Vernetzte Autos sind bei BMW keine Zukunftsmusik. Die Münchner Nobelmarke bietet seit langem das System Connected Drive an. Nun hat der deutsche Automobilclub ADAC bei BMW-Pkws mit dem System Connected Drive gravierende Sicherheitslücken festgestellt. Die Funktionen zum Entriegeln sowie zum Steuern der Heizung seien bei Autos mit dem System über Jahre unzureichend gegen Hackerangriffe geschützt gewesen.

Laut Eigenangaben von BMW sind weltweit 2,2 Millionen Fahrzeuge der Marken BMW, Mini und Rolls-Royce betroffen, die seit 2010 mit Connected Drive ausgeliefert wurden.

Fehlende Verschlüsselung

Connected Drive vernetzt Fahrzeuge mit BMW über ein eingebautes Mobilfunkmodul. Das ermöglicht neben Internetfunktionen die Übertragung von Servicedaten sowie die Bedienung von Heizung, Türverriegelung und Klimaanlage via Smartphone-App. Genau diese Funktionen waren betroffen, denn anders als etwa der Internetzugang war dieses System weniger geschützt. Diese Verschlüsselung habe man inzwischen angepasst, hieß es von BMW. Nun übertragen auch diese Systeme die Daten über eine geschützte https-Verbindung, wie etwa beim Onlinebanking.

Zufällig gefunden

Der Autoclub hatte das Schlupfloch zufällig gefunden. "Wir haben gar nicht nach Sicherheitslücken gesucht. Wir wollten vor allem wissen, was für Daten solche Autos übertragen", sagte ADAC-Technikexperte Arnulf Thiemel. "Um das herauszufinden, hat unser Mobilfunkexperte das Steuergerät des Fahrzeugs angeschaut. Dort haben wir die Lücke gefunden." Mit der nötigen Ausrüstung sei das Fahrzeug dann in wenigen Minuten geöffnet worden.

"Der technische Aufwand, um das Auto mit diesem Wissen zu öffnen, ist überschaubar. Es ist Hardware im Wert von unter 1.000 Euro nötig und eine frei verfügbare Software", sagte Thiemel. Allerdings: Für einen Autodieb dürfte das Verfahren erheblich mehr Aufwand bedeuten, als das Fahrzeug mechanisch zu öffnen.

Verschlüsselung wird aktiviert

BMW will das Problem nach eigenen Angaben bis zum 31. Jänner durch Einschalten einer Verschlüsselung der Kommunikation mit dem Fahrzeug beseitigt haben. Bisher liegen keine Erkenntnisse darüber vor, dass das Problem für Straftaten wie Einbrüche oder Diebstähle genutzt wurde.

Für das Schließen der Sicherheitslücke sind kein Werkstattbesuch und kein Teiletausch erforderlich, da das Einschalten der Verschlüsselung laut BMW seit dem 8. Dezember im Hintergrund über Mobilfunk erfolgt.

Der ADAC hat folgende Lücken gefunden:

Remote Services: unberechtigtes Ausführen von Fernfunktionen, zum Beispiel Türöffnen.
Last State Call: Auskundschaften von Fahrzeugstandort und Verriegelungszustand.
Real Time Traffic Informations (RTTI): Mitlesen aktueller Fahrzeugstandorte und zum Beispiel gefahrener Geschwindigkeiten, Tracking von Fahrzeugen.
Intelligenter Notruf: Im Steuergerät hinterlegte Rufnummern, zum Beispiel für Notrufe, können verändert werden.
BMW Online: Mitlesen von privaten E-Mails.

Der ADAC forderte die Automobilhersteller auf, Computertechnik im Auto zeitgemäß gegen Manipulation und andere illegale Zugriffe zu schützen. (APA, sum, 30.1.2015)