Autoindustrie braucht die guten Hacker

Alles hat eine gute und eine schlechte Seite - selbst die Telematik-Box im Auto. Das unscheinbare Kästchen in der Größe eines Taschenbuchs ist umhüllt von einem Kunststoffgehäuse und wird im Motorraum teurer Autos verbaut. Dieses Steuergerät kostet nicht mehr als die rund 60 anderen. Doch seine Funktionen sind neu, und in den Genuss von Neuentwicklungen kommen Käufer von Premium-Fahrzeugen zuerst. Bei einem Unfall setzt die Box automatisch einen Notruf ab, im Falle eines Diebstahls kann das Auto via GPS geortet und vom Hersteller lahm gelegt werden. Über Mobilfunk lassen sich außerdem elektronische Probleme diagnostizieren und beheben, falls das Fahrzeug liegen bleibt. Retten, helfen, finden. Das sind die guten Seiten der Telematik-Box.

Mirko Lange sucht ihre Schattenseiten. Im Auftrag eines Automobilherstellers schlüpft er in die Rolle eines Hackers. "Ich versuche das Sicherheitssystem zu knacken, in die Box einzudringen, um ihre Funktionen zu verändern." Die Kehrseite des Diebstahlschutzes: Terroristen können den Aufenthaltsort von Politikern oder Managern orten. Lebensgefährlich wird es dann, wenn über den Mobilfunk beispielsweise die Bremsanlage ausgeschaltet wird. Das ist Wissenschaftlern der Universität Washington in diesem Jahr gelungen. Menschen wie Lange versuchen, solche Angriffe zu vereiteln. Der 30-jährige Informatiker kümmert sich um IT-Security im Auto. "Spezielles Informatikwissen ist dafür nicht notwendig", sagt er, "weil etablierte Anwendungen wie Verschlüsselungstechnologien oder Standard-Softwaresprachen genutzt werden". Spezialisten gibt es ohnehin nur ganz wenige, denn der Studiengang IT-Sicherheit an der Ruhr Universität Bochum ist einmalig in Deutschland.

Im Auto: Je mehr Schnittstellen, desto größer die Bedrohung

Immer mehr Computer und Software im Auto sind die logische Konsequenz für zunehmende Angriffsmöglichkeiten von Hackern. Unerlaubte Eingriffe in das Fahrzeug gibt es schon lange. Neu sind die Werkzeuge dafür. Früher wurde mit der Bohrmaschine der Tacho zurückgedreht, heute wird Software im Steuergerät manipuliert. Durch Tachobetrug entsteht jährlich ein Schaden von rund sechs Milliarden Euro, teilt der ADAC mit. Betroffen seien private Gebrauchtwagenkäufer, die für solche Autos im Schnitt 3000 Euro zu viel bezahlen.

Bislang waren Autos isolierte Systeme, und wer etwas verändern wollte, musste Hand anlegen. Das ändert sich durch Funkschnittstellen und Internet-Anbindungen. "Wer das System knackt, kann von den Fidschi Inseln aus den Tachostand eines Autos in Stuttgart zurückdrehen", sagt Dieter Nazareth. Der Professor ist Leiter des Studiengangs Automobilinformatik an der Hochschule Landshut. "Je mehr Schnittstellen ein Fahrzeug nach Außen hat, desto größer ist die Bedrohung", sagt er. Parallel dazu werden immer mehr IT-Security-Leute gebraucht.

Funkschlüssel zum Öffnen des Fahrzeugs, Integration von Consumer-Electronic wie Smart-Phones und Internet-Verbindungen öffnen Hacker Tür und Motorhaube. Spezialisten wie Lange versuchen Schnittstellen sicher zu machen. Im Fall des Telematik-Steuergeräts erstellte er eine White-Box-Analyse. Vom Hersteller bekam er Gerät und Dokumentationen wie Quellcode und Bedienungsanleitung. Der theoretische Teil seiner Analyse bestand darin, das System zu verstehen.

Dann wechselte er gedanklich von der guten zur schlechten Seite, erstellte Angriffsszenarien und führte sie schließlich aus. "Der Schwachpunkt dieser Box waren veraltete Sicherheitsalgorithmen." Damit werden Daten auf dem Weg vom Sender zum Empfänger verschlüsselt. Zum Schluss erstellte Lange eine Risikoanalyse für den Auftraggeber, verbunden mit einer Empfehlung, wie sich die Sicherheit des Steuergeräts erhöhen lässt.

"Jedes System lässt sich knacken"

Je geringer der Aufwand für einen Hacker ist, umso höher ist das Risiko. Mit zunehmendem Aufwand sinkt es. Doch 100-prozentige Sicherheit gibt es nie. "Jedes System lässt sich knacken", ist Marko Wolf überzeugt. Er ist Langes Chef und leitet die Niederlassung von Escrypt in München. Das Systemhaus für eingebettete Sicherheit hat seine Zentrale in Bochum, beschäftigt rund 50 Mitarbeiter und hat alle Automobilhersteller weltweit als Kunden.

