Autos tracken und stoppen: GPS-Tracker mit schwerwiegenden Sicherheitslücken

Die auch in Deutschland eingesetzten GPS-Tracker erlauben es, den Motor des Fahrzeugs zu stoppen. Über Sicherheitslücken ist dies auch Dritten möglich.

Artikel veröffentlicht am 23. Juli 2022, 10:01 Uhr, Moritz Tremmel

Über die Sicherheitslücken lassen sich Autos verfolgen und stoppen. (Bild: John Howard/Pixabay)

Über Sicherheitslücken in einem beliebten GPS-Tracker lassen sich nicht nur mehr als eine Million Fahrzeuge verfolgen, sondern auch deren Motoren deaktivieren. Die Sicherheitsfirma Bitsight hat laut einem Bericht des Onlinemagazins Techcrunch insgesamt sechs Sicherheitslücken in dem GPS-Tracker MV720 gefunden und dem Hersteller Micodus gemeldet. Dieser hat jedoch nichts unternommen, um die Lücken zu beheben.

Nach Herstellerangaben sind mehr als 1,5 Millionen der GPS-Tracker bei über 420.000 Kunden weltweit im Einsatz. Darunter sollen sich auch Unternehmen mit Fahrzeugflotten, Strafverfolgungsbehörden, Militär und Regierungen befinden. Die Sicherheitslücken sollen sich teilweise im GPS-Tracker selbst, teilweise aber auch im Webdashboard des Herstellers befinden, mit dem die Kunden ihre Fahrzeugflotten überwachen können.

Die schwerwiegendste Sicherheitslücke ist demnach ein hardcodiertes Passwort, mit dem die vollständige Kontrolle über jeden GPS-Tracker erlangt werden kann. Neben dem Zugriff auf den derzeitigen Standort sollen auch frühere Routen angezeigt werden sowie die Kraftstoffzufuhr des Fahrzeugs unterbrochen werden können. Das Kennwort ist demnach in den Code der Android-App eingebettet und kann entsprechend von Dritten gefunden werden.

Neben dem hardcodierten Passwort werden die Geräte mit einem Nutzerpasswort ausgeliefert, das standardmäßig "123456" lautet. Wird dieses nicht geändert, kann auch damit auf den GPS-Tracker zugegriffen werden. In einer Stichprobe von 1.000 Geräten stellte Bitsight fest, dass das Passwort in 95 Prozent der Fälle nicht geändert wurde.

Die betroffenen GPS-Tracker werden auch in Deutschland eingesetzt

Die Sicherheitsforscher gaben an, die GPS-Tracker auf der ganzen Welt gefunden zu haben, mit der höchsten Konzentration der Geräte in der Ukraine, Russland, Usbekistan und Brasilien sowie in ganz Europa, einschließlich Deutschland und Frankreich. In den USA sei der Einsatz weniger verbreitet, sagte Kevin Long, ein Sprecher von Bitsight zu Techcrunch. Dennoch handele es sich auch dort um Tausende Geräte.

Entsprechend warnt laut Techcrunch auch die für Cybersicherheit zuständige US-Behörde Cisa vor den Geräten. Besitzer der Geräte sollten diese so bald wie möglich entfernen, um das Risiko zu vermindern. Bitsight gab an, Micodus bereits im September 2021 wegen der Sicherheitslücken kontaktiert zu haben. Üblicherweise geben Sicherheitsforscher Unternehmen drei Monate Zeit, um