Das vernetzte Automobil wird dank fortschreitender Technologien und Entwicklungen immer greifbarer. Doch der Traum vom autonomen Fahren birgt nicht nur Chancen, sondern sorgt für zahlreiche Problemstellungen.
Das Connected Car liegt als Teil des Internet of Things schwer im Trend - das Thema Security wird dabei oft ausgeklammert
Nicht nur die Daten, die in einem vernetzten Fahrzeug gesammelt werden müssen geschützt werden - auch gegen Angriffe von außerhalb muss ein Connected Car gewappnet sein
Die rechtlichen Rahmenbedingungen für viele Alltagssituationen in einem autonom fahrenden Fahrzeug müssen erst geschaffen werden
Assistenzsysteme und weitere Konnektivitäts-Dienste sind in Automobilen auf dem Vormarsch - folglich wächst auch das Interesse beim Verbraucher. Allerdings bietenConnected Cars auch Angriffspunkte für Hacker, wodurch einige sicherheits- und datenschutzrechtliche Fragen aufgeworfen werden. Hieraus resultieren wiederum völlig neue Herausforderungen für Automobilhersteller, Gesetzgeber und Autokäufer.
Vernetzte Autos: Innovation vs. IT-Security
Services zur Erhöhung von Verkehrssicherheit und Komfort, Assistenzsysteme zur Unterstützung des Fahrers, Online-Dienste für Entertainment und Kommunikation und neue technische Möglichkeiten zur Steuerung von Fahrzeugfunktionen über Mobile Apps machen das Auto zum vernetzten Endgerät, das mit seinem Fahrer, der Werkstatt oder anderen Fahrzeugen interagiert. Den Automobilherstellern eröffnet das vernetzte Auto attraktive neue Geschäftschancen. In punkto Sicherheit birgt es allerdings auch etliche Herausforderungen. Prinzipiell umfassen diese zwei Aspekte: den Schutz personenbezogener Daten und die Sicherheit vor Angriffen von außen - beispielsweise durch Hacker, die die Steuerung der Bremsen oder anderer relevanter Systeme manipulieren könnten.
Der wirksame Schutz eines Connected Car umfasst zwei Komponenten: den Schutz persönlicher Daten und den Schutz vor Angriffen von außen. Foto: Sychugina / shutterstock.com
Beim Schutz personenbezogener Daten geht es zum einen um die (temporäre) Erfassung von Daten - etwa GPS-, Sensor- oder Diagnose-Daten vor und nach ihrer Übertragung in das IT-Backend, beispielsweise des Fahrzeugherstellers. Zum anderen ist auch die Verschlüsselung der Daten selbst ein zentrales Thema. Diese scheiterte lange Zeit an den nicht ausreichenden Systemkapazitäten in den Steuergeräten der Fahrzeuge. Eine Verschlüsselung nahm so viel Zeit in Anspruch, dass die Daten nicht mehr in Echtzeit hätten übertragen werden können. Das ändert sich nun jedoch dank der immer leistungsfähigeren Hardware: Künftig lassen sich Daten mit zunehmend besseren kryptographischen Verfahren (zum Beispiel RSA) und größeren Schlüssellängen (4096 Bit und mehr) schützen.
Security Trends 2015
1. Exploit-Bekämpfung reduziert die Einfallstore für Kriminelle. Cyberkriminelle hatten in den vergangenen Jahren mehr oder weniger leichtes Spiel mit Microsoft Windows. Glücklicherweise hat der Konzern Exploits in letzter Zeit gezielt bekämpft, so dass Attacken immer schwieriger werden. Allerdings gibt es eine Kehrseite der Medaille, da viele Malwareentwickler sich nun wieder den Social-Engineering-Techniken zuwenden oder auf Nicht-Microsoft-Plattformen abzielen.
