Pwn2Own Automotive: Hacker knacken Tesla und viele Ladesysteme

Zum Auftakt des Hackerwettbewerbs Pwn2Own Automotive 2026 haben IT-Sicherheitsforscher schwerwiegende Schwachstellen in modernen Fahrzeug- und Lade­systemen offengelegt. Besondere Aufmerksamkeit erregte ein erfolgreicher Angriff auf Teslas Infotainment-System.

37 Zero Days an einem Tag

Bereits am ersten Wettbewerbstag gelang es den teilnehmenden Teams zu demonstrieren, wie sie insgesamt 37 bislang unbekannte Sicherheitslücken (Zero-Days) ausnutzen. Die daraufhin ausgezahlten Preisgelder summierten sich damit bereits auf 516.500 Dollar.

Fahrzeuge von Tesla stellten einmal mehr ein zentrales Ziel dar. Das Team Synacktiv kombinierte beispielsweise mehrere Schwachstellen, darunter ein Informationsleck und einen Fehler bei der Speicherverwaltung, um sich über eine USB-basierte Attacke vollständige Administratorrechte in Teslas Infotainment-System zu verschaffen. Für diesen Erfolg erhielten die Forscher 35.000 Dollar. Zusätzlich knackte dasselbe Team einen digitalen Media-Receiver von Sony, wofür weitere 20.000 Dollar ausgezahlt wurden.


Auch andere Gruppen erzielten beachtliche Ergebnisse. Das Team Fuzzware.io kompromittierte gleich mehrere Systeme, darunter eine Schnellladestation von Alpitronic, ein Ladegerät von Autel sowie ein Navigationssystem von Kenwood. Dafür wurden 118.000 Dollar vergeben. PetoWorks wiederum erlangte durch die Verkettung dreier Schwachstellen Root-Zugriff auf einen Ladecontroller von Phoenix Contact und erhielt dafür 50.000 Dollar.

Wallboxen im Visier

Erfolgreich war zudem das Team DDOS, das Sicherheitslücken in drei verschiedenen Heimladestationen für Elektrofahrzeuge ausnutzte, unter anderem von ChargePoint, Autel und Grizzl-E. Die Jury honorierte diese Angriffe mit insgesamt 72.500 Dollar.

Am zweiten Wettbewerbstag stehen weitere Angriffe an: Mehrere Teams wollen erneut dieselben Ladesysteme ins Visier nehmen. Jeder erfolgreiche Angriff kann dabei zusätzliche Prämien von bis zu 50.000 Dollar einbringen. Der Wettbewerb wird von Trend Micros Zero Day Initiative (ZDI) organisiert. Die betroffenen Hersteller erhalten nach den erfolgreichen Angriffen 90 Tage Zeit, um Sicherheitsupdates bereitzustellen. Erst danach werden technische Details zu den Schwachstellen veröffentlicht.


Siehe auch: