Cybersicherheit im Fahrzeug und in der Herstellung Die größten Ziele von Cyberangriffen in der Automobilindustrie

Automobildaten werden laut des Automotive Cyberthreat Landscape Report 2023 von Sicherheitsanbieter VicOne zunehmend genutzt und monetarisiert. Der Report entlarvt, dass die Bedrohungen für die Automobilindustrie vordergründig in der Lieferkette lauern und wo es weitere Sicherheitslücken gibt – ein Überblick.

Die steigende Digitalisierung in der Industrie hat einen Anstieg von Cyberangriffen zur Folge, die mitunter das Potenzial haben, Unternehmen und Produktionsprozesse spürbar zu verlangsamen oder gar stillzulegen. Besorgniserregend ist dabei, dass inzwischen vermehrt die Automobilindustrie ins Visier gerät, denn die fortschreitende Vernetzung von Fahrzeugen und Produktionsanlagen bietet Cyberkriminellen neue Angriffsflächen. 

Diese Attacken können nicht nur zu erheblichen finanziellen Verlusten führen, sondern auch die Sicherheit von Fahrzeugen und Produktionsprozessen gefährden. Die Automobilindustrie ist zunehmend abhängig von hoch entwickelter Technologie, sei es in autonomen Fahrzeugen oder in der smarten Fabrik. Daher ist der Schutz vor Cyberbedrohungen von entscheidender Bedeutung. Die Zusammenarbeit zwischen Industrieakteuren und Cybersicherheitsexperten ist essenziell, um die Herausforderungen der modernen vernetzten Welt zu bewältigen und den Schutz sensibler Daten zu gewährleisten. 

Bildergalerie

Bildergalerie mit 5 Bildern

Regularien für Automotive-OEMs werden immer umfangreicher

Zum Jahresbeginn 2024 haben die Verantwortlichen des Sicherheitsdienstleisters VicOne den Automotive Cyberthreat Landscape Report für das Jahr 2023 veröffentlicht; dieser Bericht wird einmal im Jahr erstellt. Darin heißt es zur Einführung: „Seit die UN-Regelung Nr. 155 (UN R155) im Juli 2022 für Automobilhersteller (OEMs) verpflichtend wurde, ist die Notwendigkeit, verschiedene ISO-Standards zu übernehmen, zunehmend dringlich geworden. Zu den Schlüsselstandards gehören dabei ISO 26262, ISO/SAE 21434, Trusted Information Security Assessment Exchange (TISAX) und Automotive Software Process Improvement and Capability Determination (ASPICE). Insbesondere ISO 26262 und ISO/SAE 21434 stellen für OEMs die bedeutendsten Herausforderungen dar.“ 

„ISO 26262 konzentriert sich hauptsächlich auf die funktionale Sicherheit, einen Bereich, den OEMs oft für Markt-­Zertifizierungen priorisieren. Im Gegensatz dazu richtet ISO/SAE 21434 den Fokus auf Informationssicherheit, einen kritischen Aspekt, den viele OEMs tendenziell übersehen. ISO/SAE 21434 zielt speziell auf diese industrielle Herausforderung ab und betont die Bedeutung robuster Informationssicherheitspraktiken in der Automobilindustrie. Zusätzlich werden bis Juli 2024 Fahrzeugvorschriften gemäß UN R155 verpflichtende Sicherheitsbedingungen für neu hergestellte Fahrzeuge.“ 

Ein verstärkter Fokus der Automobilhersteller auf Cybersicherheitsaspekte ist also unerlässlich. Im Bericht von VicOne erfahren Sie noch sehr viel mehr über die Regularien sowie über die Herausforderungen, die eine korrekte Umsetzung mit sich bringt. Wir schwenken an dieser Stelle zu einem Überblick über die Bedrohungslandschaft. Die Mitarbeitenden von VicOne registrieren seit vielen Jahren Cybersicherheits-Schwachstellen wie Vorfälle, um zu verdeutlichen, wie seit dem Jahr 2019 die Zahl der Common Vulnerabilities and Exposures (CVEs) sprunghaft angestiegen ist. 

Sicherheitslücken in der Lieferkette

Laut den Daten von VicOne haben Probleme mit Chipsets oder System-on-Chip (SoCs) im ersten Halbjahr 2023 den größten Anteil an den gemeldeten Vorfällen eingenommen, danach folgten Schwachstellen in Drittanbieter-Verwaltungs-Apps sowie in Infotainmentsystemen im Fahrzeug. „Zusätzlich zu den in Fahrzeugen oder deren Systemen vorhandenen Schwachstellen haben wir eine signifikante Anzahl von Vorfällen im Kontext der Automobilindustrie gesammelt und kategorisiert. Die Mehrheit dieser Fälle betraf Cyberangriffe, Probleme mit Wegfahrsperren und Angelegenheiten, die mit Anwendungen und Anwendungsprogrammierschnittstellen (APIs) in Verbindung stehen“, so VicOne. 

