Connect with us

Datenschutz & Sicherheit

Automobilsektor: BSI warnt vor rasant wachsenden „digitalen Angriffsflächen“


Das Bundesamt für Sicherheit in der Informationstechnik (BSI) sieht Autos verstärkt als rollende Computer und sorgt sich um deren IT-Security. „Die digitalen Angriffsflächen im Automobilsektor wachsen rasant“, betonte der Vizepräsident der Bonner Behörde, Thomas Caspers, angesichts der Publikation eines Berichts zur Cybersicherheit im Straßenverkehr 2025 im Vorfeld der Automesse IAA in München. Hersteller und Ausrüster in der Branche müssten daher die IT-Sicherheit von vornherein in die Technik einbauen und entsprechende Voreinstellungen treffen („Security by Design and Default“).

Digitale Dienste, Over-the-Air-Updates und vernetzte Steuergeräte prägten zunehmend die Fahrzeugarchitekturen, verdeutlicht das BSI in dem Papier. Zudem nehme der Einsatz von KI in Assistenzsystemen und automatisierten Fahrfunktionen kontinuierlich zu. Das bedeute: Autos würden auf dem Weg zum autonomen Fahren immer vernetzter, Systeme komplexer und die Fortbewegung generell digitaler. Die Absicherung des Automobil-Ökosystems werde damit zur Daueraufgabe.

Laut dem Bericht hat BSI zwischen Februar 2024 und März 2025 insgesamt 107 Meldungen zu IT-Schwachstellen und Vorfällen im Automobilbereich ausgewertet. Für die meisten der Fälle war demnach ein physischer Zugriff oder zumindest eine räumliche Nähe, beispielsweise über Bluetooth oder WLAN, zum Ausnutzen der Sicherheitslücken erforderlich. Es gab aber auch 18 Meldungen, bei denen die Schwachstellen über das Internet zugänglich waren.

Infotainment-Systeme als Einfallstor

Ein Großteil der Meldungen (46 von 59 klassifizierten) basierte auf Sicherheitsanalysen oder Forschungsarbeiten, bei denen die Beteiligten einen Machbarkeitsnachweis („Proof of Concept“) entwickelten. Im Vergleich dazu finde eine aktive Ausnutzung durch Kriminelle gegenwärtig noch eher selten statt, schreibt das BSI. Weitere Bedrohungen ergäben sich indes aus der Option der Einflussnahme durch digitale Produkte, die Herstellern Zugriff auf Informationen und Funktionen ermöglichten.

Vor dem Hintergrund aktueller geopolitischer Konfliktlagen vergrößerten komplizierte Lieferketten die Gefahren, heißt es. Ferner seien mit neuartigen Angriffsmöglichkeiten auf KI-Komponenten und Fahrzeugsensorik durch manipulative Eingaben auch Risiken verbunden. Angesichts der üblicherweise langen Lebenszyklen sowohl von Fahrzeugen als auch der Verkehrsinfrastruktur stelle zudem die Migration auf quantenresistente kryptografische Verfahren eine wichtige Aufgabe dar.

Beliebtes Ziel für Angriffe sind dem Report zufolge Infotainment-Systeme aufgrund ihrer vielen Schnittstellen und Vernetzungsfunktionen. Sicherheitsforscher hätten gezeigt, wie sie zwölf Schwachstellen in den Systemen eines tschechischen Herstellers kombinierten, um über Bluetooth Malware zu installieren. So konnten sie etwa die Position des Fahrzeugs verfolgen und Gespräche aufzeichnen. Betroffen waren laut Schätzungen etwa 1,4 Millionen Fahrzeuge.

Fahrzeugdaten offen im Netz

Eine ähnliche Attacke auf ein Infotainment-System eines japanischen Herstellers befähigte Angreifer laut den Autoren, sich nach dem initialen Zugriff über Bluetooth auch jederzeit über Mobilfunk auf die ganze Apparatur aufzuschalten. Dies hätte es ihnen ermöglicht, den Fahrer abzuhören, die GPS-Position zu verfolgen oder sogar Fahrzeugfunktionen wie die Lenkung zu kontrollieren. Ferner seien in der QNX-Software, die in Infotainment-Systemen von Herstellern wie BMW, Volkswagen und Audi integriert ist, kritische Schwachstellen entdeckt worden. Eine habe das Ausführen von Programmcode aus der Ferne erlaubt.

