Cybersecurity im Auto: "Keine App ist sicher"

Mehr Software im Auto bedeutet auch mehr Apps im Auto. Hersteller bieten zunehmend den Download von Drittanbieter-Apps an – wie beispielsweise Mercedes-Benz. Apps wie TikTok, Whatsapp oder auch das Spiel „Agry Birds“ können über den Screen im Auto angesteuert werden. Das Zeitalter des softwaredefinierten Fahrzeugs (SDV) hat auch hier längst begonnen.

Auch Zahlen belegen diesen Trend: Hatte der SDV-Markt 2022 noch ein Volumen von 35,8 Milliarden US-Dollar, soll er laut Global Market Insights im Jahr 2032 bereits 249,8 Milliarden US-Dollar schwer sein.

Doch, wo Software-Innovation passiert, sind Hacker nicht weit. Sie suchen sich diverse Einfalltore in den Automobilkosmos, sei es über Car2X-Schnittstellen, über das WLAN, über Notrufsysteme, über den Schlüssel oder – und das wird mit mehr Software ein stetig wachsender Bereich – über Apps.

„So, wie der Software-Anteil in Fahrzeugen wächst, steigt auch das Risiko, dass diese Software genutzt wird, um in die Fahrzeuge einzudringen“, sagt Sebastian Schreiber. Er ist IT-Sicherheitsexperte und professioneller Hacker.

Mit seiner Firma Syss führt er sogenannte Penetrationstests durch – er prüft Software und IT-Systeme auf Lecks, bevor Hacker sie finden. Diverse Unternehmen, auch aus der Autoindustrie, sind seine Kunden.

„Eine Gefahr von Cyberangriffen in Autos über Apps ist noch Zukunftsmusik, aber die Entwicklung ist nicht aufzuhalten. Sie wird kommen, weil der Software-Anteil und somit auch die Anzahl der Apps im Auto stetig steigt“, sagt Schreiber.

Was passieren kann, ist leicht zu sagen: Hacker machen Jagd auf personenbezogene Daten, die für Stalking oder Diebstahl genutzt werden können, sie stehlen Kreditkartendaten oder spielen hartnäckige Werbesoftware auf, die die Leistung der Systeme beeinträchtigen und den Fahrer ablenken kann. Das wieder kann zu Unfällen führen. Apps können zudem als Trojaner fungieren, also einen „Hintertür“-Zugang für weitere schädliche Aktivitäten bieten.

Zunächst, so Schreiber, gebe es über Apps keinen direkten Zugang auf sicherheitsrelevante Systeme. „Cyberangriffe funktionieren in der Regel nie auf direktem Weg. Aber wenn Hacker erstmal im System drin sind, finden sie Wege, um Schaden anzurichten.“

BMW und Mercedes-Benz reagieren selbstbewusst auf die Nachfrage nach der Cybersicherheit von Apps in ihren Fahrzeugen: „Apps, die via „Apple Carplay“ und „Android Auto“ im Fahrzeug genutzt werden, sind zertifiziert und somit sicher. Genauso wie unsere eigenen BMW-Apps, die einem sehr hohen Sicherheitsstandard unterliegen“, sagt ein Sprecher. Zudem könnten Nutzer keine unautorisierten Apps auf die Oberfläche laden.

Ähnliches sagt auch eine Mercedes-Sprecherin. Zudem erläutert sie, dass der Mercedes-App-Store mit Android als Basis-Betriebssystem auf die Android-Sicherheitsstandards zurückgreift. Dazu hat das Unternehmen eine sogenannte „Sandbox“ installiert, die Schutz vor Angriffen durch Hacker nach innen und außen bieten soll.

Schreiber aber relativiert die Annahme, dass Android und Apple eine sichere Umgebung liefern: „Keine App, kein Software-System ist sicher. Weder Apple noch Android garantieren, dass die Apps in ihren Stores sicher sind“, so der Experte. „Das ist der Wunsch der Autohersteller, aber es ist nicht wahr.“

Die Hersteller und Zulieferer tun natürlich viel, um ihre Fahrzeuge vor Angriffen zu schützen. So arbeitet Mercedes bei Drittanbieter-Apps mit der Plattform Faurecia Aptoide zusammen. Darüber hinaus durchlaufen alle Apps, die im Mercedes-Benz eigenen App-Store verfügbar sind, einen strengen Prüfprozess mit Sicherheitsüberprüfungen, Funktionstests und eine Validierung durch Experten.

„Nur Apps, die diesen Prozess erfolgreich durchlaufen, kommen in die engere Auswahl und werden für unsere Nutzer freigegeben“, sagt eine Sprecherin.

Generell versuche man, Cyberangriffe "proaktiv zu verhindern" – was so viel heißt, dass Mercedes den Anspruch hat, mit seinen Sicherheitsstandards den Hackern immer mindestens einen Schritt voraus zu sein.