Luca Leicht: MOVE, der New Mobility Podcast von AUTO, MOTO und SPORT. Hallo und herzlich willkommen zu MOV, dem New Mobility Podcast von Auto, Motor und Sport. Spätestens seit der Thüringer Verfassungsschutz vor chinesischen Autos warnt, ist das Thema Cybersecurity bei vernetzten Autos wieder in aller Munde. Und es stehen Fragen im Raum, wie sicher sind moderne Fahrzeuge eigentlich? Was passiert mit solchen Daten? Welche werden da überhaupt gesammelt? Kann man sich dagegen wehren? Und ist alles so wirklich gut? Und dann vielleicht sogar noch, was machen denn moderne Computer? Was macht die Sicherheit? Wie lang sind meine Daten und diese ganze Übertragung überhaupt sicher? Und genau das wollen wir heute erklären. Das machen wir wunderbarerweise mit einem echten Experten aus dem Gebiet. Wir sind nämlich verbunden mit Christoph Kraus, der ist Professor für Cyber Sicherheit an der Hochschule Darmstadt. Deswegen, Christoph, schön, dass du da bist, der die Zeit genommen hast. Ich glaube, kurz vor dem Urlaub. Deswegen vielen, vielen Dank an der Stelle und herzlich willkommen zum

Christoph Krauß: Ja, Luca, vielen Dank für die Einladung und ich freue mich, hier zu sein.

Luca Leicht: Wie jeder unserer Gäste darfst du dich auch zu Beginn einmal kurz vorstellen. Wer bist du, was hast du bisher getan und was bewegt dich sonst sowieso?

Christoph Krauß: Das, was du tust? Ja, ich bin zum einen erstmal Professor an der Hochschule Darmstadt für Cybersicherheit und habe dort auch mit einem Kollegen zusammen eine Forschungsgruppe Applied Cyber Security Darmstad, wo wir mittlerweile ja schon über zehn Doktoranden betreuen und in verschiedenen Bereichen forschen und eines der Schwerpunktthemen ist eben auch das Thema Automotive Security und auch das Thema Privacy, also der Datenschutz. Wir haben ja verschiedene Forschungsprojekte. Ich denke, wir kommen da heute auch noch auf einige drauf zu sprechen. Und da untersuchen wir eben genau Fragen stellen, welche Angriffe sind möglich auf Fahrzeuge und insbesondere auch, wie kann man dann entsprechende Schutzmaßnahmen umsetzen? Weiterhin bin ich noch Mitgründer der Firma INSIGHT und bin dort auch verantwortlich für das Thema Automotive Security Research. Und dort haben wir eben auch ein Team, das sich mit dem Thema Automotives Security beschäftigt. Da machen wir Bedrohungsrisikoanalysen, Systems Engineering, Penetration Tests im Bereich Automotive, aber auch im Bereich Schienenverkehr, also Railway, Züge und Leit- und Sicherungstechnik der Bahn.

Luca Leicht: Also im weitesten Sinne Mobilität. Wenn ich an Cyber Security denke oder auch die Leute, die ich kenne, die in dem Thema Cyber Security arbeiten, dann ist es ganz oft sind es irgendwie Banken oder so, wo dann wirklich man irgendwie im ersten Moment an Daten, an Datenbanken denkt, aber nicht Auto. Automotive oder Mobilität ist jetzt irgendwie nicht so naheliegend, zumindest für viele Außenstehende. Wie kamst du da in diese Mobilitätswelt mit rein in dem thema?

Christoph Krauß: Ja, ich glaube, es hat so diese vernetzten, eingebetteten Systeme fand ich schon immer spannender als irgendwie so klassische IT-Systeme. Und ich hatte auch schon bei meiner Promotion so vernetzte Sensornetze war damals mein Thema. Und auch da gibt es ja genau die Fragestellung, dass jemand versucht, irgendwelche Messwerte zu manipulieren. Wie kann man sowas schützen? Und dann von den Sensoren bin ich dann eben auch mal zu Autos gekommen. Ich habe auch Projekte im Bereich Energienetze, also vernetzte das Smart Grid, das ja mittlerweile auch sehr viel Informations- und Kommunikationstechnologie hat. Und das sind, glaube ich, einfach so ein bisschen spannendere Themen, die man auch irgendwie so ein bischen. Anfassen und erleben kann. Also auch wir haben Forschungsfahrzeuge in der Forschungsgruppe und dann kann man eben auch mal schauen, was passiert denn, wenn wir da irgendwelche Nachrichten einschleusen und Manipulationen durchführen.

Luca Leicht: Schon angesprochen, wenn man dann so Manipulationen durchführt. Ich würde behaupten, dieses ganze Thema Cybersecurity ist ja schon ein sehr anwendergetriebenes Thema. Das heißt, man weiß nicht nur, wie man absichert, sondern man weiß auch, wie er attackiert. Hast du so eine Hoodie-Vergangenheit mit irgendwelchen Matrix-Bildschirmen, wo deine grüne Zeichen rumflimmen und sowas? Oder kommst du da immer nur ganz klassisch und ganz offiziell?

Christoph Krauß: Ich glaube, es ist schon eher wissenschaftlich. Den Hoodie habe ich ja hier passend auch an, so wie ich das für so einen Hacker gehört. Da haben wir im Fachbereich Informatik bei uns alle solche schwarzen Hacker-Hoodies. Also ich würde schon sagen, es ist eher so die wissenschaftliche Neugier, die einen da auch treibt. Und das war dann, schon während dem Studium hatte ich viele solcher... Hacker-Praktika belegt und diese ganzen Sachen dann auch an der Uni gemacht und dann eben auch im Bereich der Promotion in der Forschung und habe das da eigentlich immer gemacht, aber immer eigentlich schon mit dem Hintergrund, ich möchte es eigentlich dann sicherer machen. Ich möchte verstehen, was sind die Angriffsmöglichkeiten und Wie kann ich dann die entsprechenden Schutzmaßnahmen entwickeln? Und das treibt mich eigentlich bis heute rum und jetzt auch im Bereich eben auch Automotive Security, weil ich ja selbst ein modernes Fahrzeug fahren möchte ich auch, dass es sicher ist. Also helfe ich da ein bisschen dazu, dass ich mich auch in meinem Auto sicher fühle.

Luca Leicht: Okay, ich bin ja großer Fan, ich hab's hier, glaube ich, im Podcast schon einmal gesagt, von dem englischsprachigen Podcast Darknet Diaries, der sich im Wesentlichen um, es werden immer, es ist ein True Crime-Podcast am Ende, bei dem es sich um, ja, digitale Angriffe im weitesten Sinne von irgendwas, ich habe jetzt ein bisschen gehofft, dass du auch solche schönen Anekdoten mit dabei hast, aber dann bleiben wir heute auf der hellen Seite und bewegen uns da. Du sagst selber, du möchtest gern, dass die Autos sicher sind. Was macht dir denn im ersten Moment die größten Sorgen? Sind es die Clouds, sind es die Apps, sind das Werkstätten kompromittiert werden? Es ist die Ladeinfrastruktur. Wo siehst du denn gerade auch aus deiner Forschungsbrille heraus die die größte Sorgen, Kinder?

Christoph Krauß: Genau, also das sind alles Angriffspunkte, die du da genannt hast. Das ist klar und das hat sich alles ja auch so ein bisschen entwickelt. So die die klassischen Angriff Spunkte früher, weil es die Autos noch nicht vernetzt waren, eben mich mit dem Internet verbunden waren oder über Fahrzeug zu Fahrzeug Kommunikation miteinander kommuniziert haben. Da hat man ja physischen Zugriff gebraucht, um zum Beispiel ein Tacho zu manipulieren oder um irgendwelche Funktionen illegal freizuschalten, Chip Tuning zu machen und ähnliches. Das sind eben alles Angriffe, die. Nicht skalieren. Dann habe ich Zugriff auf ein Auto und üblicherweise greife ich dann genau dieses eine Auto an. Und was wir jetzt eben haben, ist eben diese Möglichkeit, wenn wir ein Backendsystem kompromittieren und da hängen ganz, ganz viele Fahrzeuge dran oder eine gesamte Flotte eines Herstellers. Und die kann ich dann komplett übernehmen, dann skaliert so ein Angriff und ich habe auf einmal ganz viele Fahrzeuge vielleicht unter meiner Kontrolle. Und das ist eben, so würde ich sagen, der kritischste Angriffspunkt, den man so hat. Und deswegen, wenn man auch so eine Bedrohungs- und Risikoanalyse durchführt, sagt man, okay, ein Angriff, der ein Fahrzeug betrifft, ja, da können wir irgendwie einen Basisschutz. Und wenn uns das als Hersteller vielleicht irgendwie ein paar Euro kostet, weil der irgendwie ein Chiptuning macht oder eine Funktion illegal freihaltet. Dann ist es, können wir mit Leben, müssen wir jetzt nicht so eine hohe Security umsetzen, wenn aber ein Angriff, der eine ganze Flotte beeinflusst, dann haben wir natürlich ein ganz anderes Problem und da müssen wir entsprechend hohe Sicherheitsmaßnahmen umsetzten.

Luca Leicht: Aber ist das dann, was ist da in deinen Augen das große Ding? Ist wirklich dann der Backend-Server, der dann beispielsweise die AP-Zugriffskontrolle, also übrigens an der Stelle, wenn wir versuchen, immer wieder alle möglichen kleinen Abkürzungen, die heute fallen werden, zu erläutern, die AP ist quasi eine Schnittstelle für Programme, Tools, irgendwas von außen in das System hinein, die definiert ist, dass dann die Geräte miteinander sprechen können. War das korrekt formuliert? Ja, passt so. Was heißt API eigentlich ausgeschrieben?

Christoph Krauß: Programming Interface. Interface, ok, danke. Genau, also wenn man da eben über diese Schnittstellen quasi Zugriffe auf Funktionen hat. Wir haben ja ein schönes Beispiel. Es gibt ja auch die Möglichkeit, über das Backend zum Beispiel das Fahrzeug zu öffnen oder über das Backend irgendwelche Steuerfunktionen durchzuführen. Man ist unterwegs, fährt zum Beispiel ein Elektroauto und möchte irgendwie, das hängt zu Hause an der Wallbox, möchte irgendwie das weiter aufgeladen wird oder man möchte es vorklimatisieren. Und all diese Funktionen sind ja üblicherweise über das Back-End-System, über eine API erreichbar vom Hersteller. Und wenn wir jetzt als Angreifer die Möglichkeit haben, da eben nicht nur ein Fahrzeug anzugreifen, sondern darüber eben, weil es da vielleicht eine Schwachstelle gibt in der API und man irgendwie alle Fahrzeuge oder zumindest sehr viele erreichen kann. Und bleiben wir beim Beispiel Elektromobilität und starten bei allen die Klimaanlage oder die Heizung, dass die volle Pulle läuft und einfach die Batterie aufbraucht und dann will man losfahren und die Batteries leer. Also das wäre ja zum Beispiel ein Angriff auf die Funktionsfähigkeit des Fahrzeugs.

Luca Leicht: Verstehe. Aber häufig gibt es ja tatsächlich das Thema mit den mit den Daten, um die es geht, die da abgezogen werden. Wenn ich mir jetzt so die letzten Hacks angucke, die groß sind oder viel betreffend, dann sind es immer irgendwelche Datenbanken von Kundendaten, von Zugangsdaten, von teilweise auch Daten, Geolokalisierung. Ich meine, letztes Jahr im Januar, glaube ich, also, nee, genau, beim CCC letztes Jahr, also 2024 der CCC, kam mal dieser große Hack bei VW raus. Ich weiß nicht, wie viele Punkte es waren, aber GPS-Koordinaten, wo man das Fahrzeug abgestellt und geladen hatte, beispielsweise, und das war immens. Und die lagen halt einfach offen, ohne wirklich Verschlüsselung in der Cloud. Ähm, und in mehr oder weniger, wenn man's wusste und konnte, für jeden abrufbar. Ist das aber eher ein Thema, also dieses Datending, oder wirklich, wie du's grad beschrieben hast, die Klimaanlage geht an, oder wenn man es noch krasser macht, das Auto ... Verliert halt irgendeine Funktionalität tatsächlich und macht dann was anderes.

