SOUTHERN CALIFORNIA / LONDON (IT BOLTWISE) – Eine Bluetooth-Sicherheitslücke in einem weit verbreiteten Aftermarket-Autolarm kann Angreifern laut Forschern das Auto unbemerkt öffnen, die Alarmanlage ausschalten und sogar die Stromversorgung lahmlegen. Besonders kritisch: Die Geräte wurden nach Einschätzung der UC San Diego in mehr als 2 Millionen Fahrzeugen verbaut, häufig auch dann, wenn Käufer die Funktion im Handel nicht aktiv wollten. Der Hersteller hat zwar ein Firmware-Update bereitgestellt, doch wer die App nicht installiert hat, muss offenbar aktiv nach der Komponente suchen. Für Autobesitzer bedeutet das: Sicherheits-Patching ist nicht mehr nur ein Thema für Hersteller-Software, sondern auch für nachträglich eingebaute Bausteine.
Autos sind längst zu rollenden Computersystemen geworden, doch bei vielen Fahrern landet die Sicherheitsverantwortung bisher trotzdem beim Hersteller. Genau an dieser Lücke setzt die aktuelle Warnung der UC San Diego an: Ein Aftermarket-System, das als Autodiebstahl-Schutz dienen soll, sei in sehr vielen Fahrzeugen verbaut worden und könne sich per Funkbefehlen missbrauchen lassen. Laut der Untersuchung handelt es sich um ein Modell der KARR Security System Alarmanlage, die nach Einschätzung der Forscher in mehr als 2 Millionen Fahrzeugen in den USA installiert wurde. Wer ein Auto besitzt, in dem diese Komponente steckt, muss demnach nicht nur Hersteller-Updates im Blick behalten, sondern auch eine dritte, zuvor womöglich nicht gekaufte Sicherheitsbox im Fahrzeug.
Technisch beschreibt die Studie vor allem ein konkret verwertbares Angriffsmuster über Bluetooth. Ein Angreifer im Funkradius könne die Alarmanlage so fernsteuern, dass sich das Fahrzeug laut Demonstrationen unbemerkt entriegeln lässt, die Alarmfunktion deaktiviert wird und sich außerdem sichtbare Aktionen auslösen lassen wie Hupen oder das Blinken der Lichter. Besonders brisant ist, dass die Forscher auch Funktionen gezeigt haben, die darauf hinauslaufen, ein geparktes Auto zeitweise „lahmzulegen“, sodass es nicht sofort gestartet werden kann. Noch mehr Risiko entsteht dadurch, dass die KARR-Geräte typischerweise von Händlern verbaut wurden, also nicht zwingend vom Fahrzeughersteller selbst – und nach dem Verkauf oft im Auto verbleiben, selbst wenn der Käufer die Zusatzfunktion abgelehnt hat oder sie nie als Feature bezahlt wurde.
Für die Verbreitung liefern die Angaben aus dem Forschungsumfeld eine greifbare Erklärung: Das System sollte ursprünglich Sicherheitsvorgaben erfüllen, die Händler auf ihren Standflächen brauchen, etwa um Autodiebstahl zu erschweren. Wenn Käufer später aus Preis- oder Konfigurationsgründen gegen die Alarmkomponente optieren, wird sie dennoch offenbar häufig nicht entfernt. Die Folge ist ein unsymmetrisches Bedrohungsmodell: Das Auto wird mit einer schnittstellenfähigen Komponente ausgestattet, deren Sicherheitsstatus der Endnutzer kaum einschätzen kann, weil er nicht sichtbar „gepatcht“ wurde. Damit verschiebt sich das Problem vom klassischen Hersteller-Update hin zu einem Supply-Chain-Thema innerhalb des Händlervertriebs: Selbst wenn die Fahrzeugplattform sicher ist, kann ein eingebautes Zubehör die Gesamtsicherheit dominieren.
Der Schlüssel zur Ausnutzbarkeit liegt laut UC San Diego in einer vereinheitlichten Authentifizierung: Eine einzelne Authentifizierungs-„Key“-Konfiguration soll über Geräte hinweg geteilt werden. Zusätzlich hätten die Forscher diesen Schlüssel auch im Code der KARR-Smartphone-App identifiziert, mit der Kunden – sofern vorhanden – die Alarmanlage steuern. Aufbauend darauf konnten sie mithilfe Reverse Engineering und einer eigenen Anwendung Funkkommandos so fälschen, dass nahe KARR-Geräte sie akzeptieren. Dazu kommt ein weiteres Detail, das für reale Angriffe wichtig ist: Selbst wenn das Gerät für abgelehnte Konfigurationen als „deaktiviert“ gilt, sendet es offenbar weiterhin Signale und akzeptiert Bluetooth-Zugriffe beim Betrieb des Fahrzeugs – sowie noch bis zu 10 Minuten nach dem Ausschalten. Für Besitzer heißt das: Der Zustand „aus“ ist nicht automatisch gleichbedeutend mit „sicher aus“.