2. Internet-of-Things-Attacken haben sich von Machbarkeitsstudien zu Mainstream-Risiken entwickelt. 2014 mussten wir immer häufiger feststellen, dass Hersteller von Internet-of-Things-Geräten es oftmals verschlafen haben, grundlegende Sicherheitsstandards zu implementieren. Entsprechend sind Attacken auf diese Geräte absehbar und werden zudem umfassende Folgen haben. Die IT-Sicherheitsindustrie muss sich weiterentwickeln, um für dieses neue Thema Antworten zu finden.
3. Verschlüsselung ist mittlerweile Standard, aber darüber sind nicht alle glücklich. Dank häufig auftauchender Schlagzeilen in Sachen Spionagesoftware und Datenbankeinbrüchen hat sich die Verschlüsselung aller Daten schon fast zum Standard entwickelt. Das geht allerdings gerade großen Organisationen wie Strafverfolgungsbehörden oder Geheimdiensten gegen den Strich, da sie befürchten, dass diese „Heimlichtuerei“ die allgemeine Sicherheit gefährdet.
4. Sicherheitsrelevante Programmierfehler in weit verbreiteter Software blieben jahrelang unter dem Radar. „Heartbleed“ und „Shellshock” machen deutlich, dass weit mehr unsichere Code-Zeilen im Umlauf sind, als gedacht und sie werden seit vielen Jahren unbemerkt von einer großen Anzahl Computersystemen genutzt,. Entsprechend hat sich auch das Augenmerk der Hacker auf diese eher unauffälligen Programme gerichtet und 2015 sind vermehrt Attacken in diesem Bereich zu erwarten.
5. Gesetzliche Neuregelungen bringen mehr Verantwortung bei der Offenlegung von Daten und Haftung mit sich – vor allem in Europa. Die Mühlen der Gesetze mahlen im Vergleich zur Technologieentwicklung sehr langsam, aber dennoch treten 2015 einige gesetzliche Neuerungen in Kraft, die lange auf sich warten ließen. Es ist wahrscheinlich, dass diese Änderungen auch in anderen Bereichen mit einer progressiveren Datenschutzregulierung einhergehen.
6. Kriminelle schießen sich auf mobile Zahlungssysteme ein, halten aber gleichzeitig noch eine Weile an traditionellen Finanzbetrügereien fest. Nach der Ankündigung von Apple Pay waren mobile Zahlungssysteme eines der Topthemen der vergangenen Monate. Wie immer, wenn neue Systeme an den Start gehen, werden die Cyberkriminellen nach Lücken Ausschau halten. Da das aber aufgrund einiger sehr positiver Absicherungen nicht ganz einfach sein wird, dürfen wir davon ausgehen, dass die klassischen Onlinegaunereien mit Kreditkarten noch eine Weile weitergehen. Sie sind das bei weitem einfacherer für Betrug zu nutzen.
7. Die Lücke zwischen Sicherheitsaufgaben und geschultem Personal klafft immer weiter auseinander. Im gleichen Rahmen, wie Technologie immer mehr in unser tägliches Leben Einzug hält und einer der Stützpfeiler für die globale Wirtschaft wird, kommt das fehlende Know-how in Sachen Cybersicherheit zum Vorschein. Diese bedenkliche Entwicklung wird sowohl von Regierungen, als auch der Industrie konstatiert. Das Besetzen der nötigen Stellen kann Jahre dauern und ist somit ein echter Sicherheitsfaktor.
8. Breite “Serviceoffensive” für Attacken und Exploit-Kits, um mobile Plattformen anzugreifen. In den letzten Jahren hat sich ein neuer Trend bei den Cyberkriminellen durchgesetzt: das zur Verfügung stellen von Malwarepaketen, die keinerlei technisches Wissen voraussetzen und per Klick aktiviert werden können. Der rasante Anstieg bei mobilen Plattformen und der damit verbundene Austausch sensitiver Daten werden dazu führen, dass wir 2015 viele dieser Kits für Smartphone-Angriffe sehen werden. Gleiches gilt für Plattformen, die sich mit dem Internet of Things beschäftigen.
9. Die Lücke zwischen ICS/SCADA und Sicherheit in der realen Welt wächst weiter. Systeme wie Industrial Control Systems (ICS) und Supervisory Control and Data Acquisition (SCADA) hinken in Sachen Sicherheit üblicherweise zehn oder mehr Jahre hinter dem Mainstream her. Wir gehen davon aus, dass innerhalb der nächsten Jahre einige besorgniserregende Lücken aufgedeckt werden, die von Hackern auf breiter Front ausgenutzt werden.
10. Flexiblere Rootkit- und Bot-Fähigkeiten eröffnen neue Angriffsvektoren. Die Technologiesparte befindet sich zurzeit in einem grundlegenden Veränderungsprozess, in dessen Rahmen nun Plattformen und Protokolle abgeändert werden, die jahrelang als Standard dienten. Allein die Menge solcher Veränderungen der althergebrachten Technologiestandards wird viele alte Wunden aufreißen und neue Sicherheitslücken schaffen.
Sichere Datenübertragung verhindert Manipulation
Doch nicht nur bei den Daten selbst, auch bei der Übertragung ist auf eine adäquate Verschlüsselung zu achten, um Manipulationen auf den Kommunikationswegen zu verhindern. Hier geht es jedoch nicht nur um die Abwehr von Manipulationsversuchen, sondern auch um die Sicherheit der übertragenen Daten und deren Inhalte. Sind die Übertragungswege nicht ausreichend gesichert, können Informationen leicht ausgelesen werden, so dass unberechtigte Personen detaillierte Fahrerprofile erstellen könnten. Zudem könnten Daten nicht nur abgegriffen, sondern auch manipuliert werden - zum Beispiel mit der Folge, dass ein falsches Notbremssignal erzeugt und an nachfolgende Fahrzeuge weitergeleitet werden könnte. Eine sichere Datenübertragung muss selbstverständlich auch innerhalb des Fahrzeugs gewährleistet sein, etwa bei der Kopplung von Smartphones oder anderen mobilen Geräten mit den Systemen im Fahrzeug. Gerade für Geschäftsreisende ist das ein nicht zu unterschätzendes Thema: Was nützt ein Gespräch über die Freisprecheinrichtung, wenn diese leicht abhörbar ist?
Ein Hardware Security Module (HSM) wie dieses Modell von Utimaco dürfte künftig zum neuen Standard in Connected Cars werden. Foto: Utimaco Software AG
Die Übertragungswege sind heute bereits meist via HTTPS und TLS-Verfahren verschlüsselt, allerdings sind die Verschlüsselungen in der Praxis häufig noch nicht so sicher, wie es theoretisch möglich wäre. Die dafür notwendigen Hardware Security Modules sind momentan noch relativ teuer, werden jedoch zunehmend günstiger und dürften folglich in Zukunft auch breiter eingesetzt werden.
Rechtliche Rahmenbedingungen schaffen
Die Verwendung der FahrzeugdateneinesConnected Cars fällt derzeit noch in eine Grauzone, denn die entsprechenden gesetzlichen Regelungen fehlen. Aktuell erhält der Auto-Hersteller beispielsweise aus den Fahrzeugsystemen die Information, dass die Bremsscheiben eines bestimmten Fahrzeugs abgefahren sind. Die Nutzung dieser Informationen ist dem OEM aber aus Datenschutzgründen untersagt. Allerdings würde die Möglichkeit, Informationen wie diese speichern und verwerten zu können die Verkehrssicherheit deutlich erhöhen. Dazu müsste der Hersteller jedoch sicherstellen, dass er derartige Informationen verwenden darf, um Maßnahmen wie etwa die Vereinbarung eines Werkstatttermins einzuleiten. Ungeklärt ist dabei auch die Frage nach der Haftung, falls der Fahrzeugeigentümer nach der Übermittlung einer solchen Information in einen Unfall gerät. Aus diesen Gründen sind die OEMs derzeit nur auf der sicheren (rechtlichen) Seite, wenn sie solche Daten nicht in ihrem Backend speichern.