Christoph Krauß: Genau, also das ist ein sehr schönes Beispiel. Das war ja dieses Volksdaten von Volkswagen Ende 2024, auch im Chaos Kommunikation Kongress, und das war ja der gesamte VW Konzern. Das waren über 800.000 der Elektrofahrzeuge. Und da konnte man insbesondere eben von der VW ID Serie und von den Seat Fahrzeugen bis auf 10 Zentimeter genau die Position bestimmen. Bei den bei Skoda und Audi war es so, dass es ebenfalls ein weiterer Bereich war. Weiß ich jetzt auch nicht gerade nicht auswendig.

Luca Leicht: Ich glaub, es waren ein paar Meter. Wenn man alles wahrsteht, sieht man's. Es waren keine zwei Kilometer. Nee, nee, das war schon noch so in einem Bereich, wo man ...

Christoph Krauß: Wunderbar Bewegungsprofile erstellen konnte. Wann und wo hat man das Auto geladen? Das ist natürlich aus Datenschutzsicht schon ein großes Problem. Man darf vielleicht ja auch noch irgendwelches Profiling durchführen kann, um zum Beispiel festzustellen, hat man, lädt man jede Woche vor im Krankenhaus und ist derjenige vielleicht krank? Kann man auch irgendwas zurückschließen? Und grundsätzlich würde ich sagen, kann man diese Bedrohungsfaktoren in so vier Bereiche einteilen. Das ist auch aus verschiedenen ISO Standards mittlerweile auch so, dass man sagt, Das kritischste ist natürlich, wenn es safety kritisch ist. Im Deutschen haben wir ja nur den Begriff Sicherheit und meinen dafür ganz viel. Und auf der einen Seite meinen wir so was wie Security. Das wäre der andere Begriff. Also das heißt so dieses Cyber Sicherheits Aspekte. Das heißt, wir schützen das Fahrzeug vor dem Hacker und wir haben diesen Aspekt der Safety, also die funktionale Sicherheit. Und das wäre eben dann der Aspekt, dass das Auto das macht, was es machen soll, dass eben. Die Bremse korrekt funktioniert und die muss immer funktionieren oder airbag, ABS. Ja, also das schützt quasi den Männchen vor dem Auto, dass irgendwie nicht die Brense zum Beispiel ausfällt. Und diese Safety-Relevanz ist natürlich besonders kritisch, weil da geht es dann um Leib und Leben. Das ist so dieser erste große Bereich, in den irgendwie Angriffe oder quasi die Schadensszenarien eingeordnet werden können. Das ist die Safety. Das zweite, was schon dieses Beispiel dieses Operationale, das zum Beispiel das Auto nicht fahren können, weil die Batterie leer ist, weil die Klimaanlage die ganze Zeit lief oder die Heizung. Dann haben wir den Bereich. Der dritten Bereich ist eben dieser Bereich, der das Datenschutzes Beispiel eben diesen VW Vorfall, den wir da hatten, mit den Volksdaten und der vierte Bereich in dem Moment. Genau. Im Englisch würde man das Privacy nennen, Deutsch würde man eher dann so im Bereich Datenschutz nennen. Und der vierte Bereich ist der finanzielle Bereich. Da wäre vielleicht ein Beispiel. Wir laden unser Elektroauto auf die Rechnung von jemand anderem, weil da nicht eine ordentliche Authentifizierung stattfindet vielleicht. Und ich kann dann irgendwie eine Ladekarte von jemand anderen klonen, da gab es früher auch einige Angriffe in dem Bereich und dann ist der finanzielle Schaden bei jemandem. Das sind so diese vier Bereiche.

Luca Leicht: Das haben wir tatsächlich mal eine Geschichte gemacht, dass es erst, also diese Ladekarten sind ekelhaft einfach zu hacken. Also wenn du irgendjemand in der Nähe, ich fand dich, fand dich ähm, außerordentlich bemerkenswert, wie, wie schlecht das ist.

Christoph Krauß: In Sachen Sicherheit. Genau, vor allem die Älteren, die waren wirklich, die konnte man einfach klonen oder man konnte sogar die ID einfach raten, wenn man eine wusste, wie so eine ID aufgebaut ist, dann hat man einfach hinten die RM1 erhöht und meistens hat das dann direkt funktioniert und hat das auf eine Karte geschrieben und konnte dann auch die Rechnung von irgendjemand anderem, den man gar nicht kannte, irgendwie laden. Schön. Naja, das ist wirklich schön.

Luca Leicht: Also, es ist schön für mich, weil ich da viel Forschung noch machen kann, ja, aber... Ja, okay, ja. Nein, also es ist super kurios. Weil du gerade bei Daten bist und Sicherheit und der da denkst, gibt's denn was, wo du sagst an Daten, du fährst selber ein modernes Auto, hast du gesagt, Daten, die du im Automotive-Umfeld nicht preisgeben würdest, also würdest du deine Kreditkartendaten deinem Auto verraten, um dann beispielsweise Plug and Charge direkt machen zu können oder sowas. Oder da, deine. Sonstige persönliche Daten. Würdest du irgendwas nicht preisgeben?

Christoph Krauß: Es ist eine sehr gute Frage, weil es Fahrzeuge ja mittlerweile so viele Daten erfasst. Deswegen frage ich. Natürlich sind Zahlungsdaten natürlich besonders kritisch, wenn wir die im Fahrzeug haben. Aber die sind natürlich auch im Smartphone. Und das Smartphone ist natürlich genauso Angriffen ausgeliefert. Vorteil im Smartphones ist vielleicht das dort das Update-Management oft besser funktioniert als bei vielen Autos, die mittlerweile ja eben auch rollende Computer sind und genauso wie ein Windows-Rechner oder ein Apple-iPhone oder ein Android-Telefon Updates regelmäßig bekommt, um Sicherheitslücken zu schließen, muss das beim Auto ja auch gemacht werden. Aber da haben das manche Hersteller besser, manche hersteller... Schlechter umgesetzt, um die auch over the air einzuspielen. Also deswegen muss man sich schon überlegen, was für Daten gibt man jetzt preis im Auto. Also ich würde auch so ein bisschen sagen, es kommt auch so ein bisschen auf den Hersteller drauf an. Ich habe da natürlich schon einen ganz guten Einblick, weil wir viele Projekte eben auch mit den Herstellern machen. Ich wollte gerade sagen, wem vertraust du und wem vertausst du dich, wenn du das schon so anfängst. Also ich will da jetzt niemandem schlecht reden. Ja, also da gibt es deswegen keine Negativwerbung machen. Ich selbst fahre ein Fahrzeug aus dem VW-Konzern und die machen schon ganz gute Arbeit. Aber genauso machen auch viele der anderen Hersteller, ob da jetzt BMW und Mercedes, mit denen haben wir auch schon Projekten machen, da auch sehr gute Arbeit Schlecht reden will ich jetzt mal keinen. Und ja, aber positiv Kommunikation ist auch schon was. Genau. Ja, Negativ Kommunikations würde ich jetzt ein Beispiel noch bringen, weil das finde ich zum Beispiel, wo es jetzt auch wieder um Daten gibt, ist das Beispiel von Tesla mit den Kameradaten, weil das find ich ihm einfach auch ein sehr krassen Vorfall. Das war im Frühjahr 2023. Da hat die Nachricht an die Tür Reuters ja aufgedeckt, dass die Tesla Mitarbeiter über Jahre hinweg. Private Videoaufnahmen von Kundenfahrzeugen in internen Chats geteilt hatten. Und das waren Aufnahmen, die eben von den Kameras der Fahrzeugen stammten, die eben auch an das Backend geschickt wurde. Das machen nicht alle Hersteller. Tesla macht das zum Beispiel. Und da wurden eben keine technischen Daten, sondern eher unterhaltsame Dinge oder skandalöse Sachen gezeigt irgendwie in Kindfeld hin und im Fahrrad oder auch kritischere, peinlichere Situationen von irgendwelchen Personen. Und Diese Daten konnten aber auch über Systeme von Tesla auch mit dem genauen Standort verknüpft werden. Und so konnte man natürlich auch sagen, zu wem gehören denn diese Personen und dann mit einer Adresse und so mit einer Person zuordnen. Und so was ist natürlich kritisch. Und wenn ich weiß, irgendwie ein Tesla fährt irgendwo rum und die Kameras, die eigentlich ja für den Autopilot da sind, zum Beispiel, oder für einparken, schicken diese Daten an ein Backend, dann eröffnet das natürlich auch verschiedenste Angriffsvektoren. Und das ist ein Problem. Und Da würde ich jetzt zum Beispiel eben genau sagen, so dieser Schutz der Daten bei vielen, bei einigen kann ich es kontrollieren. Jetzt gebe ich jetzt meine Kreditkartendaten ein oder nicht. Wenn Tesla an mir vorbeifährt, dann kann ich jetzt nicht sagen, ja, stopp, hallo, ich will nicht, dass meine Kameradaten von mir, die ich jetzt hier gefilmt wurde, irgendwie an das Backend geschickt werden. Und das ist natürlich auch in anderen Szenarien besonders kritisch. Sorry, dass ich jetzt so lange aushalten weiß, leitet mich super jetzt ein Forschungsprojekt hin. Dass wir gerade mit der hessischen Polizei haben, wo es darum geht, genau solche Fragestellungen, was ist denn, wenn jetzt ein Tesla auf ein Polizeigelände fährt und dort gerade ein Einsatz vorbereitet wird oder irgendwelche Fahrzeuge stehen, die die Polizei, die jetzt eben keine markierten Polizei-Einsatzfahrzeuge sind, sondern normale Fahrzeige und dann wird diese Information an das Tesla-Backend geschickt und auch da gab es ja schon Angriffe über die API und da konnte man auch da auf Daten zugreifen. Und irgendwelche Verbrecher wissen genau, ah, das sind jetzt diese Polizei aus, die sie jetzt im Einsatz benutzen, die getarnten Fahrzeuge zum Beispiel. Und da gibt es schon Polizeien, die sagen, nee, Testers dürfen nicht auf unser Gelände fahren. Weil eben die Kameras die Daten potenziell wegschicken.

Luca Leicht: Aber ist das nicht viel zu kurz gedacht, weil, wenn ich das jetzt genau betrachte, nehmen wir das VW-Beispiel, ähm, die haben ja auch Daten gesammelt. Ich würde persönlich fragen, warum muss denn irgendwo außerhalb meines Fahrzeugs, nein, warum ist überhaupt irgendwo gespeichert werden, wo ich laden war? Wieso muss das, also wieso ist das ein zu erhebendes Informationsstückchen? Mhm. Wieso ist, also, wenn wir zu weit runtergehen, warum, für was?

Christoph Krauß: Ja, also klar, man sagt natürlich immer für die Abrechnung, aber theoretisch würde es ja reichen. Und das haben wir uns auch mal in Forschungsarbeiten angeschaut, weil jetzt zum Beispiel dieses Plug and Charge, du hast das vorhin auch erwähnt, nach ISO 15118, ermöglicht ja einfach, ich stecke den Stecker rein und dann wird alles ausgehandelt, ich wäre authentifiziert und dann werden automatisch auf mein Konto die Ladung abgerechnet. Und es würde ja eigentlich reichen, ich habe jetzt bei irgendwo bei Ionity geladen, ohne jetzt die Position zu speichern. Es ist natürlich schon so, dass der Kunde natürlich auch danach vollziehen will. Warum habe ich denn jetzt wo geladen? Ah ja, okay, das weiß ich, da war ich. Aber dass man dadurch dann natürlich dann auch Bewegungsprofile erstellen kann, das ist natürlich auf der anderen Seite. Müsste man eben sich überlegen, warum wird das denn wirklich hingeschickt. Oder auch andere Daten, die an den Hersteller geschickt werden, die der dann aber natürlich vielleicht benutzt, um Produktverbesserungen zu machen, Weiterentwicklungen durchzuführen, um zu sagen, ah ja, okay, aus den und den Daten kann ich jetzt zum Beispiel meine Kartendaten optimieren, weil ich jetzt gelernt habe, da und da fahren die Fahrzeuge oft im Stau und da fahren sie hoch und runter oder ähnliches, haben einen höheren Verbrauch beim Elektrofahrzeug, ist das ja besonders wichtig. Und oder sie können sowas wie Predictive Maintenance machen und feststellen. Oh, bald müssen irgendwie die Bremsscheiben gewechselt werden oder ähnliche Geschichten. Und deswegen werden natürlich die ganzen Daten geschickt.

