ADAC deckt Sicherheitslücke auf! BMW-Fahrzeuge mit ConnectetDrive

Z4-Roadster

Z4-Roadster

macht Rennlizenz
Registriert
22 März 2014
Ort
Black Forest
Wagen
BMW Z4 e85 roadster 2,0i
BMW-Fahrzeuge mit "ConnectedDrive" können über Mobilfunk illegal von außen geöffnet werden. Laut Hersteller ist die Sicherheitslücke mittlerweile geschlossen.

Der ADAC hat bei BMW-Pkw mit dem System "ConnectedDrive" eine Sicherheitslücke festgestellt. Diese führt unter anderem dazu, dass die Autos über Mobilfunk von außen geöffnet werden können. Der Club hat dies an mehreren Fahrzeugen nachgewiesen. Der Eingriff hinterlässt keine Spuren und läuft in Minutenschnelle ab.

Laut BMW sind weltweit 2,2 Millionen, in Deutschland etwa 423.000 Autos der Marken BMW, Mini und Rolls Royce betroffen, die seit 2010 mit "ConnectedDrive" ausgeliefert wurden. BMW will das Problem nach eigenen Angaben bis zum 31. Januar 2015 durch Einschalten einer Verschlüsselung der Kommunikation mit dem Fahrzeug beseitigt haben.

Ist Ihr BMW auch betroffen?

Für das Schließen der Sicherheitslücke sind kein Werkstattbesuch und kein Teiletausch erforderlich, da das Einschalten der Verschlüsselung seit dem 8. Dezember 2014 im Hintergrund über Mobilfunk erfolgt. Die BMW-Halter können nicht selbst erkennen, ob ihre Fahrzeuge bereits bearbeitet wurden. Wer hierzu Gewissheit haben will (weil das Auto über einen längeren Zeitraum keinen Mobilfunkempfang hatte, etwa in einer Tiefgarage oder wegen abgeklemmter Batterie), sollte sich an die BMW-Hotline unter Tel. 089/125016010 wenden.

"Als verantwortungsbewusster Verbraucherschützer haben wir mit der Veröffentlichung dieser Sicherheitslücke gewartet, bis sie laut Hersteller geschlossen wurde, um hier keine kriminellen Nachahmer auf den Plan zu rufen", so der ADAC Vizepräsident für Technik, Thomas Burkhardt. Bisher liegen dem ADAC auch keine Erkenntnisse darüber vor, dass die Problematik für Straftaten wie Einbrüche oder Diebstähle genutzt wurde.

Schutz vor Manipulation gefordert

Der ADAC fordert die Automobilhersteller auf, Computertechnik im Auto zeitgemäß gegen Manipulation oder andere illegale Zugriffe zu schützen. Dieser Schutz muss nach Standards erfolgen, wie sie in anderen Wirtschaftszweigen (etwa in der IT-Branche) üblich sind. Außerdem muss dieser Schutz von neutraler Stelle bestätigt werden, etwa per Common-Criteria-Zertifizierung des Bundesamts für Sicherheit in der Informationstechnik (BSI) in Bonn.

Wie unser ADAC Experte der Sicherheitslücke auf die Spur kam, sowie alle ausführlichen technischen Details zum Problem und zur Lösung können Sie in der aktuellen Februar-Ausgabe der ADAC Motorwelt sowie auf www.adac.de/sicherheitsluecken nachlesen. Dort finden Sie auch eine Liste aller betroffenen Modellreihen.

Der ADAC hat keine vollständige Sicherheitsüberprüfung von BMW-Fahrzeugen oder unternehmensinterner Prozesse durchgeführt. Diese Aufgabe obliegt alleine dem Hersteller.
 
"durch Einschalten einer Verschlüsselung" ... hat da bei der Produktion der Einschalt-Mitarbeiter gepennt? ... oder was ist da passiert, dass der Fehler per fernwartung so einfach zu beheben ist?!?