Die gesetzlichen Vorgaben betreffen noch weitere Datenschutz-Aspekte: Wem gehören die im Fahrzeug gesammelten Daten? Dem Eigentümer, dem Fahrer, dem OEM, dem Provider? Darf der Eigentümer eines Fahrzeugs künftig aus den Systemen auslesen, wo das Fahrzeug unterwegs ist? Solche Informationen sind insbesondere für Unternehmen mit einer Fahrzeugflotte und vielen Mitarbeitern im Außendienst, für Mietwagenfirmen oder auch für Eltern, deren Kinder erst kürzlich den Führerschein erworben haben, von großem Interesse. Hat der Eigentümer ein Recht darauf zu erfahren, welche Daten generell in den bis zu 100 Steuergeräten erfasst werden?
EU-Datenschutzreform 2014/15: Die zehn wichtigsten Änderungen
Ein Gesetz für alle EU-weit gelten die gleichen Datenschutzregeln. Das bedeutet auch eine gestiegene Verantwortung und Haftung für alle, die persönliche Daten verarbeiten.
"Recht auf Vergessen" Wollen Nutzer ihre Daten nicht weiter verarbeitet sehen, werden diese gelöscht - vorausgesetzt, es spricht aus juristischer Sicht nichts dagegen.
"Opt-in" statt "Opt-out" Sollen persönliche Daten verabeitet werden, müssen Nutzer aktiv zustimmen (und nicht aktiv widersprechen wie bisher).
Recht auf Transparenz Nutzer haben ein Recht auf Transparenz - sie dürfen erfahren, welche Daten über sie gesammelt und wie diese verarbeitet werden.
Zugang und Portabilität Der Zugang zu den bei Dritten über einen selbst gespeicherten Daten soll einfacher möglich sein. Zudem ist die Dartenportabilität zu gewährleisten - also sicherzustellen, dass persönliche Informationen leichter von einem Dienstanbieter zu einem anderen übertragen werden können.
Schnellere Meldung Tritt ein Datenverlust auf, müssen Unternehmen und Organisationen im Regelfall binnen 24 Stunden, mindestens aber so schnell wie möglich ihrer behördlichen Meldepflicht nachkommen.
Weniger Behördenchaos Unternehmen müssen sich nur noch mit einer einzigen Aufsichtsbehörde auseinandersetzen - und zwar dort, wo sie ihren Hauptsitz haben.
Grenzübergreifend Privatanwender dürfen jeden Fall von Datenmissbrauch an ihre nationale Aufsichtsbehörde melden - selbst dann, wenn die betroffenen Daten im Ausland verarbeitet wurden.
Erweiterter Geltungsbereich Die EU-Richtlinie gilt auch für Unternehmen, die keinen Sitz in der EU haben, sobald sie Waren oder Dienstleistungen in der EU anbieten oder auch nur Online-Marktforschung unter EU-Bürgern betreiben.
Höhere Bußgelder Verstößt ein Unternehmen gegen die Datenschutzbestimmungen, droht ein Bußgeld in Höhe von bis zu vier Prozent des Jahresumsatzes.
Bürokratieabbau Administrative Umstände wie Meldepflichten für Unternehmen, die persönliche Daten verarbeiten, entfallen.
Erst ab 16 Die rechtswirksame Anmeldung bei Internetnetservices wie Facebook oder Instagr.am soll Jugendlichen im Regelfall erst ab 16 Jahren möglich sein - weil sie erst ab diesem Lebensalter eine gültige Einwilligung in die Verarbeitung ihrer persönlichen Daten geben können. Nationale Gesetze sollen laut Datenschutzverordnung hier aber Ausnahmen möglich machen.