Luca Leicht: Aber, aber, wer, wer das nicht, also müsste man da nicht von vorne rein her gehen und sagen stay locally und bleib dann mit den Sachen lokal, die irgendwie personenbezogen sein könnten. Und ich mein, personen bezogen kann am Ende gefühlt, gefühld sehr, sehr viel sein. Aber was, warum kann denn mein Auto nicht irgendwie einen kleinen, einen kleinen Speicher haben, der die Ladevorgänge ablegt? Warum muss das in eine globale Datenbank bei VW landen? Also... Laufen. Und wenn ich dann wissen will, weil ich eine Rückfrage zu meiner Rechnung habe, warum kann ich nicht dann dieses Ding anpingen? Das wird es ja auch viel einfacher machen. Beziehungsweise, wenn das dann global passiert, weil irgendein Hacker kommt und sagt, ha ha, ich will mal die 800.000 Autoflotte anzapfen, dann würdest du ja spätestens wieder sehen, wieso macht unser System gerade 800.00 Anfragen gleichzeitig? Das muss ein Angriff sein. Also du würdest ja damit viel schneller. Sehen, wenn was schief geht und die Autos lokal quasi ganz viele Daten behalten. Und das Projective-Maintenance-Thema ist klar, das kannst du aber halt wahrscheinlich auch relativ easy anonymisieren. Und da sieht niemand durch welches Schlagloch ich fahre, sondern nur das mein Auto.

Christoph Krauß: Durch den Schlag noch fuhr. Ja, wobei es gibt dann, ja, für so manche Sachen ja, aber manchmal ist es ja dann auch so, dass dann so ein Dienst, das ist ja immer so der Punkt, man möchte ja irgendwie für den Kunden irgendwelche Mehrwertdienste anbieten. Einer könnte natürlich sein, hier lieber Kunde X, genau du, musst in vier bis sechs Wochen in die Werkstatt fahren, weil deine Bremsscheiben schon abgefahren sind. Wir bestellen die schon und machte macht ihr automatisch den Termin machen in vier Wochen dann und dann. Und dann kannst du hinfahren und die passenden Bremsscheiben sind schon da. Und da muss man natürlich wissen, welcher Kunde das ist. Also es kommt immer drauf an. Manche Sachen kann man bestimmt anonymisieren, manche Dienste vielleicht eben nicht. Ja und da muss mal eben einfach auch auch schauen. Und deswegen Ja, es ist immer so eine Abwägung und das ist beim Datenschutz immer so eine Abwegung. Was möchte ich für Dienste nutzen? Dann muss ich ein paar Daten preisgeben mit dem Risiko, dass eben solche Bewegungsprofile erstellt werden oder ich kann manche Dinge einfach eben nicht nutzen. Und dieser Aspekt, ja, lokal irgendwas zu verarbeiten, da hatten wir auch vor einigen Jahren schon. Ein Forschungsprojekt, das hat sich selbst Datenschutz im vernetzten Fahrzeug genannt. Und da haben wir genau solche Lösungen mal entwickelt, um zu sagen, wir halten so viel wie möglich lokal im Fahrzeug. Für manche Dienste geht es da nicht. Dann, wie eben jetzt diese Warnung, wir möchten jetzt irgendwie die Brennscheiben für dieses Fahrzeug haben, dann geht der Dienst nicht. Oder wir müssen sagen, wir müssen es explizit freigeben. Das geht. Wurde aber von keinem der Hersteller, die beteiligt waren, umgesetzt, weil es einfach zu teuer war. Und dass es eben auch einfacher ist, dass man sagt, man schickt das ans Backend. Und Daten sind natürlich auch geldwert. Das muss man natürlich auch sagen. All die Daten, die die haben, kann man auswerten und auch für für verschiedene weitere Dinge benutzen, eben für diese Produktverbesserungen und so weiter. Also deswegen das Interesse. Würde ich sagen, ist auf der Herstellerseite gar nicht so hoch, um wirklich guten Datenschutz zu machen. Dann holt man sich lieber die Einverständniserklärung des Kunden hier. Wenn du das Auto fahren willst, unterschreib mir das und dann kriege ich die Daten.

Luca Leicht: Es gibt ja Fahrzeuge, die haben zum Beispiel einen Privacy-Modus, das müsste 2017 oder so gewesen sein, bei Skoda war und dort das neue Infotainment vorgestellt wurde, da hat man so ein kleines Männchen gesehen erstmals, das ein bisschen wie ein Spion mit so einem Hut da saß, da konnte man dann auswählen, dann war ich im Privacy Modus, dann funktionierte ein signifikanter Anteil des Infotaintment-Systems nicht mehr. Was sehr nervig ist und auf Rückfrage dann, ja, man hätte es schon so machen können, dass noch ein bisschen mehr funktioniert. Aber wollte man nicht. Was ist dein Gefühl, dass wir das nochmal konkret abholen, diese Antwort? Sammeln die sehr gerne Daten? Haben die überhaupt ein Interesse oder ein Prozess in Sachen Datensparsamkeit? Oder ist das tatsächlich halt schon eine Kuh, die gerne gemolken werden will, aus deren Sicht?

Christoph Krauß: Na gut, es müssen sich natürlich alle Hersteller an die Datenschutz-Grundverordnung halten. Also das heißt, man muss erstmal den Konsent einholen und man muss natürlich schon eine gewisse Wegbindung machen. Aber ja, ich weiß, was du meinst, aber der Punkt ist, um irgendwelche Produktverbesserungen zu machen, kannst du theoretisch sagen, ich brauche alle Daten, weil irgendwas ist immer für irgendwas relevant.

Luca Leicht: Eben, genau. Ich hab versucht heute zu zählen, wie kukibanas waren. Ich hab um zehn Uhr aufgehört. Also, so in Sachen Konsent geben und so.

Christoph Krauß: Genau, also das ist im Internet ja nicht anders. Ja, also, das ist ja auch klar, weil die...

Luca Leicht: Eben, ja klar. Ich will nur sagen, das ist konform der Datensgrundverordnung. Ja, aber dass die irgendwie gegen eine Wand läuft, ist glaube ich auch den meisten Leuten bekannt. Das ist nicht die sinnigste Variante war, das Thema zu attackieren. Okay, wenn du jetzt in deiner Historie schaust und was es so gab an Hacks und sowas, was ist denn das, was am meisten Probleme verursacht hat? War es die schlechte Sicherung von Daten? Waren. APIs beispielsweise, also diese Schnittstellen, was war denn das, was am meisten anfällig ist für Probleme, die es am Ende verursacht? Kannst du das irgendwie quantifizieren oder gibt es da spezielle Themen, die du besonders interessant fandest?

Christoph Krauß: Gut, also ich würde mal anfangen mit was historischem. Das mittlerweile ist jetzt schon über zehn Jahre her, weil das eben so. Jetzt kommt der Jeep, oder? Genau, der Jeep. Den kennst du wahrscheinlich. Genau, weil ich bin jetzt schon seit weit über 15 Jahren mit dem Thema Automotive Security am Werke und auch vorher. Ich war vorher bei Fraunhofer, habe dort auch eine Abteilung geleitet, wo wir auch viele Automotive-Security gemacht haben. Und da haben wir auch und da war es am Anfang wirklich mühsam. Projekte mit der Industrie zu machen, weil die gesagt haben, ach, Security brauchen wir nicht. Das kostet nur Geld und passiert doch eh nix. Und dann kam eben 2015 dieser große Jeep-Hack, wo Wille und Wellasec, zwei Sicherheitsforscher, eben diesen Jeep Cherokee, remote über das Mobilfunknetz kontrollieren konnten. Und da eben auch so was Kritisches, so was Safety-Kritisches, wie die Bremse beeinflussen konnten. Und

Luca Leicht: während das Auto fährt, 70 Meilen pro Stunde, also 100, also Autobahntempo und dann konnten die sagen, Bremse.

Christoph Krauß: Genau. Oder eben auch den Motor zu deaktivieren, also alle wirklich in kritische Fahrfunktionen. Und dann haben sie ja auch auf dem Parkplatz bei langsamerer Geschwindigkeit, konnten sie dann auch die Lenkung übernehmen, weil sie dann die Funktion in der Einparkhilfe in diesem System übernehmen konnten. Und das war so ein Weckruf für die Industrie und danach wurde es viel einfacher, Projekte mit Security, mit der Industrie zu machen. Und da war eben das Problem, dass wir eben Schwachstellen in diesem Telematik-Steuergerät initial hatten und von dort konnte man sich dann von Steuergerät zu Steuergeräte weiter hangeln und dann weitere Schwachstellen ausnutzen, um dann eben auch auf Fahrfunktionen zuzugreifen. Konkret war das da eben die Funktion, die die Einparkhilfe kontrolliert. Und die Einfahrhilfe kann natürlich eben auch Gas geben und bremsen und dann gerade Einschläge durchführen. Und das ist dann das Problem, da gab es den riesengroßen Rückruf. Und das wäre so dieser eine Punkt, wo man sagen kann, okay, wir haben Schwachstellen. Und das war das Beispiel, was ich vorhin mit dem Handy gebracht habe, wo wir auch regelmäßig Software Updates einspielen müssen. Und so müssen wir eben auch Software Update bei den Fahrzeugen einspülen. Und das hat damals eben noch gar nicht gang und gäbe. Mittlerweile haben wir sogar UN-Regulierung, die uns das vorschreiben, dass wir ein Software Update Management System umsetzen. Das heißt, wirklich jeder Hersteller muss entsprechende Prozesse etablieren. Am besten geht das Ganze natürlich noch over the air, also über die Mobilfunkverbindung, so dass man nicht immerhin noch in die Werkstatt fahren muss, um eben kritische Sicherheitsschwachstellen zu patchen. Und das ist so, würde ich so sagen, so einer der Bereiche wirklich im Schwachstellen im Fahrzeug. Zweite Punkt wurde auch da hat man jetzt daraufhin gesprochen. Wir sind wirklich jetzt mittlerweile eben diese ganzen Backend Geschichten. Apis, die wir irgendwie Schwachstellen haben. Gab es auch bei Tesla mal ein Vorfall, wo man über die Api von die unzureichend die Authentifizierung Tokens verifiziert haben. Dann konnte man von anderen Nutzern über so eine Dritt Anbieter App ging das dann wunderbar denen ihre Farb. Profile und Bewegungsprofile abrufen. Da gab es vor ein paar Jahren eben auch mal diesen Vorfall, der wurde dann relativ schnell gefixt. Aber sowas gibt es eben immer. Dann haben wir das Beispiel von von Volkswagen. Ja, also das gibt es immer. Aber es gibt natürlich auch noch viele andere. Ich weiß gar nicht.

Luca Leicht: Also ich würde sagen, es gibt keinen Hersteller irgendwie, ich glaube bei Honda gab es Ransomware, bei dem Connected Drive von BMW gab es schon irgendwelche Themen, die man dann mit OTA irgendwie hat fixen können. Bei Kia gab es das auch. Bei Toyota. Also genau. Also es gibt, glaube ich, keinen Herstellers, der das macht oder der glümpflich davon kam. Vielleicht Dacia, ich weiß es nicht, weil die Autos nicht so crazy vernetzt sind, wobei das mittlerweile auch nicht mehr stimmt. Um Aber gibt es irgendwie dann eine Lösung? Weil du sagst gerade diese UN-Regulierung und ich habe sie nicht gelesen. Ich gehe davon aus, du hast die aktiver beforscht als ich. Aber davon dem, was ich mit anderen Deutschen darüber gesprochen habe, sagt die halt, ich muss so ein System vorhalten. Aber ganz klassische Verordnungen. Nicht ich muss es benutzen und auch nicht wie oft ich dann beispielsweise Updates rausnehmen muss oder rausgeben muss, welche Geschwindigkeit ich dann bringen muss, wenn ein Fehler auftaucht. Oder ist das falsch? Also, für mich klang das so ein bisschen nach Papiertiger.