Oder sind das umfangreichere Arbeiten, die hier ohne das Wissen der Besitzer im Hintergrund und ohne Werkstattbesuch vorgenommen werden?

... muss man sich mal auf der Zunge zergehen lassen .. da hat BMW aus der Ferne solche Möglichkeiten und nutzt die gar nicht ausreichend!

BMW könnte doch wunderbar mit der Polizei zusammenarbeiten ... wenn das Auto geblitzt wurde und in der Datenbank auftaucht, kann direkt im Kombiinstrument eingeblendet werden: "Bitte überweisen Sie binnen zwei Wochen die Strafe von 50 Euro oder: Du kommscht hier net rein" - mit Soundausgabe wäre doch super!
 
Hat jemand dazu nähere technische Details?
Ich frag mich nämlich ersnthaft, wie man so ein Problem mit einer Trigger-SMS behoben hat. Verschlüsselung aktivieren ist ja schön und gut, aber dem Client muß doch das Zertifikat auch bekannt sein, damit sichergestellt ist, dass es vertrauenswürdig ist? Ansonsten hat BMW das Problem nicht wirklich behoben, dem Client dann ein unsigniertes Zertifikat unterzujubeln, stellt für einen Hacker wohl kein wirkliches Problem dar.
 
http://www.heise.de/newsticker/meldung/BMW-ConnectedDrive-gehackt-2533601.html
Update: BMW betont in einer Mitteilung, dass man die "potenzielle Sicherheitslücke" nach den Hinweisen des ADAC schnell habe schließen können. Das sei möglich gewesen, da keine Hardware betroffen war. Vielmehr habe die Sicherheitslücke den Übertragungsweg der Daten per Mobilfunk betroffen. Die Verwendung des HTTPS-Protokolls stelle nun sicher, dass die Daten verschlüsselt werden und die Identität des BMW-Servers geprüft werden könne. Ein Zugriff auf fahrrelevante Funktionen sei zu keiner Zeit möglich gewesen.
 
Verlier mal in Italien im Urlaub Deinen Schlüssel, dann wünscht Du Dir Connected Drive und einen E89:13wink3z:
 
BensonH schrieb:
[...] dass die Daten verschlüsselt werden und die Identität des BMW-Servers geprüft werden könne.[...]
Zum Vergrößern anklicken....

Genau das meine ich ja, wenn die Identität des BMW Servers vom Client verifiziert werden kann, bedeutet das, dass die Möglichkeit einer verschlüsselten Verbindung bereits in den Fahrzeugen vorbereitet war. Wieso zum Teufel hat man sie dann nicht von vorne herein aktiviert? Es gibt meiner Meinung nach eigentlich keinen nachvollziehbaren Grund, warum man das nicht gemacht hat.
 
Während BMW als innovativer Hersteller bei der Hardware bereits zukünftige techniche Entwicklungen berücksichtigt hat. enstsprach der Softwarestand dem damaligen Stand der Technik und kann vom Kunden daher nicht beanstandet werden. Oder so ähnlich. :whistle::b
 
Wieviele BMWs wohl aufgrund dieser Lücke nach Osteuropa verfrachtet wurden?
Das kein Fahrzeug, wie sagt BMW, betroffen war glaube ich nicht.
 
Die Hoffnung stirbt zuletzt! Vor allen Dingen dann wenn es Software-Sicherheit betrifft! :maledevil:

Interessant und erschreckend zugleich dass es hier insgesamt so wenig Kommentare gibt. :eek: :o

Ich habe heute unter der Nummer im Eingangsposting angerufen. Zu meinem Z4 sagte man mir, dass er den Patchlevel des Erstzulassungsdatum hat!

