News

Sicherheitslücke bei BMW-Modellen - Diebe können Auto per Mobilfunk öffnen

  • In NEWS
  • 30. Januar 2015, 12:35 Uhr
  • Holger Holzer/SP-X

Aufgrund einer Sicherheitslücke ließen sich Millionen BMW-Modelle per Mobilfunkt unbefugt öffnen. Die dazu nötige Technik passt in einen Rucksack.

Sicherheitslücken in Software gibt es nicht nur bei Windows oder Apple. Erstmals sind sie nun in großen Stil auch bei Autos aufgefallen. Betroffen sind weltweit 2,2 Millionen Modelle des BMW-Konzerns, darunter Pkw der Stammmarke sowie Fahrzeuge von Mini und Rolls-Royce. Der Automobilclub ADAC hatte im Sommer 2014 herausgefunden, dass Unbefugte die Fahrzeuge per Mobilfunk öffnen konnten. BMW will das Problem mittlerweile behoben haben.

Offenbar war der sogenannte ,,Connected Drive"-Dienst nicht ausreichend gegen Zugriff von außen geschützt. Das gegen Aufpreis erhältliche System soll vor allem den Kundenkomfort erhöhen und ermöglicht die Kommunikation zwischen Fahrzeug und Hersteller. Es leitet etwa Wartungsinformationen, Daten zu Batteriestand oder Stauinfos automatisch an einen BMW-Server weiter. Zudem ermöglicht es dem Halter, per Handy-App aus der Ferne auf das Fahrzeug zuzugreifen, Informationen zu Tankfüllstand und ähnlichem abzurufen und auch die Türen auf- und abzuschließen. An letzterem Punkt konnte die ADAC-Technik andocken. Das Öffnen der Fahrzeuge dauerte dem Club zufolge lediglich Minuten und hinterließ keine Spuren. Bisher gibt es allerdings keine Erkenntnisse, dass die Sicherheitslücke bereits von Kriminellen genutzt wurde.

Theoretisch wäre das aber wohl ohne großen Aufwand möglich. Nötig sind lediglich eine portable Mobilfunk-Basisstation, die es für rund 1.000 Euro im Handel gibt, sowie ebenfalls frei verfügbare Software. Die komplette Technik findet in einem Rucksack Platz, großen Zusatzaufwand vor Ort müssten Kriminelle nicht treiben. Der ADAC betont zudem, nicht einmal aktiv nach der Lücke gesucht zu haben. Vielmehr sei sie durch Zufall aufgefallen, als man die Funktionsweise des Systems untersucht habe.

Der Automobilclub hatte den Fahrzeughersteller vor Veröffentlichung der Sicherheitslücke von dem Problem in Kenntnis gesetzt. BMW hat nach eigenen Angaben die Software bei allen betroffenen Fahrzeugen mittlerweile neu konfiguriert. Dafür war kein Werkstattbesuch nötig, das System konnte das Update nach Start des Fahrzeugs automatisch durchführen. Die Autos nutzen seitdem das bereits in der Software angelegte, aber nicht aktivierte verschlüsselte HTTPS-Protokoll, wie man es auch vom Online-Banking und von Shopping-Portalen kennt. Zuvor wurde das ungesicherte HTTP-Protokoll genutzt, mit dem jeder Standard-Internetbrowser arbeitet.  

Betroffen von der Sicherheitslücke waren deutschlandweit rund 423.000 Autos, die zwischen März 2010 und Dezember 2014 gebaut wurden. Darunter BMW-Modelle wie der 1er, der 3er und der i3 sowie sämtliche SUV-Baureihen. Dazu kommen Mini Drei- und Fünftürer sowie die Phantom-Reihe von Rolls-Royce sowie die Modelle Ghost und Wraith.

STARTSEITE