Christoph Krauß: Kritisch. Ja, also es würde sagen nicht unbedingt. Es gibt ja im Prinzip, es gibt ja zwei Regulierungen. Es gibt die 155 und die 156. Die 156 ist für die Software Updates zuständig. Und da ist es schon auch so, dass man in angemessener Zeit eben auch Schwachstellen fixen muss. Also dabei weiß ich jetzt auch nicht genau, wie wie die Zeiträume sind. Aber das ist schon vorgeschrieben, dass man sagen kann, das sind, wenn das kritische. Punkte sind, müssen die in angemessener Zeit gefixt werden, weil es eben ansonsten vielleicht auch Angriffe gibt, die, wenn sie zum Beispiel Safety-kritisch sind, dann müssen sie natürlich wesentlich schneller gefißt werden, als wenn sagen wir mal in Anführungsstrichen nur das Auto nicht mehr fährt, weil irgendwie die Batterie leer ist. Ja, dann ist es ist jetzt kein Leib und Leben in Gefahr. Dann kann das Update vielleicht auch ein bisschen länger dauern. Und in anderen Fällen muss es schon schnell gehen. Die andere Regulierung, die ist ja für den sicheren Entwicklungsprozess, quasi von der Entwicklung bis zur Außerbetriebnahme des Fahrzeugs gilt. Und da müssen wir eben die hängen ja auch so ein bisschen zusammen, dass man da eben über den gesamten Lebenszyklus sicherstellen muss, dass das Fahrzeug. Sicher ist. Und diese UN-Regulierung 155 wird dann umgesetzt durch den ISO-Standard, die ISO-SAA 21434, die dann eben sagt, wie geht man dann damit um? Und da ist eben auch ganz klar dieses Lebenszyklus-Modell definiert und dass man da eben am Anfang mit einer Bedrohungs- und Risikoanalyse macht und wenn man dann Risiken identifiziert haben, die safety-kritisch sind mit einem hohen Risiko, setzt man dann Schutzmaßnahmen Um? Damit ist dann das Risiko reduziert. Das Fahrzeug kriegt seine Typzulassung, wird verkauft, auf die Straße gebracht. Aber wenn dann bekannt wird, oh, jetzt gibt es Schwachstellen und das Risikosteigt wieder und es ist... Jetzt quasi kein, und es gäbe jetzt kein Software-Update, dann könnte so ein Fahrzeug auch eine TÜV-Zulassung theoretisch verlieren. Wenn man dann eben nicht rechtzeitig reagiert, um entsprechend so ein Software-update-management-System in der Hinterhand hat, um das Fahrzeug zu aktualisieren.

Luca Leicht: Jetzt sagst du schon, theoretisch, ich erinnere mich an ein Softwarethema, das dann Abgas, Nachbehandlungen beeinflusst hat. Und dann war diese Behörde namens Kraftfahrtbundesamt dafür zuständig, das zu kontrollieren, zu verifizieren, etc. Wir haben alle gesehen, wie schwierig das für die Leute da ist. Und es ist kein Vorwurf an die Behörden, weil das ist halt nie deren Aufgabenstellung so gewesen. Aus eigener Sicht, aus Bevölkerungssicht Vielleicht schon. Wie safe ist das denn, dass dann sowas wirklich passiert und wer und ist aus deiner professionellen Sicht heraus, sind diese Behörden, die verantwortlich dafür in der Lage überhaupt sowas?

Christoph Krauß: Gut nachzuhalten? Gut, die Behörden machen das ja nicht ganz alleine. Also die, klar. Nee, nee, also, aber. Genau, also zum einen das Kraftfahrtbundesamt arbeitet ja eng mit dem Bundesamt für Sicherheit in der Informationstechnologie, dem BSI zusammen, genau, an diesem Thema. Aber die sind ja auch in ihren Behörde beschränkt und üblicherweise werden dann technische Dienste benannt, ja, also z.B. TÜV. TÜF, DEKRA und keine Ahnung, genau. Und die prüfen dann. Wurden dann zum Beispiel das Cyber Security Management System korrekt umgesetzt. Das heißt, sind die Prozesse etabliert, wurden bei der Entwicklung von den Fahrzeugen systematisch Bedrohungsrisikoanalysen gemacht, wurde ein korrektes Sicherheitskonzept gemacht, wurde alles ausführlich getestet und so weiter, was alles dazugehört. Und das wird dann durch einen TÜV, der dann eben entsprechend akkreditiert ist, geprüft. Und dann bekommt das Fahrzeug erst durch das KBA die Typzulassung. Und genauso gilt es eben auch für dieses Software Update Management System. Auch das muss etabliert sein und funktionsfähig sein. Und ansonsten bekommt man nicht die Typzulassung. Aber ja, das ist auch korrekt. Wir haben auch bei unserer Firma, bei InSight, haben wir auch schon Projekte gemacht, wo wir einen kleineren Truck-Hersteller begleitet haben, bei dem Prozess die Zulassung zu bekommen. Also die Zertifizierung für die UNR-Regulierung 155. Und in einem der ersten Meetings war wir wollen da grad so durchkommen. Es soll so billig wie möglich sein. Sovier gewinnt nach dem Motto. Das ist das heißt, das ist natürlich das Problem oft mit solchen Regulierungen und den zugehörigen ISO Standards, dass das quasi so ein minimales Sicherheitsniveau definiert. Und da bei einigen Herstellern ist es dann einfach wirklich so. Sie machen einfach nur das Minimum. Andere da. Wird viel mehr gemacht, weil sie einfach sagen, ja, wir müssen mehr machen. Falls nämlich was passiert, ist unsere Reputation, also unser Ansehen so geschädigt, dass wir so viel Verlust machen. Da machen wir doch mehr, als quasi notwendig wäre, um das Minimumniveau. Weil einfach so auch da hängen natürlich wieder die Kosten dazu, wird genau kalkuliert. Wenn was passiert. Dann ist der Schaden so und so hoch. Und das wird auch in Euros berechnet. Und dann sagen wir, OK, da machen wir mehr und dann machen wir trotzdem mehr Gewinn. Natürlich ist alles immer Geld getrieben. Das ist ja so ein bisschen das Problem in der Automobilbranche. Dann bräuchte ich das auch so, aber dass man extrem einen Kostendruck hat und da einfach sehr genau auf jeden Euro drauf schaut.

Luca Leicht: Ich meine, ist ja in dieser ganzen Sicherheitsbranche noch viel schlimmer, weil das ist ja dieses Paradox, das dann immer auftaucht mit, es ist ja nichts passiert, also hätten wir es auch weglassen können, weil man es nicht abgesichert hat, das ist das nächste Thema. Aber was ich mich trotzdem frage ist, wenn ich mir anschaue, was die Hersteller teilweise machen, damit keine Steuergeräte getauscht werden, damit keine keine Ahnung, du keine Radios tauschen kannst einfach so, da musst du Sachen anlernen. Also da wird wahnsinnig viel Arbeit investiert, um irgendwie die ECUs und den Kannen und keine Ahnung, was sicher zu machen. Und wenn es dann aber um Cloud-Dienste geht, also ich habe jetzt wirklich noch mal recherchiert vor unserem Gespräch, was für Hacks und was für Themen es gab. Und es war gefühlt alles, also ein signifikanter Teil davon, der wirklich viel, viel mehr war als der Rest, waren immer irgendwelche Login-Themen und AP-Themes, Testaccounts noch da waren in den ECUs oder in den Clouds und also so Sachen, die einfach nur durch Schluterigkeit passieren, also kann man, glaube ich, schlecht anders sagen. Woher kommt das? Warum ist das so?

Christoph Krauß: Also das ist komplett richtig, ja. Also genau diese API-Fehler, die bei Tesla waren oder auch jetzt bei Volkswagen, bei den Volksdaten, das sind so klassische Anfängerfehler. Oder auch Nissan hat so einen Dienst gehabt für die App, dass man so die Klimakontrolle und Ladeverhalten, und da musste man nur die Fynn kennen, die Fahrzeugidentifikationsnummer. Und das sind einfach... Die steht halt beim Leaf außen drauf. Die steht bei jedem Fahrzeug in der Wirtschaftsscheibe, genau. Ja, nicht mehr.

Luca Leicht: Ja, nicht mehr. Mittlerweile wird es ja sogar häufig abgeklebt irgendwie, also das muss man auch dazu sagen. Das ist ja auch so eine Erkenntnis von vielen Herstellern, dass jetzt, da hast du diese Aussparung noch in der Vintage-Scheibe und dann ist drunter noch so eine schwarze Folie geklebt.

Christoph Krauß: Damit du sie nicht mehr siehst. Mittlerweile hat man das, bei BMW macht das, glaube ich, jetzt. Habe ich jetzt bei einigen gesehen. Ja, also es gibt ja einige Hersteller mittlerweile. Genau. Ja, aber genau. Aber vor allem bei dem Nissan Leaf war das ja dann eben genau das Problem und da zu der Zeit kam, also das sind einfach Anfängerfehler. Also wenn ich das in der Vorlesung im ersten Semester bei einem Studenten, wenn der das noch machen würde, aber da würde ich schon sagen, nach der fünften Vorlesungen würde er den Fehler nicht mehr machen. Manchmal frage ich mich da auch, warum? Ja, und ich habe keine Antwort, ehrlich gesagt. Deswegen schickt die Leute noch mal zu uns in die Hochschule. Die sollen noch mal Einführungen in die IT-Sicherheit sich anhören.

Luca Leicht: Okay, an der Stelle.

Christoph Krauß: Ich will jetzt nicht alle unter einen Kamm werden, weil wir machen ja viele Projekte auch mit den den Security Abteilungen, da sind richtig gute Leute dabei. Und auch vor vielen Jahren gab es ja schon diesen BMW Connected Drive Hack, wo im Prinzip die gesamte Fahrzeug von dieselben Schlüssel, kryptographischen Schlüssel gespeichert hat. Und man hatte ein Fahrzeug, musste man mal reverse inginieren, um auf diese Schlüssel rauszukommen und konnte die bei allen anderen Fahrzeugen benutzen. Und da habe ich auch gedacht, bei BMW sind so viele wirklich richtig gute Leute. Das war garantiert irgendeine Management Entscheidung, die gesagt haben, ah, lasst uns Kosten sparen. So Schlüsselmanagement kostet zu viel Geld. Wir nehmen bei allen den gleichen Schlüssel, die gleichen Schlüsse. Also das ist, glaube ich, dann doch oft ein Problem dieser, dieser Kostendruck, dass da einfach zu viel gespart wird an manchen Stellen.

Luca Leicht: Wenn wir jetzt ein Ding weitergehen, ich habe ja in Eingangs schon gesagt, also was mich das zu dem Thema bewogen hat, war, ich glaube das war ja auch im Rahmen des CCC, dass der Verfassungsschutz sich auf einmal einmischt in das Thema Sicherheit von Autos, was mich ein bisschen schockiert hat im ersten Moment. Der Thüringer Verfassungshutz, da dachte ich, die haben glaube ich andere Sorgen eigentlich gerade. Aber okay, bitte Autos aus China. Wie ist denn dein Blick auf diese Fragestellung, ob Autos speziell jetzt aus China... Noch sicher genug sind oder ob man da besonders vorsichtig sein muss.

Christoph Krauß: Ja gut, ich weiß nicht, ob das jetzt China oder irgendwie ein anderes autoritäres Land vielleicht sein könnte.

Luca Leicht: Also viele gibt's nicht mehr, die sonst Autos bauen und exportieren.

Christoph Krauß: Ja, USA vielleicht, wenn wir jetzt gerade sind.