Die Behörde erinnert daran, der Chaos Computer Club (CCC) habe aufgedeckt, dass Terabyte an Positionsdaten von E-Fahrzeugen von VW durch einen Konfigurationsfehler ungeschützt über das Internet einsehbar waren. Informationen von rund 800.000 Fahrzeugen und 600.000 Kunden, einschließlich Namen und Adressen, seien betroffen gewesen. Ein Experte habe zudem Sicherheitslücken in einem Web-Portal eines japanischen Herstellers gefunden, die ihm den Zugriff auf Standortdaten von Fahrzeugen in Nordamerika und Japan ermöglichten. Es wäre ihm sogar möglich gewesen, über das Portal fremde Autos zu starten oder zu öffnen.

Die NIS2 getaufte EU-Richtlinie zur Netzwerk- und Informationssicherheit bringe neue gesetzliche Auflagen für viele Unternehmen in der Automobilbranche mit, unterstreicht das BSI. Dazu gehörten eine Registrierungspflicht und die Meldung erheblicher Sicherheitsvorfälle an das Amt. In der Branche sei ein Mentalitätswandel nötig, um das Teilen von Informationen über Schwachstellen zu fördern und die Cybersicherheit als Qualitätsmerkmal zu betrachten.


(cku)



Source link

Verwandte Themen:
Weiterlesen

Datenschutz & Sicherheit

DNS-Server BIND: Gefahr durch Proof-of-Concept-Exploit für Sicherheitslücke


Der DNS-Server BIND weist drei Schwachstellen auf, die das Internet Systems Consortium (ISC), das die Software entwickelt, vergangene Woche gemeldet hat. Ein nun aufgetauchter Proof-of-Concept-Exploit (PoC) demonstriert den Missbrauch eines der Sicherheitslecks. Höchste Zeit für Admins, die von ihnen betreuten BIND-Server auf den neuesten Stand zu bringen.

Weiterlesen nach der Anzeige

Davor warnt nun auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) in einem Dokument. Der PoC attackiert eine hochriskante Schwachstelle, sie „könnte es einem nicht-authentifizierten Angreifer ermöglichen, mittels Cache-Poisoning DNS-Einträge zu manipulieren und somit Internet-Traffic beliebig umzuleiten“ (CVE-2025-40778, CVSS 8.6, Risiko „hoch„). Das ISC erörtert in der eigenen Schwachstellenmeldung, dass „unter bestimmten Umständen BIND bei der Annahme von Datensätzen aus Antworten zu nachsichtig ist, sodass ein Angreifer gefälschte Daten in den Cache einschleusen kann“. Bislang sind noch keine aktiven Angriffe auf die Lücke bekannt.

Zwei weitere Sicherheitslecks in BIND

Neben dieser Sicherheitslücke, für die sogar ein PoC vorliegt, hat das ISC zwei weitere mit Softwareaktualisierungen geschlossen. Eine weitere ermöglicht ebenfalls Cache-Poisoning, was auf eine Schwäche des Zufallszahlengenerators (PRNG, Pseudo Random Number Generator) zurückgeht. Angreifer könnten dadurch Quellport und Query-ID vorhersehen, die BIND nutzen wird (CVE-2025-40780, CVSS 8.6, Risiko „hoch„). Die dritte Schwachstelle ermöglicht bösartigen Akteuren, den Dienst mit sorgsam präparierten DNSKEY-Eniträgen zur Auslastung der CPU zu bringen – eine Denial-of-Service-Lücke (CVE-2025-8677, CVSS 7.5, Risiko „hoch„).

Die Aktualisierung auf die Versionen BIND 9.18.41, 9.20.15 oder 9.21.14 oder neuere korrigiert die sicherheitsrelevanten Fehler im DNS-Server. IT-Verantwortliche sollen auf die der eigenen Version am nächsten verwandte Fassung updaten, schreibt das ISC. Das BSI erklärt in seiner Warnung: „Nach Angaben der Internet-Intelligence-Plattform Censys werden global über 700.000 BIND DNS-Server mit einer für die Schwachstelle verwundbare Version betrieben, davon knapp 40.000 allein in Deutschland“. Es empfiehlt daher: „IT-Sicherheitsverantwortliche sollten schnellstmöglich die Patchstände auf betriebenen BIND DNS-Server prüfen und – sofern erforderlich – die verfügbaren Updates einspielen.“

Bei BIND handelt es sich um eine recht ausgereifte Software. Zuletzt fiel eine Sicherheitslücke darin Anfang 2024 auf – sie bekam den Spitznamen „KeyTrap“ und sorgte für einen Denial-of-Service.


