„Die Verantwortung für die Absicherung von Fahrzeugen gegen Cyberangriffe ist dem Fahrzeughersteller zugewiesen“ – erklärt Experte Prof. Dr. Michael Zohner

Digitalisierung und Vernetzung schreiten voran − auch in der Mobilität. Autos werden zu rollenden Computern auf vier Rädern, die mit anderen Fahrzeugen und der Verkehrsinfrastruktur vernetzt sind und kommunizieren, und die autonom Menschen und Güter von A nach B befördern können. Welche Gefahren drohen durch Cyberangriffe auf Autos und wie können Industrie und Verkehrsteilnehmende den Gefahren begegnen? Der HOLM-Blog hat Professor Dr. Michael Zohner von der Hochschule Fulda um eine Einschätzung gebeten.

‍

‍

HOLM-Blog: Herr Professor Zohner, wie groß ist denn die Gefahr im Auto, Angriffen im Cyberraum ausgesetzt zu werden?

Prof. Dr. Michael Zohner: Seit etwa einem Jahrzehnt beobachten wir eine zunehmende Gefährdung durch Cyberangriffe auf Fahrzeuge. Während ein Angreifer früher nur ein einzelnes Fahrzeug durch physische Manipulation beeinflussen konnte, ist es heute möglich, weltweit von einem Rechner aus ganze Fahrzeugflotten oder Fahrzeuge eines bestimmten Modells anzugreifen.

HOLM-Blog: Mit welchen Angriffsszenarien ist zu rechnen? 

Prof. Dr. Michael Zohner: In der IT-Sicherheit werden erfolgreiche Angriffsstrategien oft auf andere Technologien übertragen. So sind beispielsweise Ransomware-Angriffe auch auf Fahrzeuge denkbar. Bei diesen Angriffen werden Daten vom Angreifer verschlüsselt oder mit deren Löschung gedroht und ein Lösegeld gefordert. Die dabei eingesetzten Drohungen können von der Deaktivierung des Fahrzeugs über die Herausgabe von personenbezogenen Daten (etwa die angefahrenen Ziele der letzten Monate) bis hin zur vollständigen Übernahme der Steuerung durch den Angreifer reichen. 

HOLM-Blog: Gab es schon konkrete Fälle von Angriffen auf Fahrzeuge? 

Prof. Dr. Michael Zohner: Die Machbarkeit dieser Angriffe wurde bisher nur durch wissenschaftliche Arbeiten oder ethische Hackerinnen und Hacker demonstriert. Der wohl bekannteste Fall, der ein Umdenken in der Automobilindustrie auslöste, ereignete sich 2015. Zwei Experten konnten zeigten, dass sie einen Jeep Cherokee von ihrem Laptop aus über das Internet fernsteuern konnten [1]. Im vergangenen Jahr wurden auf dem 38. Chaos Computer Congress Einblicke in die Privatsphäre von Fahrerinnen und Fahrern präsentiert. Dort wurde eine Schwachstelle in der VW-Infrastruktur offengelegt, die den Zugriff auf die gesammelten Positionsdaten hunderttausender VW-Fahrzeuge über das Internet ermöglichte [2]. 

Kriminelle Angriffe betreffen derzeit den Diebstahl von Fahrzeugen, indem beispielsweise Schwachstellen in Funkschlüsselsystemen ausgenutzt werden. Aber auch Beschädigungen von Fahrzeugen über Ladestationen für Elektroautos sind bekannt.  

‍

‍

HOLM-Blog: Was könnten die Fahrzeughersteller unternehmen, um das Risiko von Cyberangriffen zu minimieren?

Prof. Dr. Michael Zohner: Für Fahrzeughersteller ist der Grundsatz „Security and Privacy by Design“ von zentraler Bedeutung. Er besagt, dass Sicherheit und Privatsphäre bereits in der Designphase berücksichtigt und für den gesamten Lebenszeitraum des Geräts, von der Entwicklung bis zur Demontage, gewährleistet werden müssen. Zudem muss sichergestellt werden, dass die Themen Sicherheit und Privatsphäre während der Entwicklung einen hohen Stellenwert einnehmen und die notwendigen Ressourcen dafür bereitgestellt werden.

