Sicherheitslücken in VW-App: Vertrauliche Daten waren abrufbar
VW wurde auf Sicherheitslücken in seiner App aufmerksam gemacht. (Foto: Nick N A/Shutterstock)
Ein Sicherheitsforscher namens Vishal Bhaskar hat anscheinend einige Sicherheitsmängel in der Volkswagen-App entdeckt und den deutschen Autobauer darauf aufmerksam gemacht.
Die Fahrzeug-Identifikationsnummer reichte bereits
Er machte deutlich, dass er an die persönlichen Daten von Besitzer:innen fremder VW-Fahrzeuge kommen konnte. Besorgniserregend daran ist, dass ihm dafür lediglich die Fahrzeug-Identifikationsnummer (FIN) reichte, die durch die Windschutzscheiben der Autos ablesbar ist.
Bhaskar stieß auf die Sicherheitslücken, als er beim Versuch, sich mit der VW-App für seinen Wagen zu verbinden, nach einem vierstelligen numerischen Passwort gefragt wurde, wie er in einem Blogbeitrag mitteilte.
Der Sicherheitsforscher stieß auf weitere Sicherheitslücken
Dieser wurde nicht an ihn, sondern wohl an den Vorbesitzer des Autos geschickt, weshalb er laut Golem die API-Requests der App analysierte und ein Python-Skript schrieb, um automatisiert alle 10.000 möglichen Ziffernkombinationen durchzutesten. Damit war er innerhalb weniger Sekunden erfolgreich – und er konnte die App mit seinem Auto verbinden. All das hätte er auch mit fremden VW-Fahrzeugen tun können.
Bhaskars Neugier als Sicherheitsforscher war geweckt, er machte sich auf die Suche nach weiteren Lücken – und wurde fündig. Über API-Endpunkte gelangte er an Vertrags- und Zahlungsdaten, Fahrzeugdetails sowie persönliche Daten wie Name, Rufnummer, Email-Adresse und Postadresse der jeweiligen Käufer:innen. Auch weitere persönliche Daten wie Angaben zu Führerschein, Bildungsgrad und Notfallkontakten waren für ihn einsehbar, ebenso der Standort von Fahrzeugen.
Elektroautos: 5 Vorurteile und was an ihnen dran ist
So reagierte VW
„Jeder hätte Ihr Fahrzeug hinzufügen und über die App Zugriff auf alle verfügbaren Informationen und Steuerungen für das Fahrzeug erhalten können“, schrieb er.
Nach eigenen Angaben hat Bhaskar VW die Sicherheitsmängel bereits im vergangenen November gemeldet, den so ins Rollen gebrachte Austausch mit dem Sicherheitsteam des deutschen Unternehmens beschrieb er als reaktionsschnell. Ende April teilte Volkswagen in einem Schreiben, das Bhaskar auf Linkedin veröffentlichte, mit, dass alle von ihm entdeckten Schwachstellen behoben und die Anwendungen sowie die Backend-Infrastruktur des Konzerns aktualisiert worden seien.
