Die Gefahr ist sehr real

Moderne Fahrzeuge sind mittlerweile Computer auf Rädern. Wie groß ist die Gefahr von Cyberangriffen in einer zunehmend vernetzten Infrastruktur?

Aufmerksamkeitswarner, Spurhalteassistent, Notbremsfunktion: Sehr viele hochkomplexe Assistenten sind heute schon serienmäßig an Bord. Solche Systeme weisen eine enorme Anzahl an Programmierzeilen auf. Noch einen Schritt weiter geht die Komplexität bei selbstfahrenden Autos. Hier sprechen wir von bis zu 300 Millionen Programmzeilen. Pro 1000 Programmzeilen treten circa 20 Schwachstellenfehler und ein bis zwei kritische Schwachstellen auf. Aufgrund der enormen Code-Menge steigt die Anzahl potenzieller Schwachstellen also signifikant. An genau diesen Stellen setzen Hacker an.

Auf welche Art und Weise können Hacker die Schwachstellen und Lücken nützen?

Die Bandbreite an möglichen Angriffen ist vielfältig. Daten könnten ausgelesen und abgezogen werden. Angreifer könnten aber sogar aus der Ferne in die Steuerung der Fahrzeuge eingreifen – um ein sehr bedrohliches Szenario aufzuzeigen. Auch Diebstahl ist ein großes Thema: Verbrecher können die Identität der Fahrzeugbesitzer übernehmen, ihre Mehrwertdienste nutzen, aber auch die Autos selbst stehlen. Angreifer könnten auch auf die Kameras und Sensoren der Fahrzeuge zugreifen oder die Ladeinfrastruktur beeinträchtigen. Nicht selten ergeben sich die Sicherheitslücken durch Softwareupdates. Aber nicht alle Hersteller nehmen die Gefahren gleich ernst; die Qualität der Cybersecurity unterscheidet sich teils stark zwischen den Herstellern.

Welche Art von Angriff kommt am häufigsten vor?

Aktuell besteht die größte Gefahr zum Glück für die Brieftasche und nicht für Leib und Leben. Denn die überwiegende Zahl der Angriffe zielt darauf ab, Daten und Zugänge zu stehlen und von den Fahrzeugeignern Geld dafür zu erpressen, dass sie wieder vollen Zugang zu ihrem Fahrzeug und zu ihren Diensten erhalten. Natürlich werden die Daten auch an Dritte verkauft. Wer heute ein neues Auto in Betrieb nimmt, registriert sich ja in vielen Fällen beim Hersteller und nutzt eine App des Herstellers, über die gewisse Funktionen gesteuert werden können. Die Daten, die laufend von den Fahrzeugen gespeichert werden, bieten also sicher den größten Angriffspunkt. In vielen Fällen wissen die Eigentümer der Autos nicht einmal, was alles erfasst, wo es gespeichert und wie es genutzt wird. Das kann vor allem bei Fahrzeugen aus Ländern wie den USA und China, wo es andere Datenschutzgesetze gibt, zum Problem werden.

Brigadier i.R. Walter J. Unger, langjähriger Leiter der Abteilung Cyber-Abwehr im Abwehramt des österreichischen Bundesheeres

Wie häufig kommen solche Angriffe vor?

Sicherheitsforscher haben kürzlich kritische Schwachstellen im Webportal von Kia entdeckt und die Entdeckung öffentlich gemacht. Angreifer hätten Millionen von Kia-Autos aus der Ferne orten, aktivieren und starten können. 2023 gab es auch einen ähnlichen Fall bei Tesla. Auch da konnten sich Hacker aus der Ferne in ein Fahrzeug einwählen und diverse Funktionen ausführen. Die Lücken wurden bereits geschlossen, doch sie zeigen deutlich, dass die Gefahr sehr real ist. Die Automobilbranche erlebt insgesamt eine steigende Anzahl von Hackerangriffen; besonders mit der Zunahme von vernetzten und autonomen Fahrfunktionen wachsen die potenziellen Angriffspunkte ständig weiter. Eine sehr konkrete Bedrohung stellen auch sogenannte Wiper-Programme dar. Sie suchen nach Daten und überschreiben diese. Die Folge ist, dass die Rechner dann nicht mehr gestartet werden können. Die Wahrscheinlichkeit ist zwar nicht hoch, doch mit solchen Programmen könnten Angreifer natürlich auch Autos dauerhaft lahmlegen.

Wer sind die Angreifer?

Die Bandbreite reicht von Cyberkriminellen und Hackern über Terroristen bis hin zu staatlichen Akteuren. Aus Ländern wie Russland, China oder Nordkorea kommen laufend Cyber-Angriffe, die beispielsweise NATO-Mitglieder treffen. Westeuropäische Länder sehen sich seit Beginn des Ukrainekrieges generell immer häufiger mit Attacken aus Russland konfrontiert.

Haben Sie ein Beispiel für einen konkreten Angriff, den Sie mit Ihrer Abteilung abwehren konnten?