HOLM-Blog: Können Sie uns ein Beispiel für die Entwicklung nach dem Grundsatz „Security and Privacy by Design“ geben?

Prof. Dr. Michael Zohner: Nehmen wir zum Beispiel die Entwicklung einer App in der persönliche Daten der Nutzer gespeichert werden. Geschieht dies von vornherein unverschlüsselt und Daten werden versehentlich oder auch missbräuchlich eingesehen oder verwendet, kann das auch für den Hersteller negative Folgen haben. Es drohen hohe Strafen aufgrund der DSGVO und nicht zuletzt ein Imageschaden, wenn öffentlich wird, dass die Daten nur unzureichend geschützt waren. Die nachträgliche Absicherung einer Anwendung ist in aller Regel mit hohen Kosten und Aufwand verbunden und oft noch fehleranfällig. Anders bei S&P by Design: Wird die App von Anfang an mit einer Ende-zu-Ende Verschlüsselung entwickelt, so können nur die berechtigten Nutzer die Daten verwenden. Datenschutz und Sicherheit vor Angriffen sind State of the Art. Zudem spart man Entwicklungszeit, da alle zukünftigen Designentscheidungen auf die Ende-zu-Ende Verschlüsselung ausgelegt sind.

HOLM-Blog: Inwieweit sind dabei die Entwicklung und Einhaltung von Standards von Bedeutung?

Prof. Dr. Michael Zohner: Die Entwicklung von Fahrzeugen ist ein komplexes Zusammenspiel hunderter Unternehmen. Fehler in der Entwicklung eines einzelnen Bauteils können die Gesamtsicherheit des Fahrzeugs beeinträchtigen. Darum muss sichergestellt werden, dass Hersteller das geforderte Sicherheitsniveau für ihr spezielles Bauteil verstehen und geeignete Maßnahmen ergreifen, um es einzuhalten. Hierfür sind Standards, wie der ISO/SAE 21434 „Road vehicles – Cybersecurity engineering“ aus dem Jahr 2021 unerlässlich. Sie regeln das Zusammenspiel zwischen Zulieferern und Fahrzeugherstellern und definieren ein einheitliches Sicherheitsniveau.

HOLM-Blog: Was können Fahrerinnen und Fahrer in der Praxis selbst unternehmen, um sich zu schützen?

Prof. Dr. Michael Zohner: Fahrerinnen und Fahrer sollen sich über die Datenerhebung ihres Fahrzeugs informieren und diese, soweit möglich, an ihre Bedürfnisse anpassen. Bei Funkschlüsselsystemen, insbesondere solchen, die keinen Tastendruck zur Interaktion benötigen, empfiehlt es sich diese Funktion zu deaktivieren, wenn sie nicht benötigt wird. Andernfalls können spezielle Hüllen oder Beutel genutzt werden, um die Funksignale der Schlüssel gegen ungewollte Ausnutzung zu blockieren. Für Neuwagen mit Over-the-Air-Update [d. h. eine Softwareaktualisierung über WLAN oder Mobilfunknetz] empfiehlt es sich regelmäßig zu prüfen, ob die Software des Fahrzeugs auf dem neusten Stand ist. 

‍

‍

HOLM-Blog: Wer trägt die Verantwortung für den Schutz und die Sicherheit der Daten?

Prof. Dr. Michael Zohner: Die Verantwortung für die Absicherung von Fahrzeugen gegen Cyberangriffe ist bereits gesetzlich geregelt und dem Fahrzeughersteller zugewiesen. Um ein Fahrzeug auf dem europäischen Markt zuzulassen, muss der Fahrzeughersteller nachweisen, dass die Entwicklung des Fahrzeugs und der entsprechenden Steuergeräte nach dem ISO/SAE 21434 Standard erfolgt ist. Zusätzlich regelt die DSGVO [Datenschutz-Grundverordnung − Anmerkung der Redaktion], dass bei besonders fahrlässigem Handeln eine Haftung für den Verlust privater Daten besteht. Auch in Zukunft müssen Fahrzeughersteller in die Pflicht genommen werden, da nur sie ihre Systeme in einem Maße kennen, das eine sichere Entwicklung und einen geschützten Betrieb ermöglicht.

