Cyber-Attacken: Was die Automobilbranche angreifbar macht

Mit zunehmender Digitalisierung und Vernetzung der Fahrzeuge sowie den Trends Elektromobilität und autonomes Fahren wächst der Bedarf für eine effektive Cybersicherheitsstrategie. Doch Cyber-Security-Programme fallen qualitativ unterschiedlich aus und die Umsetzung auf den verschiedenen Wertschöpfungsebenen ist sehr unterschiedlich, so das Ergebnis der Studie „Automotive Cyber Security“, die vom Center of Automotive Management (CAM) in Kooperation mit US-Netzwerkspezialist Cisco Systems verfasst wurde.

Sie befinden sich laut Analyse vor allem bei vielen Zulieferern und Dienstleistern noch auf einem niedrigen Niveau. Dabei könne sich Malware von den internen Systemen eines Zulieferers auf Dienstleister-Netzwerke und sogar Unternehmensnetzwerke der Automobilhersteller verbreiten.  

In der Analyse wurden die verschiedenen Angriffsvektoren systematisch analysiert. Allein beim vernetzten Fahrzeug gibt es zwölf verschiedene Angriffsbereiche, in denen wiederum potenziell mehrere Eintrittsmöglichkeiten bestehen. Dazu gehören unter anderem verschiedene Steuergeräte, Sicherheitssysteme im Bereich Fahrerassistenz, der Antriebsstrang oder auch Kommunikationssysteme.

Neben Fahrzeugherstellern treffen die Cyberangriffe verstärkt auch Zulieferer, Automobilhändler und weitere Player entlang der Wertschöpfungskette. Eine Analyse von 52 signifikanten Sicherheitsvorfällen habe ergeben, dass etwa zwei Drittel der Angriffe hauptsächlich Automobilzulieferer betrafen. Laut Studie gelte die komplexe Lieferkette als große Schwachstelle und biete zentrale Angriffspunkte, die mit hoher Wahrscheinlichkeit und oft großem Schadensausmaß ausgenutzt würden.

„Die Cybergefahrenlage für die Automobilbranche ist in den letzten Jahren kontinuierlich angestiegen. Mit der Verbreitung von Software-definierten Fahrzeugen, der Elektromobilität, dem autonomen Fahren und der vernetzten Lieferkette erhöhen sich die Cyber-Risiken weiter“, erklärt Studienleiter Stefan Bratzel vom CAM. Eine professionelle Cyber Security-Strategy von Unternehmen gewinne als unerlässlicher Hygienefaktor in der Automobilindustrie daher stark an Bedeutung.

Die Kundenwünsche nach vernetzten Fahrzeugen und vernetzten Services erzeugen laut Bratzel einen enormen Wettbewerbsdruck, durch den Sicherheitsaspekte mitunter in den Hintergrund geraten. Zusätzlich sei die Umsetzung von Automotive Cyber Security sehr aufwendig: Sie umfasse den gesamten Produktlebenszyklus des Fahrzeugs von der Entwicklung über die Produktion bis hin zur Fahrzeugnutzung. Dabei müssen die Sicherheit in einer komplexen Wertschöpfungskette mit einer verteilten Verantwortung im großen Lieferanten- und Partnernetzwerk gesichert werden.

Dies fordern auch neue regulative Vorgaben zur Cybersicherheit in Kraftfahrzeugen wie die UN R155 (15) und die EU-Verordnung 2018/858. Sie müssen seit Juli 2022 von den Herstellern in der EU verpflichtend für alle neuen Fahrzeugtypen und ab Juli 2024 auch für alle bestehenden Fahrzeugtypen umgesetzt werden. „Für Automotive-Unternehmen wird das Thema Cyber Security erfolgsentscheidend“, ist sich Christian Korff, Managing Director Global Accounts und Mitglied der Geschäftsleitung von Cisco Deutschland und Auftraggeber der Studie sicher.

Eine im Rahmen der Studie durchgeführte Meta-Analyse zu den Cyber-Angriffen auf Fahrzeuge und Unternehmen der Automobilwirtschaft zeigen die stark zunehmenden Risiken. Quantität und Qualiät der Angriffe seien in den vergangenen Jahren erheblich gestiegen und betreffen die gesamte Automobilindustrie, wie Beispiele aus den Jahren 2022 und 2023 zeigen würden:

•  Nachdem ein Zulieferer von Kunststoffteilen und elektronischen Komponenten von einem mutmaßlichen Cyber-Angriff getroffen wurde, musste Toyota im Februar 2022 den Betrieb seiner japanischen Fabriken kurzzeitig aussetzen und konnte rund 13.000 Autos nicht planmäßig bauen.
• Der US-Hersteller General Motors gab bekannt, dass er im April 2022 Opfer eines Cyber-Angriffs wurde, bei dem einige Kundendaten preisgegeben wurden und Hacker Prämienpunkte gegen Geschenkkarten einlösen konnten.
• Auch der Zulieferer Continental wurde zum Ziel von Cyberkriminellen. Eine Untersuchung des Vorfalls im Sommer 2022 ergab, dass die Angreifer trotz etablierter Sicherheitsvorkehrungen einen Teilbestand an Daten aus betroffenen IT-Systemen entwenden konnten.
• Im März 2023 hatten sich Hacker aus der Ferne in ein Fahrzeug Teslas eingewählt, so dass sie diverse Funktionen ausführen konnten. Dazu zählten etwa die Betätigung der Hupe, das Öffnen des Kofferraumes, das Einschalten des Abblendlichts sowie die Manipulation des Infotainment-Systems.
• Software-Schwachstellen in der multimodalen Mobilitäts-App Moovit führten im August 2023 dazu, dass Sicherheitsforscher zahlreiche Registrierungsdaten von verschiedenen Benutzerkonten abgreifen und für kostenfreie Fahrten ausnutzen konnten.

Auch die Produktion und Logistikketten sind von Angriffen betroffen. Angreifer suchen schlecht gesicherte Zugänge in komplexen IT-Umgebungen bei Unternehmen mit hoher Reputation und hohen Cash-Reserven. „Da bietet die Automobilindustrie ein lohnenswertes Ziel. Ich erwarte hier in den nächsten Jahren eine weitere Zunahme der Cyberattacken“, erklärt Holger Unterbrink, Technical Leader bei Cisco Systems.

Die Studie hat in einem „Deep Dive“ zur Elektromobilität herausgearbeitet, dass die Ladeinfrastruktur für Elektrofahrzeuge zu den besonders gefährdeten Bereichen zählt. Das Lade-Ökosystem ist laut Analyse durch seine verschiedenen Marktteilnehmer außerordentlich komplex und bietet grundsätzlich viele Angriffspunkte für Cyber-Kriminelle. Insgesamt zeige die Analyse der Cyber-Angriffe, dass das Bewusstsein in der Branche für die Gefahren und Risiken noch deutlich unterentwickelt ist.

Dazu aus dem Datencenter:

Cybersecurity - Anteil betroffener Gruppen