Moderne Automobile entwickeln sich zu vernetzten Softwareplattformen, in denen Infotainment-, Telematik- und Cloud-Komponenten zentrale Dienste bereitstellen. Während die absolute Zahl der dokumentierten CVE-Lücken in Fahrzeugsystemen seit 2019 zurückgegangen ist, verschiebt sich das Risiko zunehmend von der internen Bordelektronik hin zu externen Cloud-Diensten, Drittanbieter-Bibliotheken und Web-Schnittstellen. Dieser Trend wird durch mehrere aktuelle Studien, Branchenreports und regulatorische Entwicklungen belegt.

Rückgang der bekannten CVE-Lücken, aber wachsende Angriffsfläche

Im Kernzeitraum 2022 - September 2024 wurden von der Göteborg/Chalmers-Studie 413 IT-Sicherheitslücken (CVE) in vernetzten Fahrzeugsystemen erfasst. Das steht im Vergleich zu 363 Lücken im Jahr 2019 - ein leichter Rückgang der absoluten Zahl. Dennoch ist diese Statistik irreführend, weil sie nicht die zunehmende Komplexität und das erweiterte Angriffspotenzial externer Systeme abbildet.

  • Rückgang der absoluten CVE-Zahl von 363 (2019) auf 413 kumuliert für 2022-2024.
  • Verdreifachung des Anteils von Schwachstellen in Apps, Web-Portalen und Cloud-Backends im Zehnjahresvergleich.
  • Fehlende Segmentierung zwischen Infotainment/Telematik und sicherheitskritischen Bussen (z. B. Jeep-Hack 2015).

Die Zahlen zeigen, dass ein reiner Fokus auf die traditionelle Bordelektronik die aktuelle Bedrohungslage unterschätzt.

Ergebnisse der Göteborg/Chalmers-Studie

Die Peer-Review-Studie von Srijita Basu et al. (Software Quality Journal, 2026) analysierte 20 Open-Source-Repositories aus der Automobilbranche. Dabei wurden 827 verwundbare Bibliotheken und Komponenten identifiziert, was die Tiefe des Risikos in der digitalen Lieferkette deutlich macht.

  • Untersuchte Schwachstellen im Kernzeitraum: 413 CVE (2022-2024).
  • Gefundene anfällige Bibliotheken in 20 Auto-Repositories: 827 Stück (SBOM-Analyse, Repository-Audits).
  • Hauptursache: Drittanbieter-Code und elementare Web-Fehler (z. b. Grafana, Standardpasswörter, mangelhafte Autorisierungsprüfungen).

Der Befund verdeutlicht, dass das Problem nicht nur bei den Fahrzeugherstellern selbst liegt, sondern tief in der Open-Source-Lieferkette verankert ist.

Lieferketten-Problematik

Viele Automobilkonzerne verwenden Standard-Open-Source-Komponenten für Telematik-Dashboards oder Web-Dienste, ohne für deren kontinuierliche Schwachstellen-Bereinigung dieselben strengen Maßstäbe wie für funktionale Sicherheitsbauteile anzulegen. Die Studie nennt das Open-Source-Tool Grafana als besonders vulnerabel; häufige Angriffsmechanismen waren SQL-Injection und Cross-Site-Scripting. Ebenso wurden seit der Installation unveränderte Standardpasswörter gefunden, was das Gefahrenpotenzial stark erhöht.

Praxis: Remote-Angriffe und API-Schwachstellen

Laut dem Upstream Security Report 2025 entfallen 92 % aller dokumentierten automobilen Cyberangriffe auf Remote-Methoden, also ohne physischen Kontakt. Dabei konzentrieren sich 66 % der Angriffsvektoren auf Telematik- und Applikations-Server, die als primäre Einfallstore dienen.

  • Anteils-Remote-Angriffe (ohne physischen Kontakt): 92 % (2024).
  • Angriffsvektoren Telematik & Applikationsserver: 66 % (2024).

Diese Daten untermauern die Aussage, dass die Angriffsfläche trotz sinkender CVE-Zahlen wächst - moderne Angreifer nutzen vor allem drahtlose Zugänge über Telematik-Backends und APIs.

