Wettlauf um die Sicherheit

München. Die Autoindustrie gerät ins Visier von Hackern. Aufsehen erregten zuletzt vor allem die beiden Stars der Szene, Chris Valasek und Charlie Miller, die mit ihrem Jeep-Cherokee-Hack den Fiat-Chrysler-Konzern herausforderten. Wegen der Sicherheitslücke mussten daraufhin 1,4 Millionen SUVs zurückgerufen werden. Hacker Samy Kamkar verschaffte sich zudem über eine Handy-App Zugang zu einem Chevrolet Volt aus dem GM-Konzern.

Beide Hacks wurden kurz vor den drei wichtigsten Hacker-Treffen öffentlich, die immer im August in Las Vegas stattfinden: BSides, Black Hat und DefCon. In diesem Jahr kamen nicht nur Datenpiraten und Sicherheitsexperten, sondern auch Automanager, die von Präsentationen wie „So hackt man ein Tesla Model S“ auf der DefCon angezogen werden.

Unklar ist oftmals die Motivation der Hacker. Wollen sie Hersteller auf Schwachstellen hinweisen? Oder sind sie lediglich auf Applaus aus der Szene aus? „Unter Hackern ist es ein Wettstreit, als Erster die nächste Sicherheitsarchitektur zu knacken“, sagt Sebastian Schreiber, der mit professionellem Hacking sein Geld verdient. Mit seiner Firma Syss führt er Sicherheitstests für Unternehmen durch und deckt Lücken vorzeitig auf. „Die Vernetzung im Auto wird stärker, offene Flanken gibt es immer öfter, und genau die wollen Hacker finden“, sagt Schreiber. Wie verwundbar neue Fahrzeuge sind, zeigen Zahlen des VDA: Gut 80 Prozent der Neuwagen werden schon 2016 mit dem Internet verbunden sein.

Die Hersteller betreiben nach eigenen Angaben große Anstrengungen für eine sichere Vernetzung ohne Lücken im System. Fast alle beschäftigen Experten, die mit Hackermethoden Software prüfen. Und sie beteuern, sicherheitskritische Bereiche von Systemen wie dem Infotainment zu trennen. „Wir entwickeln unsere Systeme so, dass sie – durch interne und externe Experten geprüft – auf dem aktuellsten Stand sind. Aber: Eine 100-prozentige Sicherheit gibt es nicht “, so ein Daimler-Sprecher.

Dass es absolute Sicherheit nicht gibt, zeigten Miller und Valasek nach monatelanger Vorbereitung. Sie fanden die Lücke im Unterhaltungssystem des Jeep. Über die Internetverbindung konnten sie bis zur Steuerung des Wagens vordringen und ihn fernsteuern.

„Sicherheit ist eine Frage des Niveaus“, sagt Schreiber. Das Niveau bei Autos ist so hoch, dass nicht jeder mit einfachen Handgriffen ein Auto außer Gefecht setzen kann. „Darum ist für Auto-Autodiebe die Methode Hacking extrem unattraktiv.“ Realistisch sei aber die Gefahr von Erpressungen von Herstellern oder Kommunen. „Hätten Terroristen oder kriminelle Datenpiraten die Lücke im Jeep entdeckt, wären weitaus schlimmere Szenarien denkbar: Ein Täter könnte Autos zum Anhalten zwingen und würde Straßen mit lahmgelegten Autos verstopfen. Auf solche reale Bedrohungen sind wir derzeit nicht vorbereitet“, so Schreiber. „Der Imageschaden für Fiat-Chrysler und der Rückruf der 1,4 Millionen Fahrzeuge ist im Vergleich dazu unerheblich.“

Spätestens seit Hacker im Januar für den ADAC eine Sicherheitslücke bei BMW aufgedeckt haben, müsste den Herstellern klar sein: Sie müssen mit großer Sorgfalt ihre Systeme immer auf dem neuesten Stand halten.