- Sicherheitslücken in Subaru STARLINK ermöglichten den Fernzugriff und die Steuerung von Funktionen (Entriegeln, Zünden) sowie das Abrufen des Standortverlaufs.
- Fehler im Administrationsportal: Passwortzurücksetzung ohne Bestätigung und Überprüfung der Sicherheitsfragen auf Clientseite, wodurch der Mitarbeiterzugriff ermöglicht wird.
- Offenlegung von Daten: Ein Jahr an Standorten, Adressen, Notfallkontakten und teilweisen Bankdaten, wodurch das Risiko von Diebstahl und Verletzung der Privatsphäre steigt.
- Subaru hat das Problem in weniger als 24 Stunden behoben, aber die Mitarbeiter behalten weiterhin Zugriff auf die Datensätze; dies spiegelt branchenweite Risiken und den Bedarf an Vorschriften und bewährten Verfahren wider.
Jüngste Untersuchungen haben gravierende Sicherheitslücken im STARLINK-System von Subaru aufgedeckt , die es Hackern ermöglichen, aus der Ferne auf Millionen von Fahrzeugen in den USA, Kanada und Japan zuzugreifen und deren Sicherheit zu gefährden. Diese Sicherheitsmängel haben Bedenken hinsichtlich der inhärenten Risiken vernetzter Fahrzeuge geweckt, da diese große Mengen sensibler Daten sammeln und für viele ihrer Funktionen auf Technologie angewiesen sind.
Die Forscher Sam Curry und Shubham Shah entdeckten, dass das System von Subaru mehrere Sicherheitslücken aufwies, die die Fernsteuerung von Fahrzeugen und den Zugriff auf sensible Daten, wie beispielsweise detaillierte Standortdaten eines ganzen Jahres, ermöglichten. Sie konnten außerdem Türen entriegeln, die Zündung manipulieren und sogar Benutzereinstellungen verändern. Diese Entdeckung verdeutlicht die mit der Digitalisierung von Automobilen verbundenen Datenschutz- und Sicherheitsrisiken .
Wie wurden Schwachstellen identifiziert?
Die Analyse begann, als Curry beschloss, das vernetzte System eines 2023er Subaru Impreza zu untersuchen, den er für seine Mutter gekauft hatte. Im Zuge ihrer Untersuchung entdeckten er und sein Kollege ein Subaru-Mitarbeiterportal mit gravierenden Sicherheitslücken. Über das Portal konnten Passwörter ohne Bestätigung zurückgesetzt werden , allein durch Kenntnis der E-Mail-Adresse des Mitarbeiters. Zudem wurden die Sicherheitsfragen lokal im Browser des Nutzers und nicht auf den Subaru-Servern verifiziert, wodurch diese Schutzebene leicht umgangen werden konnte.
Nachdem die Ermittler Zugriff auf ein Mitarbeiterkonto erlangt hatten, konnten sie anhand grundlegender Daten wie Nachname, Postleitzahl, E-Mail-Adresse, Telefonnummer oder Kennzeichen nach Fahrzeugen suchen. Anschließend konnten sie Fahrzeugfunktionen manipulieren, auf den Standortverlauf zugreifen und persönliche Daten des Fahrzeughalters, darunter Adressen, Notfallkontakte und Teile der Rechnungsdaten, erlangen .
Die Auswirkungen von Sicherheitslücken
Die mit diesem Versagen verbundenen Risiken sind erheblich. Zu den zugänglichen Daten gehörten:
- Ein ganzes Jahr Standortverlauf, wobei die genauen Koordinaten bei jedem Start des Fahrzeugs aktualisiert werden.
- Persönliche Informationen wie Namen, Adressen, Notfallkontakte und teilweise Bankverbindung.
- Fahrzeugfunktionen wie die Türen öffnen, Fernzündung und Hupenaktivierung.
Diese Sicherheitslücken gefährdeten nicht nur die Privatsphäre von Fahrzeughaltern, sondern öffneten auch Diebstahl, Belästigung und sogar Sabotage Tür und Tor . Forscher betonten, dass diese Sicherheitsvorfälle ein besorgniserregendes Bild für die Cybersicherheit in der gesamten Automobilindustrie zeichnen.
Subarus Antwort
Subaru wurde im November 2024 auf diese Sicherheitslücken aufmerksam gemacht. Lobenswert ist, dass das Unternehmen schnell reagierte und das System innerhalb von weniger als 24 Stunden nach der Benachrichtigung schloss. Ein Subaru-Sprecher erklärte, dass „keine Kundendaten unbefugt abgerufen wurden“ und dass die Systeme durch kontinuierliche Überwachung verstärkt wurden, um zukünftigen Bedrohungen vorzubeugen.
Die Forscher stellten jedoch fest, dass Subaru-Mitarbeiter trotz der vorgenommenen Korrekturen weiterhin Zugriff auf die Funktion haben, mit der sie Standortverläufe für berufliche Zwecke einsehen können, was langfristige Bedenken hinsichtlich des Datenschutzes aufwirft.
Ein weit verbreitetes Problem in der Branche
Laut Forschern ist der Subaru-Fall kein Einzelfall. Ähnliche Sicherheitslücken wurden auch in Fahrzeugen anderer Marken wie Acura, Honda, Hyundai und Toyota entdeckt. Die mangelnde Robustheit von Datenschutzsystemen ist ein wiederkehrendes Problem in der Branche, in der Hersteller oft der Funktionalität Vorrang vor der Sicherheit einräumen.
Ein Mozilla-Bericht aus dem Jahr 2023 bezeichnete moderne Autos als „Albtraum für den Datenschutz“ und hob hervor, dass 92 % der Hersteller den Nutzern keine Kontrolle über die gesammelten Daten geben und 84 % sich das Recht vorbehalten, diese Informationen weiterzugeben oder zu verkaufen. Dieses Ausmaß an Datenleck unterstreicht die dringende Notwendigkeit strengerer Vorschriften und Cybersicherheitsstandards im Automobilsektor.
In seinem Blog betonte Curry die systembedingte Schwachstelle von Systemen, die Mitarbeitern den Zugriff auf sensible Informationen ohne ausreichende Sicherheitsvorkehrungen ermöglichen. „Die Automobilindustrie setzt stark auf Vertrauen, verfügt aber nicht über die notwendigen Schutzmechanismen für Kundendaten “, kommentierte er.
Dieser Vorfall unterstreicht die Wichtigkeit der Implementierung robuster Sicherheitsmaßnahmen und dient gleichzeitig als Mahnung an die Nutzer, sich der Risiken bewusst zu sein, die mit der Vernetzung in Autos verbunden sind.
