VW-Hack: Kernproblem ist wohl schlicht ungetestete Software in Autos

Verschiedene aktuelle Auto-Modelle des Volkswagen-Konzerns waren durch eine Sicherheitslücke auch von Außen angreifbar. Das Problem hat aber wohl tiefergehende Ursachen, als in den ersten Berichten deutlich wurden. Und auch die vermeldete Fehlerbehebung klingt nicht nach einer umfassenden Lösung.
Wer wirklich der Herr über das Auto ist...
Die eigentliche Schwachstelle, die dieser Tage öffentlich wurde, befindet sich im Entertainment-System, mit dem diverse Fahrzeuge des deutschen Unternehmens ausgestattet sind. Den Experten der niederländischen Firma Computest gelang es hier, einen Exploit via WLAN einzusetzen um Zugang zu der Elektronik der Fahrzeuge zu bekommen. Hier bekamen sie immerhin root-Zugriff geboten, berichtet das US-Magazin BleepingComputer.

Offiziell haben die Sicherheitsforscher eher harmlosere Experimente angestellt und berichten davon, dass sie entfernten Zugriff auf das Mikrofon der Freisprecheinrichtung und auch die GPS-Aufzeichnungen des Navigationssystems bekamen. Eine Attacke kann aber durchaus auch weiter gehen - denn letztlich ist das angegriffene System auch mit allen anderen elektronischen Komponenten des Fahrzeugs verbunden - also auch mit dem Antriebs- und dem Bremssystem. Angeblich habe man hier aber keine weitergehenden Tests angestellt - weil man sonst wohl urheberrechtlich geschützte Software-Bestandteile von Volkswagen hätte attackieren müssen und Gefahr gelaufen wäre, dass der Hersteller dies nutzt, um eine Veröffentlichung der Schwachstelle zu unterbinden.

Interne Tests fehlen

Besorgnis sollten allerdings vor allem auch Berichte der Sicherheitsforscher auslösen, die über den eigentlichen technischen Bericht hinausgehen. Denn bei Treffen mit den verantwortlichen Leuten bei VW habe sich herausgestellt, dass diese bis dahin nicht nur nichts über den Fehler wussten. Vielmehr sei klar geworden, dass der Hersteller die fragliche Software zwar millionenfach in Neuwagen einsetzt, sie aber nie einem formalen Sicherheits-Test unterzog. Das bedeutet, dass hier unkontrolliert Code übernommen wurde. Es ist durchaus anzunehmen, dass dies nicht nur beim Entertainment-System der Fall ist, sondern eventuell auch bei kritischeren Komponenten.

Unklar ist weiterhin, wie weitgehend der Bug inzwischen aus der Welt geschafft wurde. Gegenüber den Entdeckern der Sicherheitslücke meldete VW zwar, dass das Problem behoben worden sei. Das bedeutet allerdings, dass quasi alle Fahrer betroffener Modelle in den letzten Monaten in einer Werkstatt gewesen sein müssten - was die Sicherheitsforscher so nicht glauben. Immerhin ist noch gar nicht genau bekannt, welche Modelle neben den beiden getesteten Autos noch mit der unsicheren Software ausgestattet waren.