Klartext: Ganz sicher? Nicht.

Inhaltsverzeichnis

Vor zehn Jahren schrieb ich eine Kurzgeschichte hinten in die c't, in der böswillige Software die Kontrolle über das Auto der Protagonistin übernimmt. Die Story war sehr naheliegend, denn die in der Vergangenheit beobachteten Probleme der PC-Sicherheit schickten sich gerade zur Wiederholung in den Controller-Netzen unserer Fahrzeuge an, denn der dort schon vollzogene Übergang von offenen Einzelsystemen zu Netzwerkknoten stand sichtbar an. Die Probleme hatten ohnehin schon vorher begonnen: digitale Wegstreckenzähler machten die Tachorückdreherei von einer Randerscheinung zum Massenphänomen. Die Ursache dieser "history repeating" war das vielleicht menschliche Denken, dass ein unsicheres System dadurch ausreichend geschützt ist, dass man seine Funktionsweise niemandem verrät, also seine Schwächen verdeckt. "Security by Obscurity" nennt der Fachmann das Konzept, das Microsoft derart nachhaltig zur Horstfirma gemacht hat, dass wir heute noch über sie lachen.

Geheimniskrämern ist eine Technik, die eine (unbestimmte) Zeit lang wirkt. Nur die Crew weiß, wo der geheime Eingang in die Piratenhöhle ist, also langt eine einzelne, gelangweilte Wache dort. Nur der Abt kennt die Kombination, die alle Schlösser öffnet. Diese Mauerstelle ist eigentlich viel zu schwach für die periodische Belagerung, aber das weiß ja keiner von den Belagerern, und die Mauer ist lang. Schon diese Beispiele zeigen die Schwäche des Prinzips: Gelangt die Information nach draußen, ist die Sicherheit vorbei, und genau darin liegt die Falle, ein solches Verfahren in einer Welt voller Digitaltechnik und Vernetzung zu verwenden: Die Information wird ihren Weg nach draußen finden, das ist nur eine Frage der Zeit. Draußen kann sie sich in Sekundenschnelle beliebig weit über den Globus verteilen. Jetzt fehlt nur noch etwas kriminelle Energie.

Security by Obscurity ist ein Prinzip, das nicht nur ungeeignet als Sicherungsprinzip bleibt, es ist obendrein kundenfeindlich. Der Kunde kann sich ohne Informationen nämlich auch kein Urteil darüber bilden, wie sicher oder unsicher ein Fahrzeug ist. Plötzlich wird es ihm gestohlen. Aus Veröffentlichungen Dritter erfährt er, dass der von ihm bevorzugte Hersteller haarsträubend geschlampt hat. Beispiel "Diebe lernen ihren eigenen Schlüssel am OBD-Port an".

Es ist außerdem nur noch eine Frage der Zeit, bis Dienstleister im großen Stil einen Service für Autodiebe anbieten: "Sei um elf Uhr auf diesem Parkplatz am weißen Auto X. Die Tür wird sich öffnen. Setz dich rein, ich starte von hier den Motor. Und die zweite Rate zahlen nicht vergessen, sonst droht ein tragischer Autounfall bei der Überführung." Die anrollende Welle von Verbrechen solcher Art ist absehbar, vor allem im Hinblick auf die Erfahrungen aus Smartphone- und PC-Markt, und wie damals dort ist heute hier Nebelkerzen werfen eine gefährlich fahrlässige Verzögerungstaktik. Wenn ich fair sein wollte, könnte ich die Industrie verteidigen, indem ich auf das europäische Wettbewerbsrecht hinweise. Das zwingt zum Beispiel dazu, einige kritische Funktionen wie Steuergeräte neu flashen kategorisch für alle offen zu halten, nicht nur für die Vertragswerkstätten. Aber das nur am Rande, denn ich will ja gar nicht fair sein. Diese Gesetze kann man ändern und ich sehe sowieso nicht, dass der legislativ umgesetzte Volkswille der Autoindustrie besonders wichtig wäre.