Stärkung der nationalen Aufsichtsbehörden Nationale Datenschutzbehörden werden in ihren Kompetenzen gestärkt, so dass sie die neuen EU-Regeln besser umsetzen können. Unter anderem dürfen sie einzelnen Unternehmen verbieten, Daten zu verarbeiten. können bestimmte Datenflüsse stoppen und Bußgelder gegen Unternehmen verhängen, die bis zu zwei Prozent der jeweiligen weltweiten Jahreseinkünfte betragen. Darüber hinaus dürfen sie Gerichtsverfahren in Datenschutzfragen anstrengen. <br /><br />(Quelle: Forrester Research)
Big Data, big problems
Damit verbunden ist auch das Thema der Löschbarkeit von Daten. Unstrittig ist, dass künftig viele Daten und Informationen von und in Fahrzeugen gesammelt und vermehrt auch in die Cloud übertragen werden. Aber können diese Daten auch gelöscht werden? Falls ja, wer darf diese Daten überhaupt löschen und in welchem Umfang? Ein Beispiel verdeutlicht die Brisanz dieser Fragen: Jeder potenzielle Käufer eines Gebrauchtwagens ist daran interessiert zu wissen, wie das Fahrzeug tatsächlich gewartet wurde, ob der Kilometerstand stimmt, ob es durch Vollbremsungen und regelmäßiges Vollgasfahren sehr strapaziert wurde. Darf er diese Informationen künftig aus den Systemen eines vernetzten Fahrzeugs entnehmen? Wie sieht es mit anderen Informationen aus? Was ist, wenn Fahrzeugdaten die belegen, dass der Wagen tatsächlich überwiegend auf Langstrecken gefahren wurde, gleichzeitig Informationen zur geografischen Lage sowie zum Zeitpunkt der gefahrenen Strecken enthalten? Ein potenzieller Käufer könnte anhand dieser Daten Bewegungsprofile des Verkäufers erstellen.
Hier ist vor allem der Gesetzgeber gefordert: Die entsprechenden Regelungen müssen überprüft werden - insbesondere vor dem Hintergrund, dass der Umgang mit Daten und Informationen aus Fahrzeugsystemen in jedem Land unterschiedlich geregelt ist. Eine - zumindest EU-weite - Regulierung ist bislang noch nicht in Sicht.
10 Dinge, die Sie über Big Data wissen sollten
Big Data Unternehmen sollten sich im Klaren sein, welche Daten sie erfassen und welche Ergebnisse sie erzielen wollen. Für Big Data sollten möglichst viele bis alle Daten erfasst werden können. Im Gegensatz zu BI-Lösungen sollten sich Verantwortliche nicht in Nebensächlichkeiten verstricken, sondern immer das große Ganze sehen.
Big Data Der Branchenverband BITKOM bietet eine kostenlose PDF-Datei, die als Leitfaden für Big Data-Projekte verwendet werden kann.
Big Data Mit Hadoop und HDInsight in Microsoft Azure können Sie Big Data auch in der Microsoft Cloud betreiben.
Big Data Um sich mit Hadoop und Big Data zu beschäftigen, ist HDInsight der schnellste Weg. Microsoft stellt für Entwickler eine Offline-Testumgebung für HDInsight zur Verfügung.
Big Data Um Big Data-Lösungen zu nutzen, benötigen Sie in den meisten Fällen eine NoSQL-Datenbank, zusätzlich zu vorhandenen Datenbanken, beispielsweise MongoDB.
Big Data Wer sich etwas mit Big Data bereits auseinandergesetzt hat und Lösungen in diesem Bereich einsetzt, kann die Umgebung mit weiteren Möglichkeiten erweitern. Auch hier steht eine Vielzahl an Opensource-Pridukten zur Verfügung, zum Beispiel Apache Giraph.
Big Data Microsoft noch das kostenlose ebook „Introducing Microsoft Azure HDInsight“ zur Verfügung. Diese bietet einen idealen Einstieg in die Möglichkeiten von Big Data, HDInsight und Hadoop, auch für andere Plattformen.
Big Data HBase kann als Datenbank für Big Data-Lösungen genutzt werden. Diese Technologie baut auf Google Big Table auf und kann sehr große Datenmengen speichern.
Big Data Die meisten Unternehmen nutzen für die Verarbeitung von Big Data vor allem Hadoop-Distributionen oder Cloud-Lösungen. Die meisten Tools und Distributionen gehören zum Apache Projekt. Apache Mahout erlaubt eine bessere Verwaltung der Daten in Hadoop.
