Spionage per Handy-App: Risiko Hightech-Auto | Die Story | Kontrovers | BR24

Moderne Autos lassen sich mit dem Smartphone verbinden und per App steuern. Das Handy wird so zur Fernbedienung für vernetzte Autos. Aus der Distanz kann man die Klimaanlage regeln oder das Fahrzeug auf- und abschließen. Die Schattenseite: Unbefugte können das Auto aufspüren, Routen abbilden oder sogar Fahrzeugfunktionen manipulieren. Reportern des BR-Politikmagazins Kontrovers gelang es wochenlang über einen Fernzugriff per Auto-Handy-App, ein fremdes Fahrzeug zu orten und die gesamte Lebenssituation eines ahnungslosen Autofahrers und seiner Familie abzubilden. Und das alles, weil die Apps der Automobilhersteller schlecht gesichert sind.

Handy noch nach Jahren mit Auto verbunden
Audi und viele andere Automobilhersteller bieten solche Apps mittlerweile an. Mit einer PIN, der Fahrgestellnummer und noch ein paar weiteren Klicks kann man sein Fahrzeug mit dem Handy verbinden. Diesen Service hat auch Sven Prang bei seinem ehemaligen Auto genutzt. 2017 hatte er einen Audi A3 etron als Geschäftswagen geleast und 2019 an ein Audi-Zentrum zurückgegeben. Jetzt hat er verblüfft festgestellt, dass er immer noch sein früheres Auto auf dem Smartphone nachverfolgen kann. Dabei hatte er sich damals aus der App abgemeldet.

Bewegungsdaten zugänglich: Schock für neuen Autobesitzer
Aus den Bewegungsdaten des Fahrzeugs konnte Sven Prang schließen, wo der neue Fahrer wohnt, dass er in seiner Freizeit Golf spielt und dass er wohl in Tirol im Urlaub war. Die Reporter nehmen mit dem jetzigen Halter des Audis Kontakt auf. Der ahnungslosen Autobesitzer ist schockiert darüber, welche Daten für andere zugänglich sind. Die Rückschlüsse, die der ehemalige Besitzer aus den Bewegungsdaten gezogen hat, bestätigt er.

Problem bei IT-Experten bekannt
Dieser Vorfall ist kein bedauerlicher Einzelfall. Bei der Computerzeitschrift c‘t ist das Problem bekannt. Redakteur Sven Hansen hat bei Tests von Fahrzeugen bereits selbst die Erfahrung gemacht, dass er noch lange Zugriff hatte über die App auf Fahrzeuge, obwohl sie bereits einen neuen Besitzer hatten. Dabei mache es keinen Unterschied, von welcher Marke das Fahrzeug ist oder wie teuer es war, berichtet IT-Experte Hansen.

Auch hier machen die Kontrovers-Reporter das Experiment: Bei einem Mazda, den c’t vor Kurzem testete, kann Sven Hansen die Funktionen des Fahrzeugs aus der Ferne bedienen. Über die App kann er nicht nur den Standort feststellen, sondern das Fahrzeug sogar entriegeln – obwohl er über 200 Kilometer entfernt ist.

ADAC fordert besseren Sicherheitscheck durch Hersteller
Der Automobilclub ADAC kritisiert, dass Hersteller diese Apps und Services anbieten, ohne dass es einen echten Sicherheitscheck der IT gebe. Zwar seien die Vorbesitzer gemäß den Datenschutzbestimmungen und AGB verpflichtet, sich von der App abzumelden. Diese Abmeldung funktioniere allerdings nicht immer, denn nicht alle Services und Datenströme würden dadurch unterbunden werden, erklärt ADAC Sprecherin Katrin van Randenborgh. Der Automobilclub fordert die Hersteller deshalb auf, strengere Passwortrichtlinien einzuführen.

Hersteller sehen Halter in der Verantwortung
Audi, Mazda und viele andere Hersteller werben mit ihren Connect Funktionen. Wenn sie nach einem Fahrzeugwechsel noch zugänglich sind, machen die Automobilfirmen hauptsächlich die vorherigen Halter dafür verantwortlich. Der Verband der Automobilindustrie weist eine Verantwortung der Hersteller zurück. Auf Anfrage des BR-Politikmagazins Kontrovers heißt es: „Der Hersteller darf Daten ohne die Zustimmung der Kunden (…) nicht löschen. Der Fahrzeughalter hat die uneingeschränkte Souveränität über die eigenen Daten und natürlich die Möglichkeit, Daten wieder zu löschen.“

Regelmäßige Aktualisierung könnte Sicherheit schaffen
Die Hersteller sehen also allein die Fahrzeughalter in der Pflicht. Bei einem Wechsel müsse die Verbindung des Smartphones zum Fahrzeug gelöscht werden.
Sven Hansen von c’t plädiert für eine weitergehende Lösung: Würden die Nutzer die Verbindung ihres Smartphones in regelmäßigen Abständen erneuern müssen, würden automatisch diejenigen aus dem System fallen, die das Fahrzeug gar nicht mehr nutzen.
Das könnte eine einfache Lösung sein, damit das Auto keine Datenschleuder wird.

