Hackerangriffe aufs Auto: Die größte Gefahr lauert nicht mehr im Fahrzeug

Forschende der Universität Göteborg haben jüngst herausgefunden, dass Schwachstellen in Fahrzeugen vor allem in Apps, Websites und Cloud-Diensten zu finden sind. Die zugrunde liegende Studie erschien im September 2026 im „Software Quality Journal“. Das Team hat Schwachstellen aus dem Zeitraum Januar 2022 bis September 2024 untersucht und die Analyse durch Scans ausgewählter quelloffener Softwareprojekte ergänzt. Die Ergebnisse weisen auf öffentlich dokumentierte Sicherheitsprobleme hin.

„Vor zehn Jahren wurden die meisten Sicherheitslücken in den Systemen der Fahrzeuge selbst entdeckt. Mittlerweile hat sich der Anteil der in Apps, Websites und Cloud-Diensten gefundenen Sicherheitslücken fast verdreifacht“, sagt Srijita Basu, Postdoktorandin im Bereich Softwareentwicklung an der Universität Göteborg und der Technischen Universität Chalmers. „Diese Systeme speichern Daten darüber, wo man wohnt, wo man fährt und wann. Das Risiko besteht also nicht nur darin, dass jemand das Auto manipulieren könnte, sondern auch darin, dass er an Informationen über das Leben der Insassen gelangt.“

Versuch: entriegeln und fernstarten über die Cloud

Besonders kritisch sind Dienste, die Fahrzeugdaten verwalten und Befehle aus der Ferne weiterleiten. Ein Beispiel lieferten Forschende um Sam Curry 2024 bei Kia: Über Schwachstellen in der Händler-Infrastruktur konnten sie sich unbefugt Zugriff auf vernetzte Funktionen verschaffen. Bei entsprechend ausgestatteten Fahrzeugen demonstrierten sie unter anderem, dass sie die Autos orten, entriegeln und sogar fernstarten konnten. Auch personenbezogene Daten ließen sich abrufen. Die gemeldeten Lücken wurden anschließend geschlossen.

Der Fall belegt, dass tatsächlich eine erhebliche Gefahr für Privatsphäre und Zugriffsschutz besteht. Das heißt jedoch nicht, dass sich fahrende Autos fernsteuern lassen. Denn Entriegelung und Fernstart gehören technisch gesehen in eine andere Funktionskategorie als die Regelung von Bremsdruck oder Lenkung. Für eine Sicherheitsbewertung müsste deshalb geklärt werden, welche Befehle eine kompromittierte Plattform überhaupt auslösen kann.

Berechtigungen für Zugriffen reichen oft nicht aus

Ein grundlegendes Problem solcher Dienste sind fehlende Berechtigungsprüfungen. Nutzende müssen sich natürlich anmelden, aber dabei handelt es sich um eine reine Identitätsprüfung. Was ungeklärt bleibt, ist die Frage, ob die jeweilige Person auf das angefragte Fahrzeug überhaupt zugreifen und die gewünschte Funktion auslösen darf. Oder, um es mit den Worten der Sicherheitsorganisation Open Worldwide Application Security Project zu sagen: Eine übermittelte Fahrzeugidentifikationsnummer ersetzt keine Prüfung der Zugriffsrechte.

Hersteller stehen daher vor der Aufgabe, die Software entsprechend weiterzuentwickeln: Bei jeder sensiblen Anfrage müsste der Server zunächst das Nutzerkonto prüfen – welches Fahrzeug ist dem Nutzenden zugeordnet und welche Aktionen darf er ausüben.

Zentrale Plattformen sind eine Herausforderung

Eine verschlüsselte Verbindung allein löst die Probleme also nicht, da sie sich nur auf den Transport einer Nachricht bezieht. Die eigentlichen Schwachstellen sind unberechtigte Befehle, die der Server fälschlicherweise akzeptiert. Solche Fehler können besonders weitreichende Folgen haben, wenn viele Fahrzeuge über dieselbe zentrale Plattform angesteuert werden.

Schwachstellen im Auto: Bluetooth als Einfallstor

Auch direkt erreichbare Funkschnittstellen können problematisch sein. Das zeigt die 2025 Veröffentlichung von „PerfektBlue“ in der Bluetooth-Software BlueSDK von OpenSynergy. Das Forschungsteam von PCA Cyber Security beschrieb vier kombinierbare Sicherheitslücken. Die entsprechende Software wird in unterschiedlichen Produkten eingesetzt.

Zur Einordnung: Ein Bluetooth-Angriff erfordert immer räumliche Nähe; je nach Umsetzung kommt eine Interaktion beim Koppeln hinzu. Außerdem wird im Normalfall beispielsweise ein Infotainmentsystem übernommen. Das hat nichts mit einem eventuellen Zugriff auf die Fahrsteuerung zu tun. PCA verweist zugleich auf Herausforderungen, die durch die Lieferkette entstehen: Obwohl der Softwareanbieter bereits Korrekturen bereitgestellt hatte, dauerte es nach Darstellung der Forschenden lange, bis alle betroffenen Hersteller die Änderungen vorgenommen hatten.

