Auto gehackt
Bluetooth-Hack „PerfektBlue“: Mercedes, VW und Skoda betroffen
Eine neue Angriffsmethode namens „PerfektBlue“ ermöglicht es, vollen Zugriff auf Infotainmentsysteme moderner Fahrzeuge zu erlangen.
Ein Forschungsteam von PCA Cyber Security hat gravierende Sicherheitslücken in einem Bluetooth-Framework entdeckt, das in zahlreichen Fahrzeugen zum Einsatz kommt. Das sogenannte BlueSDK wird unter anderem in Infotainmentsystemen von Mercedes-Benz, Volkswagen und Skoda genutzt. In Kombination ermö...
Ein Forschungsteam von PCA Cyber Security hat gravierende Sicherheitslücken in einem Bluetooth-Framework entdeckt, das in zahlreichen Fahrzeugen zum Einsatz kommt. Das sogenannte BlueSDK wird unter anderem in Infotainmentsystemen von Mercedes-Benz, Volkswagen und Skoda genutzt. In Kombination ermöglichen die Schwachstellen eine Remote-Code-Ausführung – mit potenziell weitreichenden Folgen für die Fahrzeugsicherheit und den Datenschutz. Dem Bericht zufolge genügt eine Bluetooth-Kopplung mit einem präparierten Gerät, um über die Technik PerfektBlue Zugriff auf das System zu erhalten. Danach können Angreifer unter anderem Mikrofone anzapfen, den Standort verfolgen oder persönliche Kontaktdaten auslesen.
Die Sicherheitsforscher demonstrierten den Angriff an aktuellen Infotainmentsystemen mehrerer Hersteller. In allen Fällen ließ sich erfolgreich eine sogenannte Reverse-Shell einrichten, über die dann eigene Befehle im System ausgeführt wurden. Eine Gefährdung kritischer Fahrzeugfunktionen wie Lenkung oder Bremse bestehe laut Herstellerangaben zwar nicht direkt – doch Experten warnen davor, kombinierte Angriffsstrategien zu unterschätzen.
Besonders brisant: Der Hersteller des Bluetooth-Frameworks, Opensynergy, hatte die Lücken bereits im September 2024 geschlossen. Die Offenlegung durch PCA Cyber Security erfolgte jedoch erst jetzt – bewusst, um den betroffenen Autobauern ausreichend Zeit zur Reaktion zu geben. Doch offenbar wurde diese Frist nicht überall genutzt. Bis Juni 2025 hätten längst nicht alle Hersteller die nötigen Updates an Endkunden weitergereicht. Als Grund nennen die Forscher unter anderem komplexe Lieferketten.
Die Angriffsdistanz ist technisch begrenzt: Laut Volkswagen ist ein Zugriff nur aus einer Entfernung von maximal sieben Metern möglich – und auch nur dann, wenn Bluetooth aktiv ist und die Zündung eingeschaltet wurde (via BleepingComputer). Dennoch bleibt das Risiko bestehen, insbesondere in städtischen Umgebungen mit hoher Dichte potenzieller Angreifer.
Mercedes-Benz reagierte inzwischen auf die Veröffentlichung und teilte mit, alle notwendigen Maßnahmen zur Risikominimierung ergriffen zu haben. Der bereitgestellte Patch werde derzeit über Over-the-Air-Updates verteilt. Zudem verweist der Konzern auf sein „Vulnerability Disclosure Program“, über das externe Sicherheitsforscher aktiv zur Produktverbesserung beitragen können.
