20-5-2016 Gedruckt am 29-05-2017 aus www.monitor.co.at/index.cfm/storyid/16825

„Das Connected Car fährt gegen die Wand“

IT-Security als Crashtest

NTT Com Security warnt einmal mehr vor den hohen Risiken einer veralteten IT-Security in vielen "Connected Cars" . Sie mache es Angreifern viel zu leicht, Fahrzeuge zu manipulieren oder gar zu kapern. Die Fahrer könnten zu Crash Test Dummies werden.

Ohne moderne IT-Security an Bord fährt das vernetzte Auto gegen die Wand. Foto: Euro NCAP (www.euroncap.com/de)

Das "Connected Car" macht Furore: Es wird nicht nur das Autofahren und den Umgang mit Fahrzeugen ganz neu definieren, sondern nach Einschätzung der Analysten von McKinsey auch zum Auslöser einer fundamentalen Neuordnung des weltweiten Automobilmarkts. Mittlerweile sind nämlich alle großen Automobilhersteller in entsprechenden Initiativen aktiv. Umso erstaunlicher ist es nach Auffassung von NTT Com Security, wie wenig Beachtung dabei oftmals das Thema IT-Sicherheit findet, das doch eigentlich ein zentraler Punkt bei der ständigen Verbindung Fahrzeug/Internet sein sollte.
 
„Heute werden in Fahrzeugen zahlreiche IT-Systeme verbaut, die über das Internet kommunizieren, zum Beispiel zum Übermitteln von Telemetriedaten an den Hersteller, zum Updaten von Navigationsinformationen oder auch für E-Mails und Videostreams", sagt René Bader, Practice Manager Secure Application bei NTT Com Security.
 
„Aktuelle Fahrzeuge verfügen zum Teil über mehr als 100 Steuergeräte und haben eine Vielzahl an SIM-Karten fest verbaut, die die Kommunikation mit dem Web für unterschiedliche Aufgaben sicherstellen. Über all diese Systeme ist ein Connected Car aber auch extrem verletzlich. Angreifer können mehr oder weniger kritische Telemetriedaten abgreifen, beispielsweise über das individuelle Fahrverhalten oder über Fahrziele. Wenn nicht von Anfang an eine strikte Trennung der internen Systeme eingeplant wurde, können sie aber auf diese Weise auch direkt die Fahrzeugsysteme manipulieren. Dabei können sie nicht bloß die Klimaanlage steuern, sondern auch in Fahrsicherheitssysteme eingreifen. Es liegt auf der Hand, dass man damit einen enormen Schaden anrichten kann."
 
Die Hersteller setzen seit den 80er-Jahren konsequent auf digitale Fahrzeugsysteme, allerdings sind viele auf dem Stand der damaligen IT-Sicherheitsarchitekturen stehen geblieben. So ist beispielsweise in einigen Systemen weder eine Authentifizierung der Zugriffe noch eine Validierung der übermittelten Daten vorgesehen. „Für die Anforderungen moderner Fahrzeuge, die ständig mit einer offenen Infrastruktur kommunizieren, war diese Architektur natürlich nie gedacht“, erklärt Bader. „Es zeigt sich, dass viele Systeme völlig überfordert sind. In ihrem aktuellen Zustand stellt die IT-Architektur ein systembedingtes Risiko dar, das sich nicht einfach durch Nachbesserungen an der einen oder anderen Stelle ausschalten lässt.“
 
Was nach Ansicht des Security-Experten oft fehlt, ist eine konsistente Architektur, die von vornherein über die entsprechenden Sicherheits-Layer verfügt, also eine Architektur, in der IT-Sicherheit ein Basisbaustein der Fahrzeugentwicklung ist. Neue Player im Automobilmarkt wie Tesla haben es hier einfacher – sie können ein Fahrzeug mit entsprechender Architektur von Grund auf neu konzipieren, und dabei auch die Security-Anforderungen berücksichtigen.
 
„Als erster Schritt wäre ein verbindlicher, herstellerübergreifender Standard notwendig. NTT Com Security arbeitet hier bereits an Lösungen und Architekturvorgaben, die gemeinsam mit den Herstellern und Zulieferern entwickelt werden. Hier muss jedoch dringend weitergearbeitet werden, wenn das Connected Car nicht hinsichtlich der IT-Sicherheit gegen die Wand fahren soll."
 

Schon heute kommunizieren moderne Fahrzeuge ständig mit dem Internet. Bild: Euro NCAP (www.euroncap.com/de)