Entwicklungsdaten und Produktionsanlagen nicht ausreichend geschützt

Die Automobilindustrie ist derzeit im Umbruch. Angesichts der immer lauter werdenden Diskussion um den Klimawandel, ist ein „weiter so“ nicht länger möglich. Die Branche muss mit neuen Entwicklungen fit für die Zukunft werden. Je innovativer die neuen Konzepte, desto besser können die Autobauer sich im Mobility-Markt positionieren. Forschung und Entwicklung sowie die Produktionsanlagen geraten dadurch allerdings immer stärker in den Fokus von Cyber-Kriminellen.

Obwohl die Innovationen ihrer Entwickler für die Automobilbranche von immenser Bedeutung sind, ist die Sicherheitslage in vielen Unternehmen erschreckend. Daten, Entwicklungsunterlagen und Produktionsumgebungen sind nur unzureichend geschützt, wie die Untersuchung ergab, die CybelAngel bei international führenden Unternehmen der Branche durchführte. Demnach sind rund 215.000 ungeschützte Zugangsdaten online verfügbar. Die Cyber-Bedrohungen richten sich zudem gegen 235.046 ungeschützte Anlagen und Hunderte von öffentlich zugänglichen Blaupausen von Motoren und Produktionsanlagen. Auf diese Weise gelangten bereits in der Vergangenheit Geschäftsgeheimnisse, personenbezogene Daten und andere hochsensible Informationen nach außen. Darüber hinaus wurden Sicherheitslücken in der gesamten Lieferkette der Automobilindustrie aufgedeckt. Die Analysten fanden im Rahmen ihrer Investigation vertrauliche Vereinbarungen, Baupläne sowie die Korrespondenz von Personalabteilungen, die ungeschützt zugänglich waren.

CybelAngel führte die umfassende Untersuchung in den ersten sechs Monaten des Jahres 2021 bei weltweit führenden Automobilunternehmen durch. Ziel war es, deren Cyber-Risiken und -Schwachstellen zu ermitteln. Gleichzeitig wurden dabei Daten analysiert, die ohne Authentifizierung öffentlich zugänglich sind. Diese wurden auf File- und E-Mail-Servern, sowie in Datenbanken, Pastebins und IoT-Geräten gefunden.

Hier ein Auszug aus den Ergebnissen:

• Bei einer Stichprobe unter 2,2 Millionen Mitarbeitern gab etwa jeder zehnte Mitarbeiter Anmeldedaten in öffentlich zugänglichen Umgebungen online preis.
• Unternehmen aus den Vereinigten Staaten und Westeuropa waren am stärksten von offen zugänglichen Zugangsdaten betroffen. Diese Anmeldedaten stellen ein großes Risiko dar, da für 30 % der Ransomware-Angriffe gestohlene, offengelegte oder wiederverwendete Anmeldedaten eingesetzt werden.
• Die Analysten fanden 26.322 ungeschützte Anlagen mit offenen Ports oder Protokollen, die sofort geschlossen oder genau überwacht werden mussten.
• Das bedeutendste Leck stammt von einer Industriedesignfirma, die für die neue Fabrik eines führenden US-Autokonzerns verantwortlich ist. Bei dem Leck handelt es sich offenbar um einen in China ansässigen Anbieter von Designdienstleistungen, der speziell für dieses Projekt beauftragt wurde. Die auf das Jahr 2020 datierten Dokumente umfassen rund 200 Seiten mit Plänen, in denen die Infrastruktur der Anlage und die Spezifikationen des Sicherheitssystems beschrieben sind.
• Ein Hersteller legte in der Analyse mehrere Millionen Dateien in einem AWS S3-Bucket offen. Die Informationen umfassten geschäftliche Details, E-Mail-Austausch, Verträge, Rechnungen und technische Daten. Ein weiterer Autobauer verstieß gegen eine Geheimhaltungsvereinbarung (NDA). Er legte Dokumente über die Lieferung von Stahl und anderen Rohstoffen an seine Konkurrenten offen und setzte sich damit einem rechtlichen Risiko aus.

Risiken und ihre Folgen nicht unterschätzen

Erwan Keraudy, CEO von CybelAngel, sagt: "Die Risiken, die von ungeschützten Daten ausgehen, können gar nicht hoch genug eingeschätzt werden. Neben Ransomware-Angriffen, Datenlecks, offengelegten Vermögenswerten und Zugangsdaten, besteht für Unternehmen die Gefahr des Diebstahls geistigen Eigentums. Hinzu kommen Datendiebstahl, Wirtschaftsspionage und Betrug.“ Bei der Preisgabe personenbezogener Daten von Mitarbeitern müssten Unternehmen zudem mit Geldstrafen in Millionenhöhe rechnen, wenn sie gegen Vorschriften wie die DSGVO verstoßen. Geht es um vertrauliche Informationen, beispielsweise um Details eines Unternehmensverkaufs, könnte die Organisation, die die Daten weitergegeben hat, wegen Verstoßes gegen Geheimhaltungsvereinbarungen oder Datenschutzbestimmungen verklagt werden. Im schlimmsten Fall scheitert dann das gesamten Übernahmegeschäft. 

"Der Automobilsektor ist für Hacker attraktiv, weil er lange, komplexe und vernetzte Lieferketten mit unterschiedlichen Cybersicherheitsniveaus und damit Schwachstellen aufweist“, so Erwan Keraudy. „Dieser Bericht sollte ein Weckruf für die Automobilindustrie sein, denn die Branche hat in puncto Sicherheit einen erheblichen Nachholbedarf. Es ist notwendig, umgehend Maßnahmen zu ergreifen, um Daten zu sperren und Zugangsdaten zu schützen."

Hinweise für Redakteure:

Alle Daten und Erkenntnisse in dieser Studie stammen aus öffentlich zugänglichen Quellen, ohne dass eine Anmeldung oder sonstige Authentifizierung erforderlich ist und, ohne dass Sicherheitsmaßnahmen oder Sperrmechanismen umgangen werden.

CybelAngel wählte 14 führende Automobilhersteller als Protagonisten für diesen Bericht aus. Vier der 14 Unternehmen kommen aus APAC, acht aus EMEA und zwei aus den USA. Zusammengenommen haben diese Unternehmen 2,2 Millionen Vollzeitbeschäftigte in 193 der 195 Länder der Welt. Sie erwirtschaften zusammen einen Umsatz von knapp 1,1 Billionen Dollar.   

Twitter: @CybelAngel

LinkedIn: https://www.linkedin.com/company/cybelangel/