Der Standort von 800.000 Elektroautos des VW-Konzerns wurde aufgrund einer Software-Schwachstelle offengelegt
Aufgrund einer Sicherheitslücke des Softwareunternehmens Cariad waren die Standortdaten von 800.000 Elektroautos des VW-Konzerns in Europa mehrere Monate lang im Internet öffentlich zugänglich. Ein Informant meldete die Sicherheitslücke der europäischen Hackervereinigung Chaos Computer Club (CCC) und dem deutschen Nachrichtenmagazin Spiegel, die die Informationen mit anderen persönlichen Daten wie dem Namen des Besitzers verknüpften.
Was bekannt ist
Die problematische Software war auf Fahrzeugen der Marken Volkswagen, Audi, SEAT und Skoda installiert.
Die Software-Schwachstelle ermöglichte es Journalisten, die Aufenthaltsorte der beiden deutschen Politiker mit hoher Genauigkeit zu verfolgen. Insbesondere konnte festgestellt werden, dass das Mitglied des deutschen Verteidigungsausschusses das Pflegeheim seines Vaters besuchte und auch zu Militäreinheiten reiste. Der Spiegel erstellte auch ein Profil der Bürgermeisterin, deren Auto Daten über den Weg vom Rathaus, wo sie arbeitete, zu einer Physiotherapeutin sammelte.
Die Publikation gab an, mehrere Terabytes an Fahrzeugdaten im Cloud-Speicher von Amazon gefunden zu haben. Diese Informationen ließen Rückschlüsse auf das Leben der Besitzer von Elektroautos zu. Neben Informationen über private Nutzer fanden die Journalisten auch Daten über 35 Elektroautos der Hamburger Polizei, anderer Politiker, Führungskräfte aus der Wirtschaft, Mitarbeiter des deutschen Geheimdienstes und Fahrer der Ramstein Air Base der US-Luftwaffe.
Die Hackergruppe CCC informierte Cariad über die Sicherheitslücke. Das Entwicklungsunternehmen hat das Problem schnell behoben.
Cariad erklärte gegenüber dem Spiegel, dass es sich bei der Schwachstelle um eine "Fehlkonfiguration" handele und dass das Unternehmen keine Daten sammle, die es ermöglichen würden, ein Profil über eine Person zu erstellen. Nach Angaben des Unternehmens mussten die Forscher verschiedene Datensätze zusammenführen und dabei "mehrere Sicherheitsmechanismen umgehen". Dem Unternehmen ist auch nicht bekannt, dass jemand anderes als CCC Zugang zu den fraglichen Daten hatte.
Quellen: Spiegel, Chaos Computer Club
