Der Cariad-Vorfall (2024)
- Betroffene: Rund 800.000 Elektrofahrzeuge der Marken VW (v.a. ID-Modelle), Audi, Skoda und Seat/Cupra.
- Art der Daten: Es handelte sich um praezise Telemetrie- und Positionsdaten. Enthalten waren GPS-Koordinaten (teils auf 10 cm genau), Batterieladestaende, Kilometerstaende und Zeitstempel, wann das Fahrzeug gestartet oder abgestellt wurde.
- Die Ursache: Ein klassischer Konfigurationsfehler. Ein ungeschuetzter Speicherauszug (Memory Dump) auf einem Webserver von Cariad enthielt unverschluesselte Zugangsdaten fuer einen Amazon Cloud-Speicher (AWS).
- Das Risiko: Durch die Verknuepfung mit einer weiteren internen Schnittstelle konnten die Fahrzeugdaten teils direkt mit den Kontaktdaten der Besitzer (E-Mail, Name) zusammengefuehrt werden. Das erlaubte die Erstellung extrem detaillierter Bewegungsprofile.
- Entdeckung: Ein Whistleblower hatte den Chaos Computer Club (CCC) und den Spiegel informiert, die die Luecke verifizierten und an VW meldeten.
Einordnung
Das war besonders deshalb brisant, weil unter den betroffenen Fahrzeugen auch Dienstwagen von Politikern, Wirtschaftsboossen und sogar der Hamburger Polizei waren. VW betonte damals, dass die Daten eigentlich zur Verbesserung der Software und Batterien dienten, aber durch die mangelhafte Absicherung waren sie fuer jeden mit Grundkenntnissen abrufbar.
Es gab uebrigens auch 2021 ein grosses Datenleck bei VW/Audi in Nordamerika, aber dabei ging es eher um klassische Kundendaten (Marketingdaten) von einem Drittanbieter und weniger um die direkte Telemetrie aus den Autos selbst. Der Cariad-Fall von 2024 ist derjenige, der das Thema "das Auto als fahrende Datenkrake" so richtig in die Schlagzeilen gebracht hat.