Luca Leicht: Ja, ja, das ist dann auch das, ja okay, also mit der Microsoft Nummer, da kommen wir bestimmt noch drauf, ja.

Christoph Krauß: Genau. Aber deswegen, also grundsätzlich zum einen zu den Daten, sobald die einmal das Fahrzeug verlassen, kann im Prinzip erst mal jeder drauf zugreifen. Und wenn die jetzt in irgendeiner Cloud liegen, von einem Hersteller, können da potenziell natürlich auch irgendwelche staatlichen Organe sagen, wir möchten da jetzt Zugriff haben und können dann Bewegungsprofile von mir erstellen. Und das nächste Problem ist natürlich, die Fahrzeuge sind natürlich auch potenziell remote kontrollierbar. Also wenn jetzt ein Startzugriff auf die Cloud des Herstellers erzwingt, könnte er theoretisch aus der Ferne irgendwelche Flotten auch vielleicht deaktivieren. Also das sind natürlich Probleme und das muss man sich schon irgendwie bewusst sein, wenn man das so ein Fahrzeug hat, das irgendwie diese Internetverbindung hat. Das gilt aber jetzt nicht nur für Fahrzeuge, das hilft ja, ich habe ja noch ein Projekt, zum Beispiel auch im Bereich der Energienetze, auch von Photovoltaikanlagen, die Wechselrichter, die ja auch mit den Herstellern klaut sind. Da gibt es ja auch schon Studien, wenn jetzt da auch ein Staat sagen würde, wir deaktivieren jetzt mal alle Wechselrechter, die in Deutschland... Installiert sind, dass das eben auch große Probleme für das Energienetz mit sich bringt. Und das Gleiche gilt natürlich auch für die Fahrzeuge. Und was da hilft, ist im Prinzip die Internetverbindung zu kappen. Das ist dann kann man natürlich dann sagen, OK, dann kann ich das Fahrzeug irgendwie weiter nutzen, aber vielleicht gewisse Dienste wieder nicht. Das ist genau wieder, wo wir es vorhin wieder von hatten. Diese Abwägung zwischen den Diensten, die ich nutzen möchte, irgendwelche cloudbasierte Klimatisierung oder ähnliches, dann ist ich irgendwie das. Zulassen, habe dann aber potenziell eben diese Gefahren.

Luca Leicht: Okay, würdest du deswegen aber davon abraten, weil du das dort, ich meine, ihr beforst das ja auch, ihr werdet das auch untersuchen, denke ich. Siehst du, dass da mehr Daten außerhalb gehen als woanders? Also bei Tesla weiß man, an der Stelle mag auch vielleicht nochmal empfohlen sein, wir hatten letztes Jahr, ich schreibe es euch in die Show Notes gerne rein, zwei Folgen zu dem Thema Tesla Files mit den Journalisten, die das Buch geschrieben haben, das wirklich sehr spannend ist. Und ja, die Freunde von Tesla werden jetzt wieder ganz viele böse Kommentare schreiben. An der Stelle seid alle freundlich gegrüßt, ich hoffe es ist trotzdem in Ordnung für euch. Da haben sie ja sehr klar und ausführlich aufgelistet, wie viele Daten da einfach so irgendwo rumliegen auf die Zugriff, auf die man Zugriffe haben kann. Du hast es vorhin auch schon erwähnt, das Thema. Aber siehst du, Autobauer oder irgendwelche generell Herstellerländer, in denen das so ist. Ich meine, jetzt schauen wir uns mal den Stellantis-Konzern an. Der ist auch so halb in den USA verbandelt. Ich glaube, offiziell ist der Firmen-Sitz zu Amsterdam, aber jetzt braucht man sich ich vorstelle es da an. Die amerikanische Hälfte oder Drittel des Konzerns nicht ordentlich mitredet. Dass man dann sagt, ich kann kein Opel kaufen, weil die Installantes drin sind.

Christoph Krauß: Also da müsste man natürlich sehr genau reinschauen, also das ist die Frage, das weiß ich jetzt auch nicht, was Opel, also früher hat Opel ja noch sehr viel in Deutschland gemacht, mittlerweile ist es eben durch die Stellantis Anbindung auch da sehr integriert und ich weiß jetzt nicht zum Beispiel, ob die jetzt sagen, die ganzen Backend Anbindungen erfolgen über Backends in Deutschland oder sind das irgendwie schon auch internationale? Also Das müsste man einfach genauer mal analysieren. Also mit Opel zum Beispiel habe ich mit Stellantis Fahrzeugen, muss ich sagen, mit am allerwenigsten gemacht. Da kenne ich mich am wenigsten aus. Mit den vielen der deutschen Herstellern, da kenne ich mich aus und da weiß ich, es bleibt alles eben in Deutschland. Da sind die Backends da. Und ich gehe jetzt mir nicht davon aus, dass irgendwie die deutsche Bundesregierung irgendwann mal alle Fahrzeuge von der VW Flotte irgendwie deaktivieren lässt.

Luca Leicht: So sei es zu hoffen, aber ist es dann sinnvoll oder wichtig oder sollte es für mich als Kunden denn in deinen Augen wichtig sein, dass der Server hier steht? Weil für mich war die Frage, als ich mir das so erdacht habe, das ist schön, dann steht der Server zwar hier, aber er ist halt auf einer Azure Cloud oder auf einem AWS, also Microsoft oder er ist bei AWS mit Amazon und dennoch hat ja den Root Zugang irgendeinen Chef ITler, der in den Staaten hockt. Oder in China, oder in irgendwas, und dann kann ja die Daten können dann noch so sicher sein, aber wenn, du hattest vorhin gesagt, wenn irgendein autoritäres System sagt, wir machen das mal aus, dann muss der ja nicht, der geht ja nicht dann nach Frankfurt ins Rechenzentrum und zieht da irgendwie Netzwerkkabel raus, sondern der macht das über die Konsole von zu Hause, während er im Bett liegt. Also so, so stelle ich mir das sehr vereinfacht vor, ich hoffe, das ist schwieriger.

Christoph Krauß: Genau, aber das ist ein Problem, natürlich.

Luca Leicht: Aber da habe ich ja trotzdem nichts davon, dass der Server hier steht. Weil das ist auch, finde ich, persönlich immer so eine... Dann ist immer so, ja, wenn der Server steht, ist alles gut und ich bin so...

Christoph Krauß: Nicht, oder? Ja, gut, genau. Also es kommt natürlich dann auch auf den Anbieter an. Also wenn das eben ein Anbeter ist, der eben quasi wo der Hutzugang in dem anderen Land liegt, dann ist es natürlich ein Problem. Deswegen zum Beispiel die ganzen Behörden und ähnliches benutzen sowas wie ABS einfach genau aus diesen Gründen nicht. Und das ist dann eben genau das, was man sich einkauft, wenn man dann sagt, ok, ich benutze sowas, wie Microsoft. Oder Amazon oder ähnliche Dienste, da muss man sich natürlich bewusst sein, potenziell liegt das in den USA und da ist potenzielle eben auch ein Zugriff möglich. Also es ist auch wieder, da musst man genauso wie ein Hersteller, muss glaube ich jeder für sich so eine gewisse Risikoabschätzung machen, vertraue ich denen jetzt oder nicht? Also ich will da jetzt gar keinem reinreden, was er da für sich sagen soll, das sollte sich jeder im Prinzip selbst überlegen, was man sagen kann. Okay, das ist jetzt sagen bleiben wir mal bei Stellantis und sehr wahrscheinlich ist alles da irgendwo in der US Cloud und potenziell ist das für mich ein Risiko oder ist es das für mir nicht. Genauso, wenn jemand sagt, ich möchte mir ein chinesisches Fahrzeug kaufen, weil es vielleicht ein bisschen kostengünstiger ist als ein europäisches Fahrzeuge. Dann muss auch jeder sich überlegen, ja, was kaufe ich mir damit ein, dass ich vielleicht 5000, 10.000 Euro sparen. Habe ich dann vielleicht eben auch genau diese Problematik, dass meine Daten vielleicht dann nach China gesendet werden. Kann es eben dann staatlichen Zugriff geben, das zu erklären? Will jetzt keinem irgendwie was unterstellen, aber man muss sich natürlich allen Risiken, muss man sich einfach ja mal bewusst sein, wenn man dann so eine Entscheidung trifft, was für ein Fahrzeug man kauft.

Luca Leicht: Aber wenn wir dann, ich glaube, seit Corona sind wir alle mit dem Wort Potentialität auch irgendwie vertraut. Wie hoch schätzt du denn bei solchen Sachen? Jetzt reden wir die ganze Zeit und malen sehr schwarz. Und an der Stelle, sorry, wenn jemand schlechte Laune bekommt. Aber wie hoch ist denn das reelle Risiko in deinen Augen? Jetzt haben wir die Möglichkeit besprochen, also die Möglichkeitsebene, was schlimmstenfalls ginge. Aber jetzt aus dem, wie du das siehst, analysierst, ist es ein echtes Szenario oder ist es schon mehr? Mein dystopisches Kopfkino, das da gerade irgendwie feiern geht.

Christoph Krauß: Das ist natürlich wieder unheimlich schwierig zu sagen. Also und ich bin ja natürlich Sicherheitsforscher. Ich beschäftige mich immer mit dem Worst Case. Das ist ja immer das Problem, das man dann so hat. Wenn man sich dann auskennt, dann weiß man, oh, im schlimmsten Fall passiert das und das und dass. Das ist, genauso wie Ärzte, natürlich immer genau wissen, oh mein Kind hat bestimmt die und die Krankheit, weil er alle die schlimmsten Sachen kann. Deswegen bin ich wahrscheinlich der Schlechteste zu fragen, weil ich immer in den Worst Case denke. Aber trotzdem würde ich jetzt sagen, also gewisse Dinge, da muss schon noch einiges passieren, dass da wirklich irgendwie, was weiß ich, ein großflächiger Angriff, alle Fahrzeuge von einem Hersteller werden irgendwie deaktiviert. Also ich würde es jetzt auch nicht zu schwarz malen. Aber man muss, sollte trotzdem so ein gewisses gesunder, gesundes Nachdenken doch machen, um einfach zu sagen, es gibt aber gewisses Restrisiko. Und ich glaube, das ist für den einen, es wäre es zum Beispiel auch, da sagt es, es ist total unkritisch. Bleiben wir bei dem Thema Datenschutz heutzutage. Die Leute teilen ja mittlerweile so viel über Instagram, TikTok und so weiter. Da ist denen der Datenschutze, ist denen vielen einfach wirklich egal. Ja, mir persönlich wäre es zum Beispiel nicht. Und ich würde wahrscheinlich eine ganz andere Risiko Bewertung aus meiner Sicht machen, dass ich sage, OK, ich würde kein Fahrzeug kaufen, wo meine potentiellen Daten wie zum Beispiel auch Kameradaten irgendwie an das Backend des Herstellers geschickt wird. So ein Auto würde ich mir nie kaufen. Für andere sagen sich das ist mir egal. Wobei die meisten Leute es wahrscheinlich gar nicht wissen. Das ist halt das wollte ich gerade.

Luca Leicht: Das wollte ich genau gerade sagen. Jetzt kannst du ja einen Tesla gekauft haben, oder auch den VW oder den was auch immer, aber woher weiß denn ich, dass der meine Innenraumkamera, die gucken soll, ob ich auf die Straße gucke und meistens nicht funktioniert, aber trotzdem ein Bild aufnimmt, woher soll denn ich wissen, wie der seine Daten verarbeitet? Macht er das im Auto? Muss er die einmal um den halben Glos schicken und dann da auf einem Server rechnen lassen, weil er zu knausrig war, um mir ein leistungsfähiges Steuergerät ins Auto zu bauen? Aber dafür mehr Geld in das LTE-Modul gesetzt, dann ich weiß es nicht.