Auf der operativen Ebene adressiert der Hersteller Acrisure Protection Group das Problem inzwischen über ein Firmware-Update für das betroffene Bluetooth-Modell. Laut den Angaben sollen Besitzer, die bereits die KARR Security Smartphone-App installiert haben, eine Benachrichtigung über das Update erhalten. Wer die App nicht nutzt oder nicht installiert hat, wird demnach angewiesen, sie auf Android oder iOS nachzurüsten, das Fahrzeug mit dem KARR-System zu verbinden und dann in „customer service“ sowie „firmware update“ das Update anzustoßen. Praktisch schwieriger wird es dadurch, dass nicht alle Betroffenen automatisch erreichbar sind: Wenn die Installation über Händler erfolgte und die Kundenbindung über App-Nutzung fehlt, braucht es zusätzliche Indikatoren, die der Fahrer selbst prüfen kann, etwa einen KARR-Aufkleber an der Fahrerseitenscheibe oder in manchen Fällen weitere Markierungen wie „SWDS“ sowie eine kleine Taste mit blinkender Leuchte unterhalb des Armaturenbretts.
Das Zusammenspiel aus hoher Stückzahl, verdeckter Installation und demonstrierter Wirkung macht die Bedrohung aus Sicht der Forschenden schwer abzugrenzen. In Demonstrationen wird beschrieben, dass es mit einem speziell entwickelten „Mayhem“-Schaltknopf möglich sei, mehrere Fahrzeuge in kurzer Zeit wiederholt zu Hupen und zu blinken – ein Angriff, der zwar kurzfristig nicht zwingend zum Starten des Motors führt, aber sowohl Ablenkung als auch potenzielle Eskalation im öffentlichen Raum begünstigen kann. Zusätzlich berichten die Forscher über einen Weg, gestohlene Fahrzeuge mit einem gängigen Werkzeug zu bewegen, sobald ein Täter in das Fahrzeug gelangt; die Kombination aus Zugang und KARR-Lücke erlaubt dann den Aufbau eines funktionsfähigen „Schlüssel“-Szenarios in wenigen Minuten. Parallel dazu nutzt das Forschungsteam eine Funkdatenbank (WiGLE), um aus beobachteten Bluetooth-Signaturen und Geräteserialisierung abzuleiten, wo solche Komponenten typischerweise vorkommen könnten – ein Aspekt, der auch das Tracking historischer Standorte für Angreifer vereinfacht.
Für Unternehmen und Sicherheitsverantwortliche ist die eigentliche Lehre klar: Moderne Cyber-Physical-Systeme sind nicht mit einem einzelnen Patch-Zeitfenster erledigt, wenn auch Zubehör-Komponenten im Fahrzeugumfeld betroffen sind. Der Fall zeigt, wie schnell sich „Security Updates“ zu einer dauerhaften Betriebsaufgabe entwickeln: nicht nur Softwarestände der Kernplattform, sondern auch Firmware-Updates externer Module, die über Händlerketten in Fahrzeuge gelangen. Gleichzeitig macht die Verzögerung beim Rollout eine Frage nach Prozessreife sichtbar: Die UC San Diego beschreibt, dass zwischen der Meldung der Lücke und der tatsächlichen Verfügbarkeit des Fixes fast 18 Monate lagen. Für betroffene Fahrer bleibt daher trotz Hersteller-Patching eine konkrete Handlung: Fahrzeugkennzeichen und sichtbare Installationshinweise prüfen, App-Zugriff nachholen und das Update zeitnah durchführen – denn bei einer Shared-Authentication-Komponente ist „warten“ häufig gleichbedeutend mit „verwundbar bleiben“.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "KARR-Zubehöralarm: Bluetooth-Lücke ermöglicht Hack, Tracking und Sabotage an Millionen Autos" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "KARR-Zubehöralarm: Bluetooth-Lücke ermöglicht Hack, Tracking und Sabotage an Millionen Autos" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »KARR-Zubehöralarm: Bluetooth-Lücke ermöglicht Hack, Tracking und Sabotage an Millionen Autos« bei Google Deutschland suchen, bei Bing oder Google News!