Auffällig sei dabei, dass eine signifikante Zahl dieser Fälle ihren Ursprung bei den Services und Diagnosen von Drittanbietern finden sowie in den Lieferanten von Automotive-Komponenten. Betroffen seien also Hersteller, Logistiker, Service-Dienstleister und Unternehmen, die in der Produktion von Komponenten, Zubehörteilen und Accessoires involviert sind – und seltener die OEMs selbst. 

Die Kosten der Attacken

Die Leute von VicOne haben für die Jahre 2021 bis zum ersten Halbjahr 2023 dazu die geschätzten Kosten berechnet, die Cyberattacken auf die Automobilbranche verursachen. Auch an dieser Stelle kann festgestellt werden, dass die Branche zunehmend Ziel kostspieliger Angriffe wird. Die Kosten beziehen sich dabei hauptsächlich auf die Auswirkungen durch Ransomware-Attacken, die Verbreitung von geleakten oder personenbezogenen Daten sowie auf Ausfallkosten. Kosten, die nach einem Angriff für Marketing, Verkaufsabteilungen oder PR-Bemühungen entstehen, sind nicht berücksichtigt. 

• Durch Ransomware-Angriffe, geleakte Daten und das Bekanntwerden von personenbezogenen Daten sowie durch Ausfälle entstanden Kosten von knapp 1,4 Milliarden US-Dollar im Jahr 2021.

• Durch Ransomware-Angriffe, geleakte Daten und das Bekanntwerden von personenbezogenen Daten sowie durch Ausfälle entstanden Kosten von knapp 950 Millionen US-Dollar im Jahr 2022.

• Durch Ransomware-Angriffe, geleakte Daten und das Bekanntwerden von personenbezogenen Daten sowie durch Ausfälle entstanden Kosten von knapp 12 Milliarden US-Dollar im ersten Halbjahr 2023.

„Diese Schätzungen legen nahe, dass immer mehr Cyberangriffe auf die Automobilindustrie abzielen und diese beeinträchtigen, während die Kosten weiter steigen“, so VicOne. 

Drei Beispiele von bekannten Schwachstellen

Im Bericht von VicOne wird mehrfach festgehalten, dass weniger die OEMs selbst zum Ziel der Attacken von Cyberkriminellen werden, sondern die Zulieferer der Komponenten. Dennoch haben Angriffe gegen die Zulieferer natürlich auch Auswirkungen auf die Produktion der Originalgerätehersteller. Im Bericht zu den Gefahren für die Cybersicherheit in der Automobilbranche werden drei Beispiele für Schwachstellen sowie Lösungsansätze dafür angesprochen, die wir nachfolgend kurz umreißen. 

Zenbleed: Im Juli 2023 wurde von einem Sicherheitsprüfer von Google (Travis Ormandy) eine kritische Schwachstelle in der Mikroarchitektur des AMD Zen 2 gefunden, an der sensible Daten geleakt werden könnten. Mit dem zunehmenden Fokus der Industrie auf Software-defined Vehicles (SDV) kommen verstärkt leistungsstarke CPUs und GPUs im Fahrzeug zum Einsatz. AMD möchte den Bedarf bedienen, aber „diese Schwachstelle hat das Potenzial, die Extraktion sensibler Informationen zu ermöglichen, einschließlich Passwörtern und Tokens. Dies könnte die Sicherheit und Privatsphäre sowohl des Fahrzeugs als auch seiner Insassen gefährden.“ Um das Problem anzugehen, wurde vonseiten AMD ein Firmware-Microcode-Update veröffentlicht. Wenn das Problem nicht durch Over-the-Air-Updates oder den Zurückruf des Produkts gelöst werden kann, lässt sich die Schwachstelle zumindest durch einen Software-Workaround abschwächen, jedoch zu Kosten einer verringerten Performance der CPU.