Autoren: Sabina Wolf, Gabriel Wirth

"Die Story" - unser wöchentliches Doku- und Reportageformat aus der Kontrovers-Redaktion des Bayerischen Rundfunks. Jeden Mittwoch um 16 Uhr auf diesem Kanal.

[clptp]

"Da fragt man sich wer es noch sehen kann" Du bzw. Das Autohaus hat das Auto nicht Zurückgesetzt. Da kann weder Audi noch das System was dafür.

[a.cognitio]

Die Verschwörungsgetriggerten haben nun wirklich Spass. Die Datenflut ist natürlich problematisch. Allerdings ist auch dieser Bericht etwas Sensationshascherei. Bei Abgabe des Autos oder Verkauf muss einfach nur die Werkseinstellung wieder hergestellt werden, und das Problem ist beseitigt.

[bastian-mueller]

Wie praktisch, dass man das System bei VW, wie einen alten Windows 95-Rechner, alle paar Monate mal zurücksetzen und neu verbinden muss, weil sonst nach und nach nichts mehr funktioniert👍

[hannes-ur]

Das ist ja kein Software Fehler sondern ein klassischer Anwenderfehler.
Wenn ich ein Smartphone beim Verlauf nicht auf Werkseinstellungen zurücksetze, gibt es das gleiche Problem. Oft gibt es eine Funktion um das verlorenen Handy zu orten oder aus der ferne Daten zu löschen. Da kann aber auch niemand außer Käufer und Verkäufer was dafür.

[ptpt]

Sowas hatte ich auch schon bei einem Unfallschaden mit einem 2019er 5er BMW. Der Leasingwagen ging zu einem BMW Händler, welcher den Wagen nach Polen verkauft hatte. Das konnte ich in meiner App noch sehen, da ich wie im Video gezeigt weiterhin auf den Fahrzeugstandort zugreifen konnte. Da mich interessiert hat, was mit dem Fahrzeug passierte, schließlich betrug der Schaden fast 50% des Neupreises, begann ich auf den bekannten Autobörsen nach meinem alten Fahrzeug zu suchen.

Nach mehreren Wochen habe ich das reparierte Fahrzeug dann im Internet gefunden und den Verkäufer nach der Fahrzeugidentifikationsnummer gefragt. Diese war identisch mit der meines alten Unfallfahrzeuges. Auf Nachfrage, ob der Wagen einen Unfall hatte, teilte mir der polnische Verkäufer mit, dass der Wagen nur einen reparierten Parkschaden hätte. Da ich natürlich nicht wollte, dass eventuell meine Daten auf dem Fahrzeug an fremde Menschen geraten, kontaktierte ich BMW, die Mitarbeiter löschten daraufhin die Verknüpfung.

[eriksx]

Ich habe meinen BMW 1er Bj. 2015 beim Verkauf im Infotainment System zurückgesetzt und kann trotzdem nach mehreren Jahren noch per app auf ihn zugreifen.

[verkehrsingenieurde]

Also wer 2 km am Tag mit einem Auto fährt, hat definitiv ein anderes Problem als seinen Datenschutz...

[ChrisTian-zrnm]

Erschreckend, mit welcher Ahnungslosigkeit, Naivität und zugleich Sensationsgeilheit hier ein Thema behandelt wird. Natürlich ist NICHT der Fahrzeughersteller dafür verantwortlich, wer sich mit dem Auto verbindet. Der Hersteller ist ja auch nciht dafür verantwortlich, dass das Auto nach einem Besitzerwechsel neu versichert und bei den Behörden umgemeldet wird. Das ist merkwürdigerweise für jeden selbstverständlich und wird als "Allgemeinwissen" vorausgesetzt, genauso wie man sich seine eigenen Lieblingsradiosender einprogrammiert wenn man das Fahrzeug wechselt. Der gesamte Beitrag basiert auf einer Kleinigkeit (Altbesitzer hat sich nicht abgemeldet bzw. Neubesitzer hat die alten Verbindungen nicht beendet), die zu einem Skandal hochgejubelt wird, der überhaupt keiner ist. Es wird auch nichts an den "Fahrzeugfunktionen manipuliert" (16:46), merkwürdig dass die Antwort der ADAC Anwältin da "zufällig" nicht weiter gesendet wird. Passte vielleicht nicht zur Sensationsgier.
Der Beitrag zeigt, wie tief der digitale Graben zwischen der Autorin/Moderatorin und der heutigen Welt ist. Auf mich wirkt es eher peinlich (Stichwort "Fremdschämen") als dass hier jetzt ein "Skandal" aufgedeckt würde.

