Datenleck bei VW-Elektroautos enthüllt gravierende Sicherheitslücke

Bei Volkswagen ist es nach einem Bericht des „Spiegel“ zu einer massiven Sicherheitslücke gekommen, die sensible Fahrzeugdaten von Elektroautos betraf. Über mehrere Monate hinweg waren große Mengen an Daten von rund 800.000 Fahrzeugen der Marken VW, Audi, Seat und Skoda öffentlich im Internet zugänglich. Die Daten wurden auf einem unzureichend gesicherten Amazon-Cloud-Speicher gelagert und konnten mithilfe frei verfügbarer Programme ausgelesen werden, die in der IT-Branche als Standardwerkzeuge gelten.

Unter den betroffenen Fahrzeugen befanden sich insbesondere Modelle wie der VW ID.3 und ID.4, bei denen besonders detaillierte Informationen einsehbar waren. Zu den gespeicherten Daten gehörten präzise Standortangaben, die den Bewegungsverlauf der Fahrzeuge nachzeichneten, einschließlich Längen- und Breitengraden, sowie Angaben zu Batterieladestand, Inspektionsstatus und der Nutzung des Motors. In vielen Fällen war es möglich, diese Informationen mit persönlichen Daten wie E-Mail-Adressen, Telefonnummern und Anschriften zu verknüpfen. Dadurch ließen sich Bewegungsprofile der Nutzer erstellen. Auch Daten von Personen des öffentlichen Lebens, darunter Politiker, Unternehmer, Polizeibehörden und mutmaßliche Nachrichtendienstmitarbeiter, waren zugänglich.

Die Sicherheitslücke wurde durch einen Fehler bei der VW-Tochterfirma Cariad verursacht, die für die Software in den Fahrzeugen verantwortlich ist. Der Vorfall soll im Sommer 2024 passiert sein. Ein anonymer Hinweisgeber informierte den Chaos Computer Club (CCC) und den „Spiegel“ über die Schwachstelle. Der CCC meldete die Problematik schließlich am 26. November 2024 an Volkswagen. Nach Angaben des Unternehmens wurden die Systeme umgehend gesichert, und die Lücke ist mittlerweile geschlossen.

Volkswagen betonte, dass keine sensiblen Daten wie Passwörter oder Zahlungsinformationen betroffen gewesen seien und es nach aktuellem Kenntnisstand keine missbräuchliche Nutzung der Daten gegeben habe. Ein Sprecher von Cariad sprach von einer „Fehlkonfiguration“, die für die Schwachstelle verantwortlich war. Für Kunden bestehe demnach kein Handlungsbedarf.

Die meisten der betroffenen Daten stammen aus dem Jahr 2024, einige gehen jedoch weiter zurück. Der Vorfall wirft Fragen zur Datensicherheit und zum Schutz der Privatsphäre in der Elektromobilität auf. Volkswagen arbeitet nach eigenen Angaben an einer Überprüfung und Optimierung der Sicherheitsstandards seiner Systeme, um derartige Vorfälle künftig zu verhindern.