Sie wollen einen Tesla stehlen? Versuchen Sie es mit einem Flipper Zero.

Sicherheitsforscher berichten, eine Sicherheitslücke entdeckt zu haben, die es ihnen ermöglicht, einen Tesla mithilfe des umstrittenen Hacking-Tools Flipper Zero (169 US-Dollar) zu kapern . Tommy Mysk und Talal Haj Bakry von Mysk Inc. erklärten, der Angriff sei denkbar einfach: Man müsse lediglich die Zugangsdaten des Tesla-Besitzers stehlen, die Tesla-App öffnen und losfahren. Das Opfer würde nichts davon bemerken, dass es sein 40.000 US-Dollar teures Fahrzeug verloren hat. Mysk sagte, der Exploit dauere nur wenige Minuten, und um die Funktionsfähigkeit zu beweisen, habe er sein eigenes Auto gestohlen.

Das Problem ist nicht „Hacking“ im Sinne eines Software-Einbruchs, sondern ein Social-Engineering-Angriff, der Nutzer dazu verleitet, ihre Daten preiszugeben. Mithilfe eines Flipper-Geräts richteten die Forscher ein WLAN-Netzwerk namens „Tesla Guest“ ein – so nennt Tesla seine Gastnetzwerke in den Servicezentren. Mysk erstellte anschließend eine Website, die der Tesla-Anmeldeseite täuschend ähnlich sieht.

Der Vorgang ist simpel. In diesem Szenario könnten Hacker das Netzwerk in der Nähe einer Ladestation einrichten, wo sich ein gelangweilter Fahrer vielleicht gerade unterhält. Das Opfer verbindet sich mit dem WLAN und gibt Benutzername und Passwort auf der gefälschten Tesla-Website ein. Der Hacker nutzt diese Zugangsdaten, um sich in der echten Tesla-App anzumelden, wodurch eine Zwei-Faktor-Authentifizierung ausgelöst wird. Das Opfer gibt diesen Code auf der gefälschten Website ein, und der Dieb erhält Zugriff auf das Konto. Sobald man in der Tesla-App angemeldet ist, kann man einen „Telefonschlüssel“ einrichten, mit dem man das Auto per Bluetooth mit einem Smartphone entriegeln und steuern kann. Ab diesem Zeitpunkt gehört das Auto einem.

Mysks Demonstration des Angriffs können Sie im untenstehenden Video sehen.

Laut Mysk benachrichtigt Tesla die Nutzer nicht über die Erstellung neuer Schlüssel, sodass das Opfer nicht bemerkt, dass seine Daten kompromittiert wurden. Mysk zufolge müssten die Täter das Auto auch nicht sofort stehlen, da die App den Standort des Fahrzeugs anzeigt. Der Tesla-Besitzer könnte den Ladevorgang abschließen und zum Einkaufen fahren oder vor seinem Haus parken. Der Dieb würde den Standort des Autos einfach über die App überwachen und dann im richtigen Moment zuschlagen.

„Das bedeutet, dass ein Besitzer durch ein durchgesickertes E-Mail-Konto und Passwort sein Tesla-Fahrzeug verlieren könnte. Das ist Wahnsinn“, sagte Tommy Mysk. „Phishing- und Social-Engineering-Angriffe sind heutzutage sehr verbreitet, insbesondere durch den Aufstieg von KI-Technologien, und verantwortungsbewusste Unternehmen müssen solche Risiken in ihre Bedrohungsmodelle einbeziehen.“

Beim Kauf eines Tesla erhält man vom Unternehmen eine physische Schlüsselkarte für das Fahrzeug. In der Bedienungsanleitung des Tesla Model 3 heißt es: „Die Schlüsselkarte dient dazu, Smartphone-Schlüssel für die Nutzung mit dem Model 3 zu authentifizieren und weitere Schlüssel hinzuzufügen oder zu entfernen.“ Als Mysk diese Sicherheitslücke jedoch ausnutzte, stellte sich heraus, dass dies nicht stimmte.