Wenn Infotainment und Fahrsteuerung verbunden sind

Wie gefährlich eine durchgängige Angriffskette werden kann, demonstrierten Charlie Miller und Chris Valasek bereits 2015 an einem Jeep Cherokee des Modelljahrs 2014. Über das vernetzte Uconnect-System gelang ihnen ein Fernzugriff, der sogar Eingriffe in physische Fahrzeugfunktionen erlaubte. Möglich machte es das Zusammenspiel mehrerer Schwächen: Das System war von außen erreichbar, zugleich war es an die internen Fahrzeugnetze und die darüber zu steuernden Komponenten angebunden.

Inzwischen ist das Sicherheitsbewusstsein gewachsen. Der Fall macht aber klar, dass Hersteller alle denkbaren Angriffspfade vollständig durchspielen müssen. Welche Schnittstelle ist erreichbar? Welche Rechte gewinnt ein Angreifer dort? Welche weiteren Komponenten kann er anschließend nutzen? Nur so lässt sich eine Aussage darüber treffen, wie groß der Schaden sein könnte – auch wenn eine Sicherheitslücke zunächst unscheinbar aussieht.

Technische Grenzen für potenzielle Schwachstellen im Auto schaffen

Bereits seit 2022 empfiehlt die amerikanische Verkehrssicherheitsbehörde, drahtlos vernetzte Steuergeräte von sicherheitskritischen Funktionen abzugrenzen. Dazu zählen Bremsen, Lenkung, Antrieb und Energieversorgung. Entscheidend ist, dass ein übernommenes Unterhaltungssystem keine weitreichenden Folgen haben darf. Die Kommunikationsmöglichkeiten mit anderen Komponenten müssen also technisch begrenzt bleiben.

An den Übergängen sollen abgesicherte Vermittlungseinheiten nur ausdrücklich zugelassene Nachrichten weiterleiten. Technisch bedeutet diese Trennung deshalb nicht zwingend, jede Verbindung zu kappen: Das Infotainment kann beispielsweise Fahrzeugzustände anzeigen. Daraus darf sich aber kein allgemeines Recht ableiten, Steuerbefehle an beliebige Komponenten zu senden.

Autonomes Fahren auf Stufe 4 verschärft die Gefahr

Mit zunehmender Automatisierung wächst die Verantwortung der Hersteller von Fahrzeugsoftware. Bei einer Assistenzfunktion der Stufe 2 überwachen Fahrerinnen und Fahrer das Verkehrsgeschehen weiterhin dauerhaft. Ein System der Stufe 4 übernimmt die Fahraufgabe dagegen innerhalb seines festgelegten Einsatzbereichs ohne menschliche Überwachung. Bei einem Angriff auf die Fahrsteuerung kann man deshalb nicht davon ausgehen, dass der Mensch korrigierend eingreift.

Auch Sicherheitsupdates können kritisch sein

Softwareaktualisierungen schließen bekannte Lücken, eröffnen aber selbst einen sicherheitskritischen Übertragungsweg. Das für Fahrzeugupdates entwickelte Regelwerk Uptane listet daher notwendige Prüfungen für Softwarepakete und zugehörige Metadaten auf. Dazu gehören digitale Signaturen, Integritätsprüfungen und Versionskontrollen. Das Fahrzeug soll erkennen können, ob ein Paket aus einer vertrauenswürdigen Quelle stammt, unverändert ist und tatsächlich für die vorgesehene Komponente entwickelt wurde.

Dabei genügt nicht immer eine gültige Signatur. Auch eine ältere, ursprünglich korrekt signierte Software kann bekannte Sicherheitslücken enthalten. Uptane berücksichtigt deshalb Angriffe, bei denen Systeme auf alte Versionen zurückgesetzt oder von neueren Aktualisierungen abgeschnitten werden. Hersteller müssen also den gesamten Aktualisierungsprozess absichern.

Schwachstellen im Auto bleiben Herstelleraufgabe

Cybersicherheit gehört inzwischen auch zur Fahrzeugzulassung: Die Regelung Nummer 155 der Wirtschaftskommission für Europa der Vereinten Nationen behandelt Cybersicherheit, die ergänzende Regelung Nummer 156 das Management von Softwareupdates.

Was Fahrerinnen und Fahrer selbst tun können

• Halten Sie Fahrzeugsoftware, Hersteller-App und Smartphone aktuell.
• Berücksichtigen Sie die Installationsvorgaben des Herstellers und klären Sie mit der Werkstatt, ob zusätzliche Aktualisierungen erforderlich sind. 
• Bestätigen Sie Bluetooth-Verbindungen nur, wenn Sie diese selbst angestoßen haben. Bei einer bekannten, noch nicht behobenen Bluetooth-Schwachstelle kann das Abschalten der Funktion eine vorübergehende Schutzmaßnahme sein.
• Verwenden Sie ein starkes, eigenes Passwort für das Fahrzeugkonto.
• Prüfen Sie die Berechtigungen von Apps, die mit dem Fahrzeug verbunden sind.
• Geben Sie Zugangsdaten nicht leichtfertig an zusätzliche Dienste weiter.
• Überlegen Sie auch, welche persönlichen Informationen Sie Sprachassistenten anvertrauen.