D.h. es erfolgt - entgegen dem was man in einigen Berichten liest - kein regelmäßiges automatisches OTA-Update (Over the air) über das eingebaute Modem. Somit bin ich rein auf Software-Basis angreifbar! Das wollte man natürlich nicht eingestehen: angeblich ist man nur angreifbar wenn man den Remote-Service über das Portal aktiviert hat und die Remote-App nutzt. Zum Glück ist dies für mein Fahrzeug nie geschehen und es wird dieses Einfallstor für Außenstehende auch nie geben.

Nun: für eine Aktualisierung der ConnectedDrive-Services muss man doch tatsächlich manuell im Navi entsprechende Menüpunkte anwählen (habe ich noch nicht probiert, da Fahrzeug im Winterschlaf). :mad: Dennoch weckt das ganze Prozedere mein Misstrauen sodass ich auch ohne Remote Service-Nutzung in Kürze besagte Aktualisierungsfunktion im iDrive aufrufen werde (was kein Problem laut Mitarbeiter ist und die Aktualisierung tatsächlich "in Minuten" erledigt sein soll). :cautious:

Wer hat hier dbzgl. bereits Erfahrungen oder tiefere Einblicke?
 
Ich möchte das Thema nicht trivialisieren, aber die hiesige Überraschung ist doch recht überraschend. :whistle:

Man sollte doch wirklich nicht ernstlich glauben, dass die rasant zunehmende Vernetzung von Gegenständen des technischen Lebens nicht jede Menge Risiken mit sich brächte. Schon seit Jahren sind Mobiltelefone und WLANs mit einfachen Mitteln beeinflussbar, Fernseher verraten die Sehgewohnheiten ihrer Besitzer und Smart Meter die Anwesenheit der Bewohner. Auch Autos sind nicht erst seit heute mit einem Datenzugang ausgestattet. Morgen werden es auch die Kühlschränke und Lichtschalter sein.

Dieses ganze schöne "Internet der Dinge" liefert Daten über den, der es nutzt, und es lässt sich verwenden, um Einfluss auf den Nutzer zu nehmen. Der Fernzugriff auf das eigene Auto ist da nur ein kleines Teil des Ganzen.

Warum schreibe ich das? Weil Verstehen der erste Schritt zu einem umsichtigen Umgang mit diesen Dingen ist. :) :-)
 
Brummm, das eigentliche Problem ist BMW, nicht das Wissen und Verhalten der Kunden von BMW.
1. Wieso wurde diese Funktion ohne verschlüsselte Kommunikation eingeführt?
2. Wieso hat BMW hier nicht von selbst Updates verbreitet? Die betroffenen Fahrzeuge sind teilweise schon etwas älter.
3. Wie bescheiden ist die Softwarepflege bei BMW das erst jetzt, durch Leute von außen, dieses Problem Ihnen bekannt wurd? Wenn die Funktion integriert war heißt es das bei Einführung die Problematik bekannt und erkannt war

Es stimmt dass das Internet der Dinge heute schon spürbare Auswirkungen hat, aber darum muss sich der Hersteller kümmern, nicht der Kunde.
 
Zuletzt bearbeitet:
Es ist wohl eine eher naive Vorstellung, dass ein Unternehmen, das eine Software einsetzt, diese von Anfang an gegen alle denkbaren oder noch zu entdeckenden Sicherheitslücken schützen kann. Egal, ob Auto- Computer- oder Softwarehersteller. Es denn, man wäre Verschwörungetheoretiker und unterstellt bei so etwas Absicht. Microsoft ist ja ein prominentes Beispiel solcher Spökenkiekerei. Früher ging das Spiel Schloss gegen Dietrich, heute halt IT-Absicherung gegen Hacker. Allein die Tatsache, dass eine Software mittels Update an neue Bedrohungen angepasst werden kann, taugt kaum als Beleg, dass bereits vorher klar war, wie eine Bedrohung später aussehen wird. Man muss halt wissen, dass die Kriminalität nicht auf einem Stand der Technik verharrt, sondern sich ständig weiterentwickelt. Vielleicht gewinnt das gute alte Schloss ja wieder an Bedeutung, weil die Diebe verlernen, dieses zu knacken.:) :-)
Eine Beruhigungspille ist natürlich die Aussage, dass über diese Lücke kein BMW entwendet wurde. Es sei denn, BMW pflegt eine ständige Fernüberwachung und sammelt alle Daten der Fahrzeuge an zentraler Stelle. Was wieder in Richtung Weltverschwörung ginge.:b
 