Laut Mysk testete er die Sicherheitslücke mehrfach mit seinem eigenen Tesla. Er gab an, ein frisch zurückgesetztes iPhone verwendet zu haben, das zuvor noch nie mit seinem Auto gekoppelt gewesen war, und sichergestellt zu haben, dass keine Verbindung zwischen diesem Telefon und seiner Identität über die Apple-ID oder die IP-Adresse bestand. Mysk erklärte, er habe mehrfach einen Telefonschlüssel erstellen können, ohne Zugriff auf die physische Schlüsselkarte des Tesla zu haben.

Mysk gab an, Tesla über dessen Meldesystem für Sicherheitslücken kontaktiert zu haben. Das Unternehmen habe ihm jedoch geantwortet, es handle sich nicht um ein tatsächliches Problem. Er teilte Gizmodo eine Kopie des Schriftwechsels mit. „Wir haben dies untersucht und festgestellt, dass es sich um das beabsichtigte Verhalten handelt“, hieß es in der E-Mail von Tesla. „Im Abschnitt ‚Telefonschlüssel‘ der von Ihnen verlinkten Seite im Benutzerhandbuch wird nicht erwähnt, dass zum Hinzufügen eines Telefonschlüssels eine Schlüsselkarte erforderlich ist.“

Tesla, das üblicherweise Fragen der Medien ignoriert, reagierte nicht umgehend auf eine Bitte um Stellungnahme.

„Die Bestätigung des Tesla-Produktsicherheitsteams, dass dies das ‚beabsichtigte Verhalten‘ sei, ist absurd“, sagte Mysk. „Das Design zum Koppeln eines Telefonschlüssels ist ganz klar auf Kosten der Sicherheit extrem benutzerfreundlich gestaltet.“

Laut Mysk scheint die physische Schlüsselkarte lediglich zur Authentifizierung des Smartphone-Schlüssels als Sicherheitsmechanismus erforderlich zu sein. In seinen Tests konnte Mysk den Smartphone-Schlüssel einrichten, während er sich in der Nähe des Autos befand oder darin saß. War das Auto zu weit entfernt, schlug die Einrichtung fehl und die App forderte die physische Schlüsselkarte an. Solange er sich jedoch in der Nähe befand, konnte Mysk nach eigenen Angaben einen neuen Smartphone-Schlüssel auch ohne Schlüsselkarte hinzufügen.

„Bei Teslas aktuellem System kann ein Angreifer, der Benutzername und Passwort des Opfers kennt, mit dessen Fahrzeug davonfahren“, sagte Mysk. „Wenn ein Opfer dazu verleitet wird, seine Zugangsdaten preiszugeben, sollte es nicht alles verlieren. Es sollte nicht sein Auto verlieren.“

Der Flipper Zero ist ein umstrittenes Gerät, das sich an Bastler, Hacker und deren Gegner richtet. Er ist wie ein digitales Schweizer Taschenmesser mit vielfältigen drahtlosen Verbindungsfunktionen , mit denen man andere Geräte manipulieren (und hacken) kann. Kürzlich erklärte der Mitbegründer des Flipper gegenüber Gizmodo, der Sinn des Geräts sei es, die mangelhaften Sicherheitspraktiken großer Technologiekonzerne aufzudecken . Es ist jedoch anzumerken, dass es zahlreiche andere, preiswerte Geräte gibt, mit denen sich diese Tesla-Sicherheitslücke auf genau dieselbe Weise ausnutzen lässt.

Für Tesla wäre es nicht schwer, dieses Problem zu lösen. Musk sagte, das Unternehmen solle die Authentifizierung per Schlüsselkarte vor dem Hinzufügen von Smartphone-Schlüsseln verpflichtend machen und die Nutzer benachrichtigen, wenn neue Schlüssel erstellt werden. Ohne ein Eingreifen des Unternehmens könnten Tesla-Besitzer jedoch schutzlos ausgeliefert sein.

Manchmal vermittelt eine elegante, moderne Computeroberfläche ein trügerisches Gefühl von Sicherheit, doch meistens machen uns die zusätzlichen Komplexitätsebenen angreifbarer. Vor 20 Jahren hatten Autodiebe im Grunde zwei Möglichkeiten: den Schlüsselbund des Fahrers in die Hände bekommen oder das Fahrzeug kurzschließen. Doch wenn der Autoschlüssel nur aus Einsen und Nullen besteht, kann die Sache kompliziert werden.