Connected Drive

ADAC deckt IT-Sicherheitslücke bei 2,2 Millionen BMW auf

Rund 2,2 Millionen Fahrzeuge weltweit, die seit 2010 von BMW mit dem System Connected Drive ausgestattet wurden, haben eine Sicherheitslücke. BMW will die Lücke bis morgen schließen.

Dienstag, 3. Februar 2015, 16.24 Uhr

München. Der ADAC hat beim Vernetzungs-System von BMW Connected Drive eine IT-Sicherheitslücke aufgedeckt. Wie der Club der Automobilwoche bestätigte, können die betroffenen BMWs über die Connected-Drive-App auf dem Smartphone geöffnet werden. Laut BMW sind weltweit rund 2,2 Millionen Autos betroffen, in Deutschland sind es rund 423.000 Autos der Marken BMW, Mini und Rolls-Royce. All diese Fahrzeuge wurden seit März 2010 mit Connected Drive ausgestattet. Der Münchner Hersteller hat laut ADAC angekündigt, dieses Problem bis morgen, 31. Januar, bei allen betroffenen Fahrzeugen zu beheben.

Lesen Sie hier: BMW-Patzer schürt Angst vor Hackerangriffen auf Autos

Das Öffnen der Fahrzeuge über die App läuft in Minutenschnelle und hinterlässt keine Spuren. Der ADAC konnte dies an mehreren Fahrzeugen nachweisen. Seit dem 8. Dezember 2014 ist BMW nun dabei, die Sicherheitslücke durch eine Verschlüsselung der Kommunikation zwischen Smartphone und Fahrzeug zu beseitigen.

Zum technischen Hintergrund: Die fest verbaute SIM-Karte in den Fahrzeugen garantiert einen Datenaustausch zwischen Hersteller und Auto. Will nun der registrierte Halter des Fahrzeugs selbst Befehle über die App an das Auto senden, sollten diese Befehle immer über den Hersteller als "Mann in der Mitte" laufen und weiter an das Auto weitergesendet werden. "Somit verspricht sich BMW, dass er die Befehle, die vom Fahrer kommen, prüfen und autorisieren kann", sagt Arnulf Thiemel, technischer Berater der ADAC-Fahrzeugtechnik, zur Automobilwoche.

Das Team um Thiemel schaffte es, den Hersteller in der Mitte dieser Informationskette zu übergehen. "Außerdem war die Öffnung der Autos nicht kompliziert, weil die Code-Nummer bei allen Fahrzeugen identisch war und BMW die Verbindung zwischen Auto und Smartphone des Halters nicht verschlüsselt hat", so Thiemel. "Jetzt gibt BMW an, dass all diese Verbindungen ab morgen verschlüsselt sind."

BMW ConnectedDrive:

Unter dem Markennamen ConnectedDrive fasst der Autobauer BMW eine Reihe von Funktionen für die Vernetzung von Fahrzeugen mit dem Internet zusammen. Ein zentraler Baustein ist eine fest eingebaute SIM-Karte, über die das Auto mit dem Netz verbunden ist. Damit ist etwa das Surfen im Internet möglich, das Abrufen von Verkehrsinformationen, aber auch die Steuerung von Fahrzeugfunktionen über eine Smartphone-App. So kann der Besitzer etwa via Handy die Heizung regeln oder die Türen entriegeln. Das System kann aber auch Fahrzeugdaten an BMW übertragen, so dass eine Werkstatt ihren Kunden eigenständig Service-Termine anbieten kann. (dpa/swi)

ADAC fordert von den Herstellern eine zeitgemäße IT-Sicherung der Autos

Ab März 2010 wurden die Autos mit Connected Drive ausgestattet. "Damals noch war eine http-Verschlüsselung ausreichend. Das ist sie jetzt allerdings nicht mehr", sagt eine BMW-Sprecherin zur Automobilwoche. "Bis morgen haben wir alle 2,2 Millionen Fahrzeuge durch eine kleine Konfigurationsänderung mit einer https-Verschlüsselung versehen."

BMW-Halter selbst können über zwei Wege erkennen, ob ihr Auto mit der neuen Verschlüsselung versehen wurde. Zum einen informiert sie die BMW-Hotline, die in diesen Tagen verstärkt besetzt ist (Hotline: +49 89 1250 160 10). Zum anderen können die Halter manuell nach einem neuen Connected-Drive-Update suchen und es installieren.

Aus diesem Grund fordert der Automobilclub auch die Hersteller auf, die Computertechnik im Auto zeitgemäß gegen Manipulation oder andere illegale Zugriffe zu schützen. Dieser Schutz muss nach Standards erfolgen, wie sie in anderen Wirtschaftszweigen, beispielsweise in der IT-Branche, üblich sind. Außerdem muss dieser Schutz von neutraler Stelle bestätigt werden, wie durch das Bundesamt für Sicherheit in der Informationstechnik (BSI) in Bonn.

„Als verantwortungsbewusster Verbraucherschützer haben wir mit der Veröffentlichung dieser Sicherheitslücke gewartet, bis sie laut Hersteller geschlossen wurde, um hier keine kriminellen Nachahmer auf den Plan zu rufen“, so der ADAC-Vizepräsident für Technik, Thomas Burkhardt. Bisher liegen dem ADAC auch keine Erkenntnisse darüber vor, dass die Problematik für Straftaten wie Einbrüche oder Diebstähle genutzt wurde.