gängiger Hackertricks“ in das System einzubrechen.

Zum Schutz der Fahrer keine Details veröffentlicht

Um die Besitzer der Autos im Straßenverkehr keiner unnötigen Gefahr auszusetzen wurden im nun veröffentlichten Forschungspapier die Details des Hacks nicht veröffentlicht. Es wäre sonst möglich, dass Hacker die Kommunikation des Fahrers die über das Infotainment- und Navigationssystem abgewickelt wird abhören. Außerdem könnten sie das Mikrofon beliebig deaktivieren und auch das Adressbuch sowie die gespeicherten Daten zu erfolgten Gesprächen abrufen.

Das ausnutzen der Sicherheitslücke erlaubt es auch über die Navigationskomponenten nachzuvollziehen welche Strecke der Fahrer zurückgelegt hat und was sein aktuelles Ziel ist. Möglicherweise können über das MIB aber auch auf sensiblere Komponenten wie das Beschleunigungs- oder Bremssystem zugegriffen werden. Laut den Sicherheitsforscher haben sie jedoch nicht versucht auf diese Systeme zuzugreifen, um die "geistige Eigentumsrechte" das Volkwagen Konzerns nicht zu verletzten.

Untersuchungsergebnisse mit Volkswagen geteilt

Während ihrer Untersuchung fanden die Computest-Experten weitere Sicherheitslücken in der USB-Schnittstelle die sich hinter der Instrumententafel befindet. Eigentlich dient der USB-Port lediglich der Fehlerkontrolle oder zum Anschluss von Smartphones. Die Ergebnisse der Untersuchung teilte das Unternehmen im Juli 2017 dem Volkswagen Konzern mit.

Laut einem Bericht der Forscher erweckten die Vertreter der Automobilindustrie während des Treffens den Eindruck, dass sie bisher noch nichts von der Sicherheitslücke und dem Angriffsvektor wussten. Erschreckend ist, dass es scheinbar keinen Sicherheitstest des MIB gab, obwohl das System in mehreren Millionen Autos verbaut wurde. Volkswagen bedankte sich in einem von Computest veröffentlichten Schreiben für die "professionelle Kooperation" und die ausreichende Reaktionszeit, bevor das Forschungspaper über die Sicherheitslücke veröffentlicht wurde. Außerdem sindd laut dem Brief von Volkswagen die offenen Schnittstellen im Infotainment-System bereit seit Mitte 2016 geschlossen.

Laut einem Bericht der Webseite "Bleeping Computer" gehen die Sicherheitsexperten jedoch nicht davon aus, dass alle Sicherheitslücken behoben wurden. Außerdem ist fraglich was mit Fahrzeugen passiert die vor 2016 auf die Straße kamen und so prinzipiell angreifbar sind. Die Aktualisierung des Systems ist aus der Ferne nicht möglich und müsste daher per kostenintensivem Rückruf lokal in einer Werkstatt erfolgen. Volkswagen hat bisher keine Stellungnahme zur Anzahl der betroffenen Fahrzeuge abgegeben. Auch ob und wann die Fahrzeuge die neue Softwareversion erhalten sollen ist offen.