Regulatorischer Rahmen: UNECE R155 & R156

Seit dem 1. Juli 2024 gelten für alle neu zugelassenen Fahrzeuge in der EU die Typgenehmigungsvorschriften UN ECE R155 (Cyber-Security-Management-System) und R156 (sichere Software-Updates/Over-the-Air). Hersteller müssen ein zertifiziertes CSMS über den gesamten Produktlebenszyklus nachweisen, was bereits zur vorzeitigen Einstellung älterer Modellreihen mit veralteten Elektronikarchitekturen geführt hat.

  • Stichtag verbindlicher Cybersicherheitsnachweis für EU-Neuwagen: 01.07.2024.
  • Pflicht zur Absicherung über den gesamten Lebenszyklus, inkl. OTA-Updates.

Der regulatorische Druck zwingt die Industrie, Softwarearchitekturen grundlegend zu überarbeiten und verstärkt die Fokussierung auf sichere Lieferketten.

Kritik und Gegenargumente

Einige Stimmen argumentieren, dass der Rückgang der CVE-Zahlen keinen Beleg für gestiegene Sicherheit darstelle, weil klassische Datenbanken Backend-Fehlkonfigurationen, ungesicherte Cloud-Speicher oder API-Zugriffsfehler selten als klassische Software-Lücken erfassen. Außerdem wird Over-the-Air-Update (OTA) als zweischneidiges Schwert bezeichnet: Während OTA schnelle Patches ermöglicht, eröffnet ein kompromittierter Übertragungsweg die Möglichkeit einer flächendeckenden Schadsoftware-Verteilung.

Handlungsempfehlungen für Hersteller und Fahrzeughalter

Für Hersteller

  • Implementierung strenger Segmentierung zwischen Infotainment/Telematik und sicherheitskritischen Bussen.
  • Kontinuierliche Überwachung und Aktualisierung von Drittanbieter-Bibliotheken (SBOM-Management).
  • Adoption von Best-Practices aus der Web- und IT-Sicherheit (z. b. robuste Autorisierungsprüfungen, Eliminierung von Standardpasswörtern).
  • Einhaltung und Dokumentation der UNECE-R155/R156-Anforderungen, inklusive zertifiziertem CSMS.

Für Fahrzeughalter

  • Zügiges Installieren von OTA- und Infotainment-Updates.
  • Verwendung eindeutiger, komplexer Passwörter für Kundenportale und Companion-Apps.
  • Aktivierung von Zwei-Faktor-Authentifizierung (2FA) dort, wo sie angeboten wird.
  • Widerruf unnötiger Drittanbieter-App-Berechtigungen.

Häufig gestellte Fragen

Kann ein Krimineller ein modernes Auto während der Fahrt über das Mobilfunknetz fernsteuern?
Theoretisch ist dies möglich, wenn zwischen Infotainment/Telematik und dem fahrzeuginternen CAN-/Ethernet-Bus keine strikte kryptografische Trennung (Gateway/Firewall) greift. In der Praxis konzentrieren sich reale Angriffe bislang vor allem auf Datenabgriff, Ortungsspionage, Diebstahl über Keyless-Systeme oder das Stilllegen von Flottenservern.

Was können Fahrzeughalter selbst tun, um ihr Auto vor Hacks zu schützen?
Nutzen Sie zügig angebotene Over-the-Air- und Infotainment-Updates, verwenden Sie eindeutige Passwörter für Kundenportale und Companion-Apps, aktivieren Sie eine Zwei-Faktor-Authentifizierung und widerrufen Sie unnötige Drittanbieter-App-Berechtigungen.

Fazit

Die Analyse verdeutlicht, dass sich die Cyber-Sicherheitsrisiken vernetzter Fahrzeuge von der rein bordinternen Elektronik zu externen Cloud-Diensten, APIs und Drittanbieter-Bibliotheken verschoben haben. Trotz eines leichten Rückgangs der gemeldeten CVE-Lücken zeigen die Zahlen zu Remote-Angriffen, die Verdreifachung externer Schwachstellen und die Identifikation von 827 verwundbaren Bibliotheken, dass die Angriffsfläche weiter wächst. Der regulatorische Rahmen der UNECE-R155 und R156 liefert einen wichtigen Hebel, um Hersteller zu strengeren Sicherheitsprozessen zu zwingen. Gleichzeitig bleibt ein hoher Handlungsbedarf für die Industrie, um Lieferkettenrisiken zu minimieren, und für Fahrzeughalter, die durch einfache Maßnahmen ihr Risiko deutlich reduzieren können.