Inselaffe schrieb:
Brummm, das eigentliche Problem ist BMW, nicht das Wissen und Verhalten der Kunden von BMW.
1. Wieso wurde diese Funktion ohne verschlüsselte Kommunikation eingeführt?
2. Wieso hat BMW hier nicht von selbst Updates verbreitet? Die betroffenen Fahrzeuge sind teilweise schon etwas älter.
3. Wie bescheiden ist die Softwarepflege bei BMW das erst jetzt, durch Leute von außen, dieses Problem Ihnen bekannt wurd? Wenn die Funktion integriert war heißt es das bei Einführung die Problematik bekannt und erkannt war

Es stimmt dass das Internet der Dinge heute schon spürbare Auswirkungen hat, aber darum muss sich der Hersteller kümmern, nicht der Kunde.
Zum Vergrößern anklicken....

zu 1.
Schlamperei
zu 2.
das Update-Prozedere sollte nochmal überdacht werden, wenn schon alles "Connected" ist, sollte wenigstens eine Nachricht an die Benutzer rausgehen, wenn das Update schon nicht selbst angestoßen werden kann.
zu 3.
egal wie groß ein Unternehmen ist, es schleichen sich trotz genauer Protokolle für die Tester Fehler ein. Da wird was vom Progrommierer geändert, der sagt, Mensch das betrifft die anderen Module nicht und schwupps wurde doch was geändert.
Das Prüfprotokoll für diesen Fall bleibt außen vor und der Fehler kommt durch. Es werden niemals alle Module getestet, sondern immer nur was augenscheinlich geändert wird.
 
6inline schrieb:
Es ist wohl eine eher naive Vorstellung, dass ein Unternehmen, das eine Software einsetzt, diese von Anfang an gegen alle denkbaren oder noch zu entdeckenden Sicherheitslücken schützen kann. .:b
Zum Vergrößern anklicken....
Klar, aber bekannte Einfallstore - wie hier es auch war - sollte nicht durchgehen. Ein Worst-Case-Szenario gehört generell beim Entwickeln dazu.
Vieles wird aber bewusst hingenommen, wie viele Seiten werden den per HTTPS verchlüsselt? Schlimmer noch, da sind Seiten auf HTTPS umgestellt, aber der ganze Werbekram kommt per HTTP in die Seite rein. Dass sind die schlimmsten Einfallstore überhaupt, da werden Grafiken, Dateien
usw. von X-Servern nachgeladen die niemand im Griff hat. Bei Focus befinden sich in der Spitze 17 verschiedene Tracker-Seiten, der Großteil setzt auf http :confused:
 
Inselaffe schrieb:
Brummm, das eigentliche Problem ist BMW, nicht das Wissen und Verhalten der Kunden von BMW.
...
Es stimmt dass das Internet der Dinge heute schon spürbare Auswirkungen hat, aber darum muss sich der Hersteller kümmern, nicht der Kunde.
Zum Vergrößern anklicken....

Nein, es ist auch und ganz maßgeblich das Problem der Kunden. Natürlich ist der Hersteller in der Verantwortung, aber es ist illusorisch zu glauben, dass diese Verantwortung so umfänglich eingelöst wird, dass sich der Kunde nicht um das Thema kümmern müsse.