Escrypt-Mitarbeiter kennen deren Sicherheitssysteme und gehen vertraulich mit diesen Informationen um. Der Angriff von Lange war zwar erfunden, aber durchaus realistisch. Eingebettete Systeme sind kleine Prozessoren, die allein eine Aufgabe erfüllen, beispielsweise den Notruf beim Unfall abzusetzen. Es gibt sie in Steuergeräten von Autos, Waschmaschinen, industriellen Anlagen und der Medizintechnik. Auch für diese Industrien ist Escrypt tätig, weil auch ihnen Gefahr droht. So haben Herzschrittmacher ebenfalls eine Funkschnittstelle, über die der Arzt Daten abfragen und Einstellungen vornimmt. Wer Böses im Schilde führt, könnte ihn einfach abschalten.

Manche Hacker wollen sich profilieren, indem sie ein System knacken und damit beweisen, dass sie schlauer sind als dessen Entwickler. Kommerziell wird die Sache dann, wenn sie wettbewerbsschädigend ist, etwa ganz viele Autos der Firma A liegen bleiben und B deshalb mehr Fahrzeuge verkauft. Wie ernst und profitabel IT-Security ist, scheint Bosch verstanden zu haben: seit August 2012 ist Escrypt ein Tochterunternehmen des Konzerns. Bosch stellt für viele Branchen Steuergeräte her und ist weltweit der größte Zulieferer für die Automobilindustrie.

IT-Sicherheit findet in der Softwareentwicklung statt

Je sorgfältiger Software entwickelt wird, umso weniger Angriffsfläche bietet sie. IT-Sicherheit ist deshalb eine Frage gründlicher Entwicklung, meint Thorsten Holz, Professor für Systemsicherheit an der Ruhr-Universität Bochum.

CW: In welcher Stufe findet IT-Sicherheit in der Softwareentwicklung statt?

HOLZ: Sie steht ganz am Anfang einer Entwicklung und ist oft als ein fester Bestandteil integriert, etwa über den Security Development Life Cycle, SDL.

CW: Können Sie das erläutern?

HOLZ: SDL ist eine Vorgehensmethode, nach der sich sichere Systeme entwickeln lassen. SDL stammt von Microsoft. 2004 setzte sich das Unternehmen zum Ziel, vertrauenswürdigere Systeme auf den Markt zu bringen. Entwickler wurden geschult und der gesamte Entwicklungsprozess in Richtung Security ausgerichtet. Sicherheit wurde ein fester Bestandteil in der Softwareentwicklung. Viele große Firmen nutzen heute SDL oder Abwandlungen davon. Das geschieht nicht nur in der Softwarebranche, sondern auch in anderen Industrien, etwa in der Automatisierungstechnik. Auch im Automobilbau sowie der Luft- und Raumfahrt wird SDL genutzt, doch sind hier allein schon aufgrund gesetzlicher Vorgaben die Anforderungen an IT-Sicherheit deutlich höher.

CW: Das heißt, je nach Anwendungsfall spielt das Thema IT-Sicherheit eine wichtige oder weniger wichtige Rolle.

HOLZ: Grundsätzlich ja, man muss aber bei der Begrifflichkeit genauer unterscheiden. Im Deutschen gibt es nur das Wort Sicherheit. Im Englischen wird zwischen Safety und Security unterschieden. Das ist wichtig und richtig. Security sind Störeinflüsse von aussen, Safety bedeutet Schutz von ungewolltem Systemverhalten. In der Luft- und Raumfahrt zum Beispiel steht die interne Systemsicherheit an oberster Stelle, weil Menschenleben geschützt werden müssen. Das gilt auch für Systeme in Autos. Banken hingegen wollen eher externe Angreifer abhalten.

CW: Ist IT-Sicherheit immer ein Teil der Informatikausbildung?

HOLZ: Ja, wobei die Intensität von der Hochschule abhängt. Im Grundstudium ist IT-Sicherheit im Fach Programmierung integriert. In höheren Semestern gibt es Vorlesungen in Softwaresicherheit. Da lernen die Studenten, was typische Programmierfehler sind und wie sie ein Angreifer für seine Zwecke ausnutzen kann und wie sich Fehler vermeiden lassen. Beides üben Studenten bei uns an Programmen mit bewusst eingebauten Fehlern.

CW: Ist ein System nur zu knacken, wenn es nicht ordentlich entwickelt ist?

HOLZ: Je besser die Entwicklung und je mehr Tests stattfinden, umso höher ist die Wahrscheinlichkeit, dass Hacker nicht eindringen können. Das alles ist eine Kostenfrage mit Nutzenabschätzung. Geht man davon aus, dass der Angreifer unbeschränkte Ressourcen hat, kann er jedes System knacken. Deshalb gibt es keine hundertprozentige Sicherheit, aber eine relativ hohe.