CAN Bus Injection: Das Controller Area Network-Protokoll (CAN) wurde in den 80er-Jahren eingeführt und gilt als Kommunikationsstandard in der Industrie. Die neueste Gefahr für das Protokoll ist die CAN Bus Injection, die den Diebstahl eines Fahrzeugs vereinfacht und im ersten Halbjahr 2023 zu einer der größten Bedrohungen zählte. Ein relativ simples Toolset, das ein von VicOne beschriebenes Diebstahl-Szenario ermöglicht, ist seit 2022 schon für einige Tausend US-Dollar erhältlich. Die permanente Schließung dieser Sicherheitslücke umfasst einen Zero-Trust-Ansatz, bei dem CAN-Geräte nicht mehr standardmäßig Steuereinheiten blind vertrauen. „Stattdessen können zusätzliche Validierungsmaßnahmen in CAN-Frames implementiert werden, um die Authentizität der Steuergeräte (ECUs) zu überprüfen. Hierfür müssen die ECUs mit geheimen Schlüsseln ausgestattet und mit einem bestimmten Fahrzeug gekoppelt werden.“

Automotive Cloud Service Compromise: Fahrzeuge sind heutzutage mehr und mehr mit dem Internet verbunden und kommunizieren dabei meistens mit Cloud-Services der OEMs oder von Drittanbietern. Web Application Security Researcher Sam Curry bewies im Januar 2023 mit seinem Team, wie durch die Ausnutzung von Sicherheitslücken in Telematiksystemen und APIs auf die Back-End-Cloud-Infrastruktur verschiedener OEMs zugegriffen werden kann. „Im Fall von Mercedes-Benz wurde eine öffentlich zugängliche Website für Fahrzeugwerkstätten entdeckt, die auf dieselbe Datenbank wie das zentrale Mitarbeiter-LDAP (Lightweight Directory Access Protocol)-System zugriff. Durch die Registrierung auf dieser Website erlangten sie eingeschränkten Zugang zu den Mitarbeiteranwendungen. Diesen Zugang nutzten sie, um weitere Zugriffe auf sensible interne Anwendungen zu erlangen, einschließlich des Mercedes-Benz GitHub. Dort fanden sie detaillierte Anweisungen zum Entwickeln von Anwendungen zur Kommunikation mit Kundenfahrzeugen.“

Solche Probleme sind der IT-Industrie weithin bekannt, in der Automobilindustrie scheinen Sicherheitslücken dieser Art bislang nicht ganz auf dem Schirm zu sein. „Der Schwerpunkt im Entwicklungsprozess der Automobilindustrie lag traditionell stärker auf Sicherheit als auf Cybersecurity. Dies hat dazu geführt, dass die Vorschriften nun verstärkt eine genauere Beachtung des Aspekts der Cybersicherheit fordern“, merken die Mitarbeitenden von VicOne an. Immerhin können Erkenntnisse und Fortschritte aus der IT-Industrie auch im Automotive-Bereich helfen.

Wie passt der Trend zu SDVs dazu?

Wir haben bereits angesprochen, dass der Trend in der Industrie zu Software-defined Vehicles geht, die mit ihren Möglichkeiten ein hohes Maß der Personalisierung des Fahrerlebnisses bieten wollen und Fahrenden zudem mittels Systemen wie ADAS und autonomen Fahren unterstützen. Den Herstellern muss klar sein, dass Cybersicherheit im Auto immer wichtiger wird, je mehr Fahrzeugsysteme potenziell von Unbefugten gesteuert werden könnten. 

ADAS benötigen Software und Sensoren, um zu funktionieren, die wiederum Potenzial für Sicherheitslücken bieten. Die Komplexität der Systeme für autonomes Fahren macht sie anfällig für Glitches und Hacking, was sich wiederum negativ auf die Sicherheit der Insassen auswirken kann. Bei smarten Cockpits, die von einer Künstlichen Intelligenz unterstützt werden, muss sichergestellt werden, dass personalisierte Daten geschützt sind. Ähnliches gilt für in Mode kommende Abomodelle, über die sich softwaregesteuerte Funktionen des Fahrzeugs anpassen lassen. 

„Wenn Anbieter sich in das Gebiet der selbstfahrenden Fahrzeuge wagen, transformiert diese Innovation radikal das Automobil-Ökosystem und erweitert die Möglichkeiten, wie Fahrzeuge genutzt werden können. Diese Fortschritte erfordern jedoch verbesserte Sicherheitsmaßnahmen, um die Sicherheit der Fahrzeuge zu gewährleisten. Ein prominentes Beispiel hierfür sind Fahrzeugdaten und das expandierende Datensystem im Automobilbereich, das eine Lücke in klaren Richtlinien und Vorschriften für den sicheren Umgang mit diesem Aspekt der Automobilindustrie aufzeigt. Die Einführung neuer Funktionen erweitert oft die potenzielle Angriffsfläche eines Fahrzeugs. Besonders in der Automobilindustrie sollte weitere Innovation mit einer starken Sicherheitsposition abgewogen werden“, schließt der Bericht von VicOne. (sb)

(ID:49866542)