Die Cyber-Abwehr auditiert regelmäßig die Fahrzeuge, mit denen beispielsweise der Bundespräsident sowie die wichtigsten Persönlichkeiten des Verteidigungsministeriums unterwegs sind. Dabei gab es Erkenntnisse, dass Angreifer versucht haben, die Gespräche in den Autos abzuhören. Kriminelle haben auch versucht zu tracken, wo genau diese Person unterwegs sind. Durch die stetige Zunahme digitaler Systeme wird es immer komplexer, die Sicherheit der Fahrzeuge zu überprüfen, doch es wird auch immer wichtiger sie abzusichern.

Wie beurteilen Sie das aktuelle Risikoniveau in Bezug auf Cyberangriffe in Österreich auf einer Skala von 1 bis 10?

Das ist nicht einfach zu quantifizieren, aber ich würde sagen, dass das Risiko im mittleren Bereich anzusiedeln ist, insbesondere aufgrund der steigenden Anzahl an vernetzten Fahrzeugen und Angriffspunkten. Entsprechend proaktiv müssen wir den Bedrohungen begegnen und unsere Verteidigungsmaßnahmen ständig evaluieren und anpassen.

Was können Fahrzeugbesitzer:innen tun, um die Sicherheit zu erhöhen?

Für Autofahrer ist es wichtig, alle Systeme regelmäßigen Updates zu unterziehen und möglichst sichere Passwörter zu wählen, um ihre Daten zu schützen.

Und was tut das österreichische Bundesheer, um die Gefahr von Cyberattacken einzudämmen?

Das Thema Cyberabwehr hat im Bundesheer hohe Priorität. Wir nehmen potenzielle Bedrohungen gegen unsere Fahrzeuginfrastruktur sehr ernst. Cyberangriffe sind im Risikobild 2025 explizit als Bedrohung genannt, unsere Maßnahmen orientieren sich daran. Das Schwergewicht der Sicherheitsmaßnahmen liegt in der Prävention. Die Cyber-Infrastruktur der Landesverteidigung muss immer funktionieren, um helfen und schützen zu können, wenn andere dazu nicht mehr in der Lage sind. Über das Bundesheer hinausgedacht, befassen wir uns auch intensiv mit der Gefahr von (Cyber-)Blackouts und den damit verbundenen Risiken. Angreifer nehmen immer wieder die Energieversorgung anderer Länder ins Visier. Wenn der Strom oder die Cyber-Infrastruktur ausfällt, betrifft das natürlich auch die Betankung von E-Autos und in Folge auch das klassische Tankstellennetz sowie Ampeln, Verkehrsleitsysteme etc. Der Verkehr wäre von einem (Cyber-)Blackout massiv betroffen.

Wie sicher ist die Infrastruktur in Österreich aktuell?

Es gibt seit 20 Jahren verschiedenste Programme, um die Infrastruktur sicherer zu machen. Auch die EU hat die Bedeutung dieses Themas erkannt und beispielsweise die NIS-Richtlinien (Netzwerk- und Informationssysteme) erlassen. Dabei handelt es sich um europäische Vorgaben, in Österreich mit dem NIS-Gesetz umgesetzt, die die Cybersicherheit innerhalb der EU stärken sollen. Die Richtlinien verpflichten Organisationen dazu, strengere Sicherheitsstandards zu befolgen, um das Cybersicherheitsniveau zu verbessern. In Österreich wird dieses Gesetz zukünftig für geschätzt mehr als 5.000 Organisationen und Unternehmen sowie schätzungsweise 50.000 Unternehmen gelten, die diese Gruppe als Lieferanten versorgen. Beide Gruppen müssen eine Reihe von Cyber-Sicherheitsmaßnahmen ergreifen.

Brigadier Walter J. Unger, Leiter der Abteilung Cyber-Abwehr im Abwehramt des österreichischen Bundesheeres

Handelt es sich dabei auch um die wesentlichen Akteure im Mobilitätssektor?

Ja, die NIS-Richtlinien gelten etwa für Banken, für Versicherungen und für den Luftfahrtbereich, aber auch für Automobilproduzenten, die Energiewirtschaft und Unternehmen wie die ÖBB, die Wiener Linien oder die Asfinag. Solche Richtlinien befinden sich aber immer im Wettlauf mit der immer stärkeren Digitalisierung und Vernetzung aller Lebensbereiche.

Wenn Sie die Möglichkeit hätten, ein neues Gesetz zur Gewährleistung der Cybersicherheit von Fahrzeugen zu erlassen, welche Aspekte würden Sie darin unbedingt einbeziehen?

Ein neues Cybersicherheitsgesetz sollte klare Verantwortlichkeiten und hohe Sicherheitsstandards für Software in der Mobilitätsbranche vorschreiben. Es müsste die Hersteller dazu verpflichten, ihre Systeme ausreichend gegen Cyberangriffe zu schützen. Unsere Mobilität ist ein hohes gesellschaftliches Gut, das durch die eindeutige Vorgabe von Minimumstandards und strafrechtliche Konsequenzen bei Verstößen geschützt werden sollte.

Mag. Walter J. Unger, Brigadier i.R., ist Berater des BMLV in Cyber-Fragen und langjähriger Leiter der Abteilung Cyber-Abwehr im Abwehramt des österreichischen Bundesheeres.