HOLM-Blog: Die Zukunft mit autonom fahrenden Fahrzeugen bringt sicher neue Herausforderungen mit sich. Im Projekt „Campus FreeCity“ wurden verschiedene Aspekte eines zukünftigen Ökosystems einer vernetzten, automatisierten Mobilität untersucht. Was sind die wichtigsten Erkenntnisse und Anforderungen im Hinblick auf Cybersicherheit?

Prof. Dr. Michael Zohner: Im Projekt „Campus FreeCity“ wurde der EDAG CityBot unter realen Bedingungen erprobt. Dabei handelt es sich um ein modulares Fahrzeugsystem, das für verschiedene Aufgaben in einer Smart City eingesetzt werden kann: von der Personenbeförderung über die Bewässerung von Grünanlagen bis hin zur Abfallbeseitigung. 

Aus Sicht der Cybersicherheit ist der EDAG CityBot insbesondere aufgrund seiner Flexibilität und Modularität von Interesse. Im Gegensatz zu klassischen Fahrzeugen, deren Aufbau und Steuergeräte von der Produktion bis zur Demontage unverändert bleiben, kann sich der Aufbau des EDAG CityBot täglich mehrfach verändern, um sich an die Aufgaben einer Smart City anzupassen. Diese dynamische Struktur hat gravierende Auswirkungen auf die Sicherheitsarchitektur, die, anders als bei klassischen Fahrzeugen, nicht mehr statisch ausgelegt werden kann. Daraus ergeben sich besondere Herausforderungen, insbesondere beim Austausch von Schlüsseln zur sicheren Kommunikation sowie bei der Überprüfung, ob die Komponenten des EDAG CityBot durch einen Angreifer manipuliert wurde.

‍

‍

HOLM-Blog: Stichwort „künstliche Intelligenz” (KI): Welche Rolle spielt sie beim Thema Cyber Security?

Prof. Dr. Michael Zohner: Die Rolle von KI in der IT-Sicherheit kann auf verschiedene Weisen betrachtet werden. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) unterscheidet dabei zwischen IT-Sicherheit für KI (wie können KI-Systeme angegriffen werden), IT-Sicherheit durch KI (wie können KI-Systeme die IT-Sicherheit steigern) und Angriffe durch KI (neue Bedrohungen durch KI-Methoden) [3]. 

Im Bereich der IT-Sicherheit für KI existieren einige Herausforderungen, da moderne KI-Systeme, wie sie beispielsweise bei der Erkennung von Verkehrsschildern oder Fahrbahnmarkierungen eingesetzt werden, anfällig für gezielte Veränderungen sind, die eine Missinterpretation zur Folge haben. Forschende demonstrierten beispielweise, dass Stop-Schilder durch gezielte Manipulation nachts nicht mehr durch KI-Systeme zur Verkehrsschilderkennung erkannt werden [4]. 

Im Bereich IT-Sicherheit durch KI gibt es derzeit einige aktive Forschung, wie KI zur Analyse großer Mengen an Log-Daten [Protokolldateien, die IT-Systeme speichern] zur Erkennung von Angriffen sowie zur Unterstützung bei der Entwicklung sicherer Software eingesetzt werden kann. 

Im Bereich der Angriffe durch KI hat sich gezeigt, dass Angreifer leichter täuschend echte Nachrichten verfassen oder Videos und Stimmen von Personen imitieren können, also so genannt Deep Fakes. Zudem senkt KI die Einstiegshürde für Angriffe und steigert die Produktivität von Angreifern. Allerdings sind derzeit keine neuen technischen Angriffe bekannt, die nun durch KI möglich werden.

HOLM-Blog: Vielen Dank für das Gespräch.