[alfscharfenberg]

Ja und nochwas....
Der Vorbesitzer sagte es gerade...
" Das wir alle damit so entspannt umgehen!"
Das ist nämlich genau unser Fehler, der uns alle noch sehr zu schaffen machen wird....
Bitte denkt mal darüber nach...
Nur das wird was ändern..!!

[Eppi]

Danke für die Doku. Mein „alter“ 2020er A4 fährt jetzt in Dänemark rum. Irre das audi die Apps nicht anders sichert.

[becauseican]

Beim neu verbinden fragen ob andere Geräte abgemeldet werden sollen würde auch helfen.

[dieuris]

Ich kaufe doch auch kein gebrauchtes Smartphone ohne es auf Werkseinstellung zurückzusetzen.. :)

[guteronkelpeter]

Da gibt man den Arbeitgebern die Möglichkeit den Arbeitnehmer auf einer Dienstreise total zu überwachen. Doch ein Tool, mit dem der Arbeitnehmer einfach und unkompliziert die Reiseabrechnung machen kann, ist man nicht in der Lage zu installieren !

[shadowmystery]

Plot Twist: Sobald ihr mit einem Smartphone unterwegs seid weiß Google wo ihr wart... selbst wenn Mobile Daten aus sind via GPS und Verbindung zu Funkzellen...
Da brauchst du nicht mal mit dem Auto unterwegs sein. Ich wette man könnte aus den Daten sogar erkennen ob ihr mit einem Auto unterwegs seid, denn ein Fußgänger bewegt sich mit anderer Geschwindigkeit und kann andere Wege nehmen als ein Auto.
Und übrigens, mit 5G oder 6G (ja richtig, daran wird schon geforscht um den Standard genau zu definieren) wird das ganze noch viel schlimmer, denn auf Grund der notwendigen Sendeleistung bei 5G und 6G haben die Funkmasten eine geringere Reichweite, müssen enger platziert werden bzw. über Router/Zwischenstationen weiter geleitet werden um die notwendige Flächenabdeckung zu erreichen (Wände, Kabel etc. die abschirmen können) und man kann dann noch genauer ermitteln wo ihr gewesen seid...

[ajuna-records]

Als ob der Halter nicht wüsste, dass sein Auto eine Datenschleuder ist. Der Bericht ist maximal übertrieben. Aber es ist gut, dass man darauf aufmerksam macht, dass man selber das Fahrzeug noch zurücksetzen sollte.

[Raven]

In Zukunft könnte sowas deutlich weniger oft vorkommen, wenn Smartphone und Auto mittels UBW quasi auf "Schlüssel"-Ebene kommunizieren und man einfach keinen Zugriff mehr in der App bekommt, wenn seit X Tagen oder X Kilometer keine Kommuinikation mehr zwischen Auto und Smartphone stattfand.

[tangoymoto]

Keine Szene ohne handys oder tablet. Sponsored by telekom?

[aeisenack]

'Der Halter soll die komplette Souveränität über sein Fahrzeug haben.' Das wäre doch dann für den Halter ganz einfach die Möglichkeit, geknüpfte Verbindungen zwischen Fahrzeug und App zu löschen ohne die App dafür zu brauchen?!?

[schranzfreak]

Sorry aber der Beitrag ist eine absolute Katastrophe! Erstens redaktionell sehr schlecht recherchiert und zweitens werden zwei Themen miteinander vermischt die keine Verbindung haben. Schon allein der Titel zielt nur auf eine möglichst große Aufmerksamkeit ab. Dass ein Tracking in der dargestellten Konstellation möglich ist, stimmt wohl was aber keinesfalls ein Problem der Herstellt ist. Vielmehr ist es ein Problem der Unwissenheit des Benutzers. Alle Einstellung des Autos auf Werkseinstellung zurücksetzen und das Problem ist kein Skandal mehr. Sollten unwissende Benutzer davor geschützt werden? Ja, aber niemand würde auch sein Portemonnaie verkaufe mit der Bank Karte und den Pin darin… Das zweite Thema was die Hersteller mit den Standortdaten etc. machen muss vollkommen losgelöst davon betrachtet werden. Es hat absolut nichts mit dem eigentlichen Thema zu tun.
Das Automobilfirmen Standortdaten für personalisierte Werbung oder Angebote nutzen könnten sollte kein Überraschen der Google verwendet…

[safebet]

Das muss wie beim Handy werden.. Es gibt ein Profil und wenn ich die Kiste verkaufen will muss ich es abändern, sonst kann man die Kiste nicht beim ersten mal starten.. Also entweder ohne App, oder wenn App, dann mit Abmeldung…