Christoph Krauß: Wie soll ich das denn wissen? Genau, und das ist was, was ich sehr spannend fände, wenn man da so was wie eine Art Siegel oder so einen Endcup-Test macht. Das gibt's alles noch nicht, aber das fände ich zum Beispiel was, wo man hinarbeiten könnte. Wir haben ja die Endcup Tests, um zu sagen, wie mit fünf Sternen, okay, das Fahrzeug hat ein hohes Safety-Niveau, die funktionale Sicherheit ist sehr gut, kurzer Bremsweg, die Knautschzone ist toll, alles gut. Und sowas bräuchte man auch für Security und eben auch für Privacy, also für den Datenschutz, dass da dann entsprechende Untersuchungen durchgeführt werden. Wir machen das teilweise auch bei bei Insights oder bei wenn wir Penetration Tests durchführen, dann gucken wir auch, welche Daten werden irgendwie geschickt oder ähnliches. Auch in meiner Forschungsgruppe machen wir sowas, dass man da einfach sagt, OK, man kriegt dort auch oder wird auch dort getestet und geprüft. Welche Daten werden dort wie an das Backend geschickt? Sind die anonymisiert vielleicht oder eben nicht, weil man für manche Dienste das braucht? Und dann gibt es auch so was wie ein 5 Sterne, 4 Sterne. Und da könnte der Nutzer sich entsprechend dann auch informieren. Also sowas fände ich toll, wenn es sowas gäbe. Da müsste man eben auch einfach auch noch auf die Politik ein bisschen einwirken, dass man sagt, okay. Das sowas schafft man noch. Oder man etabliert es auch ohne politischen Druck, so dass man einfach sagt, hier, das ist auch ein Kaufargument für viele Leute. Die gucken jetzt eben nicht nur nach den Krächtest results, sondern eben auch nach den Tests der Security und der Privacy.

Luca Leicht: Aber das heißt, diese Themen, die jetzt ja sowas wie das, keine Ahnung, Datenübertragung verschlüsselt werden, das ist nicht zulassungsrelevant, nur um das noch mal kurz festzuhalten. Die könnten im Plaintext meine Sachen versenden und irgendwo ablegen. Das muss nicht so sein, um...

Christoph Krauß: Doch, doch, aber die gehen ja trotzdem an das Backend. Also das ist natürlich schon, also die ISO 21434 gibt ja natürlich schon vor, dass man entsprechend diese Bedrohungs- und Risikoanalyse durchführt. Und da gibt es ja schon diesen Aspekt Privacy. Und da wird natürlich schon gesagt, okay, das sind jetzt personenbezogene Daten. Und das sind Daten, die können, was weiß ich, einfach mit der Fahrzeug Identifikationsnummer oder dem Kennzeichen in Verbindung gebracht werden. Die ans Backend geschickt werden. Und damit kann man diesen Personenbezug herstellen. Und das ist in der Bedrohungs- und Risikohandel, die kommt das raus. Das kommt dann in die Kategorie Privacy. Und da würde man dann sehen, okay, diese Daten sind schützenswert und dann muss entsprechende Schutzmaßnahmen umgesetzt werden. Das ist mindestens mal das, dass man sagt, okay, wir schützen die Nachrichten, dass sie verschlüsselt über das unsichere Internet geschickt werden und dann erst im Hersteller-Backend wieder entschlüsseled werden. Das ist mal so das Minimum, das man dann hat. Wenn der Nutzer dann zugestimmt hat, okay, der Hersteller darf die Daten haben, auch mit Verknüpfung zu mir, dann ist alles gut. Entsprechend gibt es aber vielleicht auch die Möglichkeit, dass man dann sagt, ne, das will ich nicht, und dann werden vielleicht auch Daten noch animisiert, bevor sie rausgeschickt werden. Aber das ist durch die UN-Regulierung 155 und quasi durch die Anwendung der ISO SAE 21434 dann gegeben.

Luca Leicht: Wenn es darum geht, das Auto tatsächlich sicher zu machen, man könnte ja auch sagen, Software Defined Vehicle, also dieses Auto, das dadurch sich auszeigt, dass es vor allem sich charakterisiert wird durch die Software, durch die Funktionalitäten, die durch Software, durch Code gemacht werden, die sind einfach ein Risiko, weil halt Code Risiko behaftet ist und mehr Code heißt mehr Risiko. Also ist das Software Define Vehicle das größte Risiko? Muss man damit dann halt einfach Klarkommen auch in deinen Augen oder?

Christoph Krauß: Also ich würde sagen, das ist nicht nur als Risiko, ich würde es auch als Chance sehen, weil man kann auf der einen Seite natürlich dadurch viel mehr Funktionen realisieren. Man kann dann auch das ist ja auch so der Trend, dass man jetzt so mehrere leistungsfähige Brains werden sie oft genannt hoch performante Computer quasi hat. Wenn da auch zum Beispiel mal einer ausfällt, kann ein anderer übernehmen, dass man so ein bisschen Redundanz hat. Vielleicht werden ein paar Funktion reduziert, weil man nicht mehr genügend Rechenleistung hat. Aber das ist. Auf der einen Seite eine Chance für viele Funktionalitäten, aber auch diese Architekturen ermöglichen oftmals bessere Software-Updates, als wenn wir wie bei klassischen Fahrzeugen 100 verschiedene Steuergeräte haben, zum Beispiel. Und dann haben wir auch innerhalb eines Fahrzeugs oder einer Fahrzeug Kategorie oder eines Modells, gibt es dann ja oftmals unterschiedliche Ausstattungsvarianten, dann gibt es auch verschiedene Steuergeräte für das einmal vom einen Hersteller, dann beim Facelift von dem anderen, weil der günstiger war. Und da ist es unheimlich schwierig, so ein Software-Update auch für die ganzen Steuergerät umzusetzen. Da hat man eher so diese zentralisiertere Architektur mit diesen Brains und die Software, die wir da hat. Setzt schon ein gutes Software Update dann auch, wenn man sagt, OK, natürlich sind mehr Lines of Code, mehr Schwachstellen, aber ich habe ein gutes Schwachstellen Management und kann die auch schnell fixen. Dann ist es auch eine Chance, auch für die Security. Also man muss das darf das immer nicht nur so schwarz sehen mit dem dem Software Define Vehicle, sondern eben auch da die Chance. Man muss das aber natürlich von Beginn an so Security by Design und mitdenken und sagen, OK, ich muss damit umgehen können. Ich habe jetzt sehr viel Lines ich muss schnell Software-Updates bringen, ich muss Prozesse haben, ich muss genau wissen, welche Betriebssystem-Versionen ich habe, welche Libraries in welcher Version. Sobald eine Schwachstelle aufkommt, muss ich gucken, wie ich den Patch möglichst schnell teste und auf die Fahrzeuge bringe.

Luca Leicht: Macht man denn dann so ein Auto sicher? Ich weiß noch, ich habe das vor ein paar Monaten im Podcast auch Maria Anhalt von der Elektro-Belt gesprochen. Die meinte, du musst es halt auch gut machen. Aber wie macht man dann in deinen Augen als Sicherheitsforscher ein Auto sicher? Gibt es da so eine Faustregel, die fünf Punkte, das musst du halt machen.

Christoph Krauß: Also es ist dafür sind die Fahrzeuge oft natürlich zu unterschiedlich. Es gibt natürlich die klassischen Angriffspunkte, aber es fängt alles bei den Prozessen erst mal an. Das heißt, wir müssen erst mal in dem gesamten Unternehmen muss Security quasi von Anfang an mitgedacht werden. Das müssen allen Prozesse dabei sein. Und das fängt eben schon bei der Entwicklung an. Und dass man dann eben systematisch erst mal sagt, OK, ich bau mir erst mal, schau erst mal wie ist meine Fahrzeugarchitektur und wo sind denn jetzt die besonders kritischen Angriffspunkte? Ja, also da einfach noch mal zu schauen, welche Bedrohungen existieren, was sind die typischen Angriffsvektoren und dann eben eine wirklich gute Risikobewertung machen, die möglichst vollständig ist und alle Möglichkeiten alle Möglichkeiten abdeckt. Damit fängst du im Prinzip an und dann. Ein entsprechendes Sicherheitskonzept umzusetzen, um dann zu sagen, jetzt schaue ich mir diese Punkte an, die besonders hohes Risiko haben und natürlich auch die vielleicht noch mittleren. Und da muss ich gute Schutzmaßnahmen umsetzen und muss mir von vornherein eben bedenken. Dass das Ganze eben auch updatebar sein muss. Und da kommen wir jetzt vielleicht noch schon zu einem anderen Thema, was ich in einem anderen Projekt mache. Diese Möglichkeiten des Updaten, das muss eben nicht nur irgendwie so klassische Schwachstellen sein, sondern vielleicht auch größere konzeptionelle Änderungen, wie zum Beispiel ein eingesetzter kryptographischer Algorithmus wird unsicher. Ich muss jetzt vielleicht nicht nur den Schlüssel austauschen, sondern das gesamte Verfahren, weil das unsicher ist. Und sowas muss man dann natürlich schon bei der Designphase vorsehen, dass man sowas auch potenziell austauschend kann. Und dann die Sicherheit eben quasi bis zum Lebensende des Fahrzeugs gewährleisten zu können. Das ist so ein wichtiger Punkt.

Luca Leicht: Aber ist das denn realistisch? Du hast vorhin schon fallen lassen, wie kostengetrieben die Autoindustrie ist. Und das ist eine, gerade wenn wir mit, wenn ich hier mit IT-Leuten aus der Autoindustrie reden darf, hatte ich Sascha Kahn gefragt. Ich habe den Magnus Özberg von Mercedes gefragt. Schon viele, viele Leute hier, wenn die ein Auto konzipieren, dann konzipiert die das ja für SOP, also Start of Production, keine Ahnung, 2026. Dann soll das sieben Jahre vom Band rollen. Im Idealfall benutzt es aber Hardware von 2015 für irgendwelche kleinen Komponenten, weil die sind schon abgeschrieben, die sind fertig entwickelt. Und im IdealfALL auch benutzt du es nicht irgendwelchen High-Performance, Hyper, State of the Art, keine Ahnung was Technologien, die entteuer sind, sondern irgendwas, was in rauen Mengen in irgendwelchen Hochregallagern liegt und du günstig einsacken kannst. Genau so ist es. Und die Anforderungen erfüllen. Du hast vorhin schon gesagt, diese UN-Regelung, die sind dann die Mindestanforderung, das ist dann das, was ist. Aber um das, das du beschreibst, müsste man ja eigentlich überall so eine gute Portion mehr reinpacken an Ressourcen, die dann im Zweifeln nie gebraucht würde, aber am Ende das dann den ROI, also den Return-Best nach hinten schieben. Und das will kein aktiengetriebenes Unternehmen, das irgendwie von Bilanz zu Bilanz läuft. Genau. Ist das denn realistisch?

Christoph Krauß: Ja, aber genau, aber das ist ja was, wo vielleicht auch die Regulierung ein bisschen entgegenwirkt. Also alles, was du gesagt hast, ist vollkommen richtig. Ja, genau dieser Kostendruck, das ist ein Riesenproblem. Auf diesem Weg jetzt vielleicht zu diesen Computer, diesen Brains, ja, hat man vielleicht dann die Möglichkeit, mehr Rechenleistung zu haben, um zum Beispiel auch neuere Algorithmen in Kryptographie zu nutzen, ein paar Ressourcen davon. Aber das ist ein großes Problem, was wir eben in der Automobilbranche haben, dass wir diesen großen Kostendruck haben und da muss man die Produkte auch so lang.

Luca Leicht: Ich mein, du hattest das Handy angesprochen. Das ist halt nach drei, vier Jahren sowieso, oder gelernt im Eimer, und dann ist es für viele Leute in Ordnung. Aber wenn mein Auto nach sieben Jahren die Grätsche macht, oder schon nach zehn, dann bin ich ziemlich stinkig. Und man sieht's jetzt auch, ich krieg's in Leserbriefen, weil ich vor einiger Zeit die Geschichte geschrieben hab, wo es um Funktionsabschaltungen ging. Weil Mercedes beispielsweise und auch BMW und viele andere auch bislang ein 2G-Modul für den Real-Time-Traffic. Und jetzt haben wir es ganz aktuell mit dem E-Call über Dutzende Fahrzeugmodelle, weil das falsche Modem drin ist und deswegen Daten jetzt nicht mehr ankommen. Und jetzt ist die Frage, behalten ihre Zulassung, wenn die mit E-call homologiert wurden. Also, und dann hat der Kumpel Niemann, herzlichen Glückwunsch an dieser Stelle. Und dann kommt der Herdenruf beim Hersteller an, die Kunden auch wie als Redaktion und fragen nach. Und dann hast du ja, nee, also so Updates, ein Ersatzsteuergerät mit einem anderen Modul. Das hatten wir jetzt so eigentlich nicht in Planung. Also muss man da dann aber auch nicht Security by Design mäßig viel mehr Plug and Play planen, dass ich auch sagen kann. Wir haben jetzt zwar diesen Rechner, der performant ist, aber für in zehn Jahren brauche ich, ich brauche Schnittstellen, ich braue Architekturen, die ich austauschen kann und gegen irgendeinen Snapdragon, der dann halt, wie auch immer er heißt, welche Numerierung er hat und ihn halt austauschen kann. Also gibt es sowas? Ist sowas in Planung? Siehst du solche Projekte? Ist das auch wieder Kopfkino?

Christoph Krauß: Genau, also das ist absolut wichtig, dass man eben auch zur Einhaltung dieser Regulierung, dass, man eben so was vorsieht und wir beschäftigen uns da gerade auch in einem öffentlich geförderten Projekt vom Bundesministerium für Forschung, Technologie und Raumfahrt, genau BMFTR heißt jetzt, früher WMWF. In einem Konsortium mit dem Thema, was ist denn, wenn wir Quantencomputer haben und die aktuelle Kryptographie gebrochen ist? Ja, also das betrifft ja jetzt nicht nur die Kryptografie, die in Autos ist. Das ist ja die, die wir auch beim Online-Banking benutzen. Da gibt es kryptografische Algorithmen aus der asymmetrischen Krypto-

Luca Leicht: Jetzt musst du, glaube ich, noch mal ein bisschen aufarbeiten. Jetzt bist du wahrscheinlich ein bisschen nerdig, liebe Leute, aber ich freue mich sehr drauf. Okay, also Quantencomputer macht was und was ist mit Quanten-Komputer?

Christoph Krauß: Genau, ein Quanten-Konfüter kann bestimmte Probleme lösen. Und wir haben in der Kryptographie, gibt es so grob zwei Klassen von, oder es gibt zwei Klasse von Algorithmen, es gibt die asymmetrischen Verfahren. Da gibt's so einen öffentlichen Schlüssel, den darf jeder kennen und den privaten Schlüssel den darf nur einer kennen. Und dann kann man zum Beispiel eine Nachricht mit dem öffentlichen Schlüssel verschlüsseln und dann kann nur der, der den Privaten kennt, die Nachricht entschlüssel. So ein ganz einfaches Beispiel. Und dann gibt es die symmetrische Krypto, da kennen beide den gleichen Schlüssel und können der eine verschlüsselt mit dem einen Schlüssel, und der andere hat eine Kopie des Schlüssels, wie so beim Vorhängeschloss, da beide haben den gleichen Schlüssel. Und der andere kann das dann entschlüsseln. So, und jetzt haben wir Quantencomputer, und die können gewisse mathematische Probleme leicht lösen, wie das Faktorisierungsproblem oder das diskrete Logarithmusproblem. Diese mathematischen Probleme stecken hinter den asymmetrischen Kryptografieverfahren, die wir gerade heute einsetzen, wie RSA zum Beispiel. Und da der Quantencomputer diese Probleme schnell lösen kann, sind im Prinzip genau all diese Verfahren, die wir heute einsetzten, RSA, Diffie-Hellmann zum Beispiel, komplett gebrochen und unsicher. Die symmetrische Verfahren sind nur so ein bisschen betroffen, da Ja, da gehen quasi so Ausprobierangriffe, Brute Force nennt man das, gehen ein bisschen schneller. Da muss man die Schlüssellänge von 128 auf 256 Bit verdoppeln. Das kann man relativ einfach machen, sage ich mal. Wobei auch im Auto mit eingebetteten Systemen, die fest 128 Bit nur können, ist auch ein Problem.

Luca Leicht: Ich kenne gar nicht genau.

Christoph Krauß: Aber es ist nicht so das ganz große Problem. Das größere Problem sind die asymmetrischen Verfahren. Und da muss man jetzt neue Algorithmen, die sogenannten Post-Quantum-Kryptographie, einsetzen, die eben gegen Angriffe durch den Quantencomputer, aber natürlich auch gegen Angriff von klassischen Computern, resistent sind. Und die Verfahren haben so einen Nachteil, deswegen werden sie auch noch nicht so, oder wurden sie auch in der Vergangenheit nicht eingesetzt, gab es schon länger solche Ansätze werden jetzt auch neu erforscht. Die sind nicht so effizient. Das heißt, die haben entweder einen viel größeren Schlüssel oder, wenn man irgendwas signiert, also quasi unterschreibt, dass man der korrekte Absender ist, dann sind diese Signaturen ziemlich groß oder man braucht sehr viel Rechenleistung, um irgendwas zu überprüfen. Und deswegen sind die nicht so attraktiv gewesen. Aber jetzt eben durch die Bedrohung durch die Quantencomputer sind sie auf einmal doch attraktiver, weil sie eben auf anderen mathematischen Problemen basieren, die ein Quanten-Computer nicht angreifen kann. Und die untersuchen wir jetzt gerade. Wie bringt man die denn jetzt in ein Fahrzeug und wie kann man eben migrieren zu solchen Verfahren und wie kann man so man nennt das kryptografische Agilität. Das heißt, wir haben erst mal so ein altes Verfahren wie RSA. Und wie können wir das dann irgendwie durch ein PQC Verfahren wie Sphinx Plus zum Beispiel so ein Verfahren. Das ist vielleicht nicht das effizienteste, aber so mal als ein Beispiel können wir die dann irgendwann austauschen. Und genau da kommen wir jetzt zu dem Problem unterstützt denn die Hardware das oder können wir irgendwie Funktionen, die in der Hardware jetzt vorhanden sind. Benutzen und umbauen, dass wir trotzdem auch die neuen Verfahren einigermaßen effizient nutzen können. Oder müssen wir jetzt vielleicht doch ein bisschen mehr Ressourcen vorsehen, um auch solche Anforderungen zu erfüllen. Und das ist gerade ein Thema, das auch die Industrie rumtreibt und wir haben da auch ganz viele Partner in dem Projekt. Ja, also das ist ja öffentlich bekannt. Also da ist Infineon ist Konsozialführer. Wir haben auch als Mobilhersteller SVW als assoziierter Partner bei. Schaeffler ist noch dabei, Denso und auch noch weitere Forschungspartner. Und da gucken wir genau jetzt so an. Können wir jetzt zum Beispiel Mikrocontroller so entwickeln, dass wir sie eben auch kryptoagil gestalten, um eben auch neue Algorithmen in fünf Jahren, in zehn Jahren auf diesem Steuergerät einsetzen zu können. Und das ist einfach noch aber auch noch schon ein Forschungsthema aktuell. Das kann dann schon sein, dass wir ein Auto, das du heute kaufst, dann in fünf Jahren, zehn Jahren, wenn die Quantencomputer vielleicht dann da sind, eben dann gesagt wird, OK, wir können das jetzt nicht. Entweder deaktivieren wir jetzt alle Funktionen oder das Steuergerät unterstützt das nie. Wir müssen ein Steuergeräte austauschen. Und ob das dann passiert, das kann ich dir nicht beantworten. Und ob dann der, was der Hersteller dann machen wird. Also ist noch ein offenes Problem.

Luca Leicht: Also du skizzierst gerade aber ein Szenario, das sagt, dass ein heute hochvernetztes Auto oder auch ein morgen hochvernetztes Auto über über morgen, dann im Zweifel KBA-Seite stillgelegt werden muss, weil es halt ...inherentes Angriffspotenzial.

Christoph Krauß: Genau, also wenn ich jetzt das Fahrzeug, das klingt voll gruselig, wenn das Fahrt, also wenn das Fahrzeug eben nicht aktualisiert werden kann, also wird es bestimmt dann irgendwelche Präzedenzfälle und Sonstiges geben. Ich bin schon sehr gespannt, was dann passieren wird, weil aus Security Sicht muss man das irgendwie austauschen. Wenn man jetzt sagt, das basiert komplett auf RSA und irgendwie eine Funktion, die ist eben safety kritisch. Hohes Risiko irgendwie nur mit RSA dann irgendwie abgesichert, weil irgendwelche, was weiß ich, Remote-Zugriffe, wie auch immer man sich das denkt, dann muss dieses Verfahren ausgetauscht werden. Ganz klar. Auch aus Security, auch aus Forschersicht muss ich sagen, nee, da kann ja nicht immer noch ein unsicheres Verfahren benutzen. Und dann muss man eben schauen, wie man das macht. Die einfachste Möglichkeit, ich... Setzt das Fahrzeug offline, dann gibt's den Angriffsvektor nicht. Auch wenn dann immer noch vielleicht intern unsichere Verfahren gemacht werden, wenn aber das Fahrzeuge nicht mehr online ist, fällt der Angriff Weg quasi weg. Man kann das Fahrwerk weiter benutzen, aber ohne gewisse Funktionalitäten oder. Wir updaten das. Das wäre der Idealfall, dass auch für den Hersteller, dass er sagt, okay, wir haben ein Software-Update, wir können das anpassen. Das Steuergerät unterstützt das und wir können die neuen verwandeln. Und genau an diesem Punkt setzen wir in dem Forschungsprojekt an, dass das genau möglich sein soll. Auch in zehn Jahren eben noch ein Update zu machen und trotzdem die Sicherheit zu wahren. Oder im Worst Case für den Herstaller insbesondere, aus Kosten sich, wir müssen das gesamte Steuergeräte austauschen, um gewisse Sicherheit noch zu gewährleisten.

Luca Leicht: In welchen Zeitholzern denkst du, dass das relevant wird und gelöst sein werden kann? Wie meinst du das, wann die Quantencomputer da sind? Dass die so da sind, dass es ein reales Szenario ergeben kann. Also ich hab das Gefühl, also ein paar sind ja schon da, aber das ist alles noch sehr forschungsmäßig. Und deswegen ist die Realität nicht so da. Nein, du schüttelst den Kopf, das finde ich gar nicht gut. Das ist

Christoph Krauß: ganz schwierig zu sagen. Also die Fortschritte sind ja immer da und das geht voran. Aber gefühlt wird immer gesagt, ja ja, irgendwie in zehn bis zwanzig Jahren und das ändert sich seit zehn Jahren nicht, diese Aussage. Aber ich glaube, so langsam ist es doch… Was gut ist für diesen Fall. Was jetzt gut ist… Das müssen wir auch festhalten. Ja, ja. Weil es einfach, also für die Angriffsmöglichkeiten, die sich dadurch ergeben, natürlich… Gut ist, dass die sich noch ein bisschen rauszügeln. Aber der Punkt ist, man weiß es eben einfach nicht genau, wie schnell da die Forschung voranschreibt. Vielleicht gibt es irgendwann einen Durchbruch. Aber man muss sich halt eigentlich heute beziehungsweise eigentlich von gestern darauf vorbereiten. Weil sagen wir mal, wenn in zehn Jahren jetzt der quantum Computer so da ist und es skaliert, solche Angriffe, die Autos, die ja heute verkauft werden, die sind da ja noch nicht vorbereitet. Und die sind ja in zehn Jahren viele davon noch auf der Straße. Also deswegen ist es jetzt dringend, dass wir uns damit beschäftigen. Und das machen wir eben in dem Projekt. Um dann zu sagen, okay, das zumindest dann die Fahrzeuge, die in den nächsten die vielleicht so in drei, vier Jahren rauskommen, dass die schon kryptoagil sind, dass die so eine Migrationsstrategie unterstützen zu den neuen Verfahren. Und das schauen wir uns genau in dem Projekt an.

Luca Leicht: Okay, ich glaube, wir kommen langsam zum Ende, aber um jetzt nicht ganz so düster auszusteigen, wie wir vielleicht zwischendrin auch mal waren. Was für Schritte siehst du denn jetzt, wenn wir vor allem von den 2015, diesen G-Pack, den wir vorhin durchgesprochen haben, hergehen, was heute alles passiert ist bis heute und auch was du jetzt gerade siehst, was in Arbeit ist, was Autos oder generell Ladesäulen etc. Pp., das haben wir jetzt gar nicht weiter angesprochen im Detail, Die Problematiken sind hinlänglich jetzt durchdiskutiert. Fühlt auch ähnlich, ja. Was siehst du was Positives an der ganzen Geschichte, was sich bis dahin getan hat und was sich auch in den nächsten zehn Jahren vielleicht gerade anbahnt, das passiert?

Christoph Krauß: Genau, also ich sehe erstmal aus der klassischen Security, dass sich unheimlich viel getan hat, dass wir eben jetzt wirklich klare Regulierungen haben, dass wir Standards haben, an die sich die Hersteller halten können und zumindest ein gewisses Mindestniveau zu erreichen. Die Aktivitäten dort hören ja nicht auf, die gehen ja weiter. Also es gibt Aktivität, die eben sagen, wir brauchen eine Überarbeitung von dem ISO-Standard, der eben noch mal ein höheres Sicherheitsniveau macht. Da wird schon dran gearbeitet. Also das heißt, es geht weiter. Und wir haben jetzt schon, denke ich mal, ein wirklich solides Sicherheits Niveau, also Security Niveaut. Und das hatten wir eben einfach vor 15 Jahren noch nicht. Also das ist schon ein Riesen Fortschritt, den wir da haben. Und. So ein anderer Aspekt, auch wenn wir jetzt sehr viel so ein bisschen Schwarzmalerei gemacht hat. Also ich selbst habe ja auch ein modernes Fahrzeug vernetzt mit vielen Funktionen. Und ich muss sagen, der für mich der Gewinn durch die Funktionale, sicher also die Safety Aspekte durch Assistenzsysteme oder auch die Convenience Funktion. Also ich glaube, mein Fahrzeug an sich ist es viel unwahrscheinlicher, dass ich einen Unfall baue, weil einfach diese vernetzten Fahrzeugfunktionen und ähnliches. Mein Fahrzeug so viel sicherer machen im Sinne der funktionalen Sicherheit, dass die Angriffe durch eine Cyber-Sicherheit, dass das Risiko einfach geringer ist und ich dadurch im Prinzip für mich ein persönlich ein höheres Sicherheitsniveau habe. Also deswegen ist mal so ein bisschen positiver zu sehen. Also dass die die die Dinge, die man gewinnt, einfach höher sind. Und ich glaube einfach auch Restrisiko bleibt immer. Also es ist nur sicher, dass nicht sicher ist. Das muss man immer haben, aber das hat man überall. Und ich glaube, dieses Restrisiko wird in den nächsten Jahren noch weiter sinken, weil eben einfach Regulierungen weitergehen, Standards weitergehen. Aber auch auch sonstige Aktivitäten, Austausch zwischen den Herstellern über Schwachstellen, dass man möglichst schnell reagieren kann. Solche Aktivität laufen ja auch, dass man sagt, man hat so eine gemeinsame Datenbank oder Datenbasis, wo jeder sagt, ich habe hier Schwachstellen kennengelernt, ich benutze ja dieselbe System oder sei nur dieselbe Library. Da muss ich ja auch was tun und solche Aktivitäten, die die Vernetzung in dieser Security-Community machen, über Auto-ISAC zum Beispiel ist da ein Beispiel, was ich einfach mal nennen will. Sowas geht immer mehr voran und wird einfach vorangedrückt. Und das ist eigentlich sehr positiv. Und da in dieser Security Community wird auch viel gemacht und auch Hersteller und Zulieferer übergreifend zusammengearbeitet. Also ich bin da sehr positiv, dass da die Fahrzeuge einfach noch sicherer werden, als sie jetzt schon sind. Auch wenn wir immer mal wieder solche Angriffspunkte haben, auch die wir diskutiert haben. Was richtig positiv ist, ist so was richtig Kritisches. Ist ja jetzt quasi in the wild noch nicht passiert. Ja, also sowas wie diesen G-Pack, das waren die Sicherheitsforscher, die wirklich ein halbes Jahr das Fahrzeug auseinander genommen haben, um genau diese Schwachstellen zu identifizieren. Und was bisher passiert ist, oder diese Sachen, die auch durch die Presse gingen, das sind ja alles die Sicherheitenforsche, die das dann zeigen und dann rechtzeitig die Hersteller informieren, dass die die Schwachstelle auch rechtzeitig schließen können. Und das ist, glaube ich, auch noch was Positives, dass noch nichts, sagen wir mal, so richtig Schlimmes passiert ist, was wirklich Leben gekostet hat.

Luca Leicht: Das ist wohl wahr und wahrscheinlich auch das Wichtigste. Das heißt aber, wir sind auf einem, wir haben ein wissenschaftlich skizziertes Problem und noch kein reell echtes vor uns. Das finde ich schön. Das ist ein schöner Abschluss an der Stelle. Christoph, zum Ende eines Move For Broadcasts hatten wir sehr lange und viele Hörer und wir haben viele Mails dazu bekommen, dass es wieder bitte kommen soll. Zum Schluss die AB Fragen. Deswegen machen wir das mittlerweile wieder. Und deswegen kriegst du auch am Ende der Folge noch ein kurzes Für und Widerspiel, bei dem du dich für A oder B entscheiden musst. Bei einer Frage bin ich, oder bei zwei bin ich besonders gespannt. Bist du mehr der Typ Streamingdienst oder CD und Schallplatte?

Christoph Krauß: Mittlerweile also streaming.

Luca Leicht: Das klingt sehr geschlagen, aber okay, Ferrari oder Tesla, ja, ja eben auch, ja absolut. Und dann noch das Thema Künstlervergütung etc., pp, aber ja.

Christoph Krauß: Das auch. Vor allem bei Musikanbietern, da gibt es ja einige, die wirklich sehr, sehr wenig bezahlen.

Luca Leicht: Äh, Ferrari oder Tesla?

Christoph Krauß: Dann wird den Fest Ferrari. Aber eigentlich eigentlich ein Elektrofahrzeug, aber.

Luca Leicht: Gibt's ja mittlerweile auch mit Pony, also so ist es ja nicht. Ähm, Apple oder Google?

Christoph Krauß: Das ist beides schlimm, aber...

Luca Leicht: Auf was für einem Betriebssystem...

Christoph Krauß: Beispielsweise arbeitet ihr bei euch also viele der sachen machen wir unter linux weil du einfach viele der tools um zum beispiel sicherheitsanalysen durchzuführen die sind einfach für linux manches software von herstellern auch für die entwicklung laufen manchmal nur unter windows da haben wir auch windows aber deswegen ich würde sagen die meisten sachen so für insbesondere die sicherheitsanalyse ist linux Am L-

Luca Leicht: der Stadt oder alles Bauernhaus auf dem Land.

Christoph Krauß: Ich glaube eher auf dem Land. Auto oder Fahrrad? Das ist eine sehr gute Frage. Ich fahre jeden Tag mit dem Fahrrad auf die Arbeit und auch an die Hochschule. Und immer wenn ich meine Vorlesungen in Automotive Security halte, sage ich, wenn ich da reinkomme mit dem Fahrradhelm in der Hand, sag mal, ihr wisst, warum ich mit dem Fahrrad davon, weil ich jetzt hier ein bisschen über die Angriffe auf Autos erzähle. Das ist aber natürlich nur ein Witz. Also ich fahres beides, aber ich liebe auch Fahrradfahren.

Luca Leicht: Wenn du dann mal Auto fährst, vorne oder hinten? Vorne, links. Okay, bist du ein guter Fahrer? Meine Frau würde sagen, ja. Das ist doch gut. Okay, lass mir das so stehen. In Sachen Datenschutz und AGBs bist du mehr der Typ Aluhut oder Accept All? Ich lese mir alles durch.

Christoph Krauß: Also alles ernsthaft, also zumindestens überfliege ich das grob. Also manchmal sind es irgendwie 20 Seiten, aber ich gucke schon das drüber durch und ich bin auch schon so nur notwendige Cookies. Bin ich schon auch so der Typ dafür, beziehungsweise mein Browser macht das automatisch für mich. Aber auch wenn ich solche Sachen angucke, gucke ich schon zumindest grob alles durch.

Luca Leicht: Wow, ich bin beeindruckt und neidisch, aber das ist gut. In Sachen Wunschadrenalin-Pegel bist du mehr der Typ Fliegenfischen gehen oder Motorradfahren? Dann doch Motorrad fahren.

Christoph Krauß: Auch wenn ich Mainz vor ein paar Jahren verkauft habe, aber.

Luca Leicht: Schwächer Fehler.

Christoph Krauß: Fahrradfahren ist auch gut.

Luca Leicht: Ja, ja, okay, okay. Ja, Punkt, in Ordnung. Star Wars oder Star Trek? Star Trek. Okay, ein Trekkie, schön.

Christoph Krauß: Könnte ich auch gleich Werbung für ein Event machen. Ich weiß nicht, ob ich das darf. Darfst du? Klar. Wir machen am 6. März an der Hochschule Darmstadt den ersten Star Trek Tag, wenn wir jetzt gerade da sind. Wir haben so eine Science and Fiction Event. Und da gibt es auch unter anderem einen Vortrag von mir, wo es um das Thema gibt. Ja, Cyber Security in Star Trek und warum die Borg dein Auto hacken würden. Also passend auch zu dem Thema heute, deswegen vielleicht ja noch ein bisschen Werbung machen, ist eine kostenlose Veranstaltung auch. Ihr könnt sich dann registrieren bei uns auf der Webseite a-da.de slash science minus end minus fiction. Da gibt es auch weitere Infos und es gibt noch ein paar andere nette Vorträge, auch zum Thema Design oder soziale Aspekte in Star Trek. Und wir haben da auch noch auch Podcaster, wo wir hier auch im Podcast sind, die Podcaster von Trekker am Dienstag, die dort auch noch einen Vortrag haben. Ich glaube, ich ein ganz toller Event. Und wie gesagt, es geht auch ein bisschen um Automotive Security sogar. Also für die Hörer, für die es relevant ist.

Luca Leicht: Genau, wenn ihr gerade im Autoseite nichts zu schreiben habt, wir packen das einfach in die Show Notes per Link, dann ist es einfacher. Klingt auf jeden Fall sehr spannend. Nächste Frage. Kaffee oder Tee? Tee. Steak oder Falafel? Und Nachteule oder Lärche.

Christoph Krauß: Das kann ich gar nicht beantworten. Mal so, mal so.

Luca Leicht: Wir hatten schon Leute, die sagten gar nicht schlafen, worauf ich dachte, so schön.

Christoph Krauß: Schon schlafen, aber es kommt ganz drauf an. Also wirklich, auch schon zu Studiumszeiten, manchmal irgendwie ganz nachts früh, lange, manchmal ganz früh. Also ich könnte mich dann wirklich nicht zuordnen.

Luca Leicht: Alles klar. Christoph, dann trotzdem vielen Dank, auch wenn wir die letzte Antwort nicht gekriegt haben. Vielen, vielen, vielen Dank. Ich habe auf jeden Fall sehr viel gelernt. Fand es sehr spannend. Und vielen Dank für deine Einschätzungen, Erklärungen und alles drumrum. Ich hoffe, euch da draußen hat es auch gefallen. Ihr hattet auch viel mitnehmen können. Ansonsten hört ihr den Podcast wieder am Freitag. Auf YouTube sind wir wieder, wie immer, am Sonntag. Und wenn ihr Fragen habt, schreibt es gerne in die Kommentare, schreibt uns gerne Mail an podcast-move-magazin.de. Und abonniert, teilt, liked und so weiter. Nicht vergessen. Tschüss. Danke. Und bis zum nächsten Mal. Danke auch. Tschüs.