Diese Erkenntnis hilft für das hiesige Thema freilich nicht weiter, könnte für die Zukunft aber hilfreich sein. ;)
 
Brummm schrieb:
Nein, es ist auch und ganz maßgeblich das Problem der Kunden. Natürlich ist der Hersteller in der Verantwortung, aber es ist illusorisch zu glauben, dass diese Verantwortung so umfänglich eingelöst wird, dass sich der Kunde nicht um das Thema kümmern müsse.. ;)
Zum Vergrößern anklicken....
Diese Sichtweise ist falsch und Unternehmen die diesen Weg weiter führen, werden in Zukunft abgestraft werden. Ein wesentlicher Erfolg bei Apple - und generell bei allen Linux-Derivaten - basiert darauf, daß die Updates automatisch und nicht erst durch den Kunden angefordert werden müssen. Microsoft ändert seit Windows 7 - angefangen bei den Patchdays - z.Zt. genau seine alte Update-Politik und wird mit Windows 10 genau den Weg von Apple gehen. Es werden immer mehr Unternehmen spüren, dass
es ist unverantwortlich ist, Updates auf den Rücken der Kunden auszutragen...
 
z4forMe schrieb:
Diese Sichtweise ist falsch und Unternehmen die diesen Weg weiter führen, werden in Zukunft abgestraft werden. ...
Zum Vergrößern anklicken....

Meine Sichtweise ist vor allem eines - nämlich realistisch. ;) Ich habe beruflich viel mit diesem Thema zu tun und bekomme das, auch bei großen Konzernen, "von innen" mit. Aus Sicht der Verbraucher ist deine Hoffnung auf "Abstrafung" sicherlich löblich. Tendenziell geht die Praxis aber, jedenfalls derzeit, eher in die andere Richtung.

Damit meine ich, nebenbei gesagt, weniger die Update-Praxis, die doch nur eine Nuance des von mir oben angesprochenen Themas darstellt. ;)
 
Brummm schrieb:
Meine Sichtweise ist vor allem eines - nämlich realistisch. ;) Ich habe beruflich viel mit diesem Thema zu tun und bekomme das, auch bei großen Konzernen, "von innen" mit. Aus Sicht der Verbraucher ist deine Hoffnung auf "Abstrafung" sicherlich löblich. Tendenziell geht die Praxis aber, jedenfalls derzeit, eher in die andere Richtung.

Damit meine ich, nebenbei gesagt, weniger die Update-Praxis, die doch nur eine Nuance des von mir oben angesprochenen Themas darstellt. ;)
Zum Vergrößern anklicken....

naja, ich bin beruflich auch nicht ganz unbedarft dabei, und bisher war es egal ob die Kunden 5 Arbeitsplätze oder 2000 Arbeitsplätze zu betreuen hatten und egal ob ich in DE,AT oder CH bin, die Problematik ist die gleiche.
Es gibt viele Nuacen, die Update-Politik, die Bereitstellung von Datenbank-Backups, Sicherungen in der Cloud usw.usw...
Und ich rede hier nicht von Verbrauchern, sondern den Mitarbeitern, wenn Du mal zu Siemens kommst, laß dir doch mal ein Rollout zeigen...

aber ich Schweife ab.... zurück zu BMW :b
 
BigZ schrieb:
angeblich ist man nur angreifbar wenn man den Remote-Service über das Portal aktiviert hat und die Remote-App nutzt. Zum Glück ist dies für mein Fahrzeug nie geschehen und es wird dieses Einfallstor für Außenstehende auch nie geben.
Zum Vergrößern anklicken....
In der aktuellen c't ist das ganze sehr Detailiert (und auch technisch) beschrieben. Der Artikel ist auch online verfügbar: http://www.heise.de/ct/ausgabe/2015-5-Sicherheitsluecken-bei-BMWs-ConnectedDrive-2536384.html
Dort heißt es: "So können [...] durchaus die Remote Services deaktiviert sein [...]. Die Aktivierung des Dienstes kann aber ebenfalls per simuliertem Mobilfunknetz erfolgen [...]."
 
Du musst dich einloggen oder registrieren, um hier zu antworten.
Zurück
Oben Unten