(dmk)



Source link

Weiterlesen

Datenschutz & Sicherheit

X: FIDO-Sticks müssen neu angemeldet werden


Den Zugang zu Online-Diensten mit einem Hardware-Dongle als zweiten Faktor zu schützen, ist aus Sicherheitssicht eine gute Idee. Wer das mit seinem Twitter-Konto gemacht hat, muss seinen FIDO-Stick nun jedoch neu anmelden, warnt das Sicherheitsteam des sozialen Netzes X nun.

Weiterlesen nach der Anzeige

Der Dienst schreibt: „Bis zum 10. November bitten wir alle Konten, die einen Sicherheitsschlüssel als Zwei-Faktor-Authentifizierungsmethode (2FA) verwenden, ihren Schlüssel neu zu registrieren, um weiterhin auf X zugreifen zu können. Sie können Ihren bestehenden Sicherheitsschlüssel neu registrieren oder einen neuen registrieren“. Der Dienst weist darauf hin, dass diejenigen, die einen neuen FIDO-Stick registrieren, den Zugriff mit allen anderen Sicherheitsschlüsseln verlieren, außer, diese werden ebenfalls neu registriert.

Ursache keine Sicherheitsprobleme

Die nötige Maßnahme gehe jedoch nicht auf etwaige Sicherheitsprobleme zurück, sondern hänge noch mit dem Wechsel des Angebots von „Twitter“ nach „X“ zusammen.

Es seien auch ausschließlich Yubikeys und Passkeys davon betroffen, führt X weiter aus. Andere Zwei-Faktor-Authentifizierungsmethoden etwa mit Authenticator-Apps funktionieren weiterhin.

X erklärt weiter: „Als 2FA-Methode registrierte Sicherheitsschlüssel sind derzeit an die Domain twitter.com gebunden. Durch die erneute Registrierung Ihres Sicherheitsschlüssels werden diese mit x.com verknüpft, sodass wir die Twitter-Domain außer Betrieb nehmen können.“

Betroffene Nutzer erhalten einen Hinweis, dass sie ihren Sicherheitsschlüssel neu anmelden sollen. Nutzerinnen und Nutzer können jedoch auch selbst aktiv werden und in den Sicherheitseinstellungen des Kontos „Anderen Schlüssel hinzufügen“ zum Neuregistrieren des FIDO-Sticks auswählen.

Weiterlesen nach der Anzeige

Mitte 2023 hatte Elon Musk das soziale Netzwerk Twitter übernommen und daraus den Dienst „X“ gemacht, was mehr als eine reine Umbenennung war. Die Arbeiten daran, die alte Domain Twitter loszuwerden, laufen offenbar immer noch.


(dmk)





Source link

Weiterlesen

Datenschutz & Sicherheit

Proxmox Backup Server: Angreifer können Backup-Snapshots zerstören


close notice

This article is also available in
English.

It was translated with technical assistance and editorially reviewed before publication.

.

Verschiedene Versionen von Proxmox Backup Server sind verwundbar. Angreifer können an zwei Sicherheitslücken ansetzen.

Weiterlesen nach der Anzeige

Diverse Sicherheitsprobleme

Die Entwickler weisen im Forum auf die Schwachstellen hin. Bislang sind dazu keine CVE-Nummern und somit keine Einstufung des Bedrohungsgrads bekannt. Das CERT Bund vom BSI stuft die Gefahr als „hoch“ ein.

Von einer Schwachstelle ist ausschließlich der Proxmox-Versionsstrang 3.x betroffen. Nutzen Angreifer die Lücke erfolgreich aus, können sie Backup-Snapshots manipulieren, sodass eine Wiederherstellung unmöglich wird. Hier schafft die Ausgabe 3.4.1-1 Abhilfe.

Bei der zweiten Schwachstelle kommt es bei einer Konfiguration mit S3 zu Problemen, und Angreifer können unbefugt auf Daten zugreifen. Dagegen ist Proxmox Backup Server 4.0.18-1 gerüstet.

Ob es bereits Attacken gibt, ist zurzeit nicht bekannt. Unklar bleibt auch, woran Admins bereits attackierte Systeme erkennen können.


(des)



Source link

Weiterlesen

Beliebt