Big Data Cloudlösungen bei Microsoft Azure, Google Cloud Platform oder Amazon Web Services, werden oft nach Datenvolumen berechnet und Berechnungsdauer. Entwickler sollten in die Abfragen und die Big Data-Anwendungen daher auch das Herunterfahren und Ausschalten von Big Data-Umgebungen einbeziehen.
Das müssen OEMs zukünftig beachten
Angesichts der vielfältigen Risiken und der teilweise unklaren Rechtslage beim Datenschutz sollten sowohl Verbraucher, als auch OEMs einige wichtige Sicherheitsaspekte berücksichtigen. Verbraucher die einen Gebrauchtwagen erwerben wollen, sollten sich umfassend informieren, welche Daten in dem Fahrzeug gesammelt wurden. Nach dem Erwerb des Fahrzeugs sollten Sie der Speicherung und Übertragung von Daten wenn möglich widersprechen. Wichtig: sollten Sie ein gebrauchtes Fahrzeug verkaufen wollen, sollten personenbezogene Daten im Vorfeld von einer autorisierten Vertragswerkstatt gelöscht werden - und zwar sowohl im Fahrzeug selbst, als auch im Backend des Herstellers.
OEMs hingegen sind gefordert, ihre Anstrengungen in punkto Verschlüsselung und Datensicherheit weiter zu intensivieren. Das betrifft insbesondere die Entwicklung von Dabei sind deutsche Arbeitnehmer nicht technologiefeindlicher als in anderen europäischen Ländern. Viele Mitarbeiter besitzen sogar zusätzlich zum Firmen-Smartphone privat noch eigene mobile Endgeräte. Von Whats App bis hin zur Drop Box wird privat der Vorteil von mobiler IT genutzt. Diese ursprünglich für den privaten Gebrauch entwickelten Apps zeigen dem Nutzer klare Vorteile auf. Wie aber sieht es im Gegensatz dazu in unseren Unternehmen aus?
Firmenanwendungen haben für ihre Unternehmenskunden klare Nutzenversprechen, die sich aber oftmals nicht mit der Benutzerfreundlichkeit und intuitiven Oberfläche, wie es die Nutzer aus dem Konsumerbereich gewöhnt sind, verbinden. die verstärkte Investitionen erfordern. Im Interesse einer durchgängigen Risiko-Absicherung sollte das Thema Informationssicherheit zudem bei der Neu- und Weiterentwicklung von Systemen fest in den Projektzielen verankert werden.
Die Basis dafür bildet die Etablierung ganzheitlicher und durchgängiger Datenschutzbedarfsanalysen sowie -konzepte für Car-IT-, Consumer-IT- und Business-IT-Komponenten. Schließlich sollte es auch unerlässlich sein, Autokäufer künftig ausführlich über die Menge, Art und Verwendung der im Fahrzeug gesammelten Daten zu informieren.
Autonomes Fahren ist in aller Munde. Der Security-Aspekt kommt bei der Diskussion um die Mobilität der Zukunft leider regelmäßig zu kurz. Foto: RioPatuca - shutterstock.com
Im Umfeld der Informationssicherheit von Connected Cars ist also noch viel zu tun, wobei das gesamte Spektrum dieser To-Do-Liste noch gar nicht absehbar ist. In erster Linie sollten die Automobilhersteller sicherstellen, dass das Thema von Beginn an in der weiteren Entwicklung berücksichtigt wird. Dazu werden unter anderem Investitionen in die erforderliche Fahrzeug-Security-Expertise nötig sein. Doch auch was die gesetzlichen Regelungen angeht, besteht dringender Handlungsbedarf. Für viele Alltagssituationen in einem Connected Car gibt es keinerlei adäquate Vorgaben. Die OEMs dürfen diesbezüglich jedoch nicht abwarten - vielmehr sollten sie selbst für die notwendige (Daten-)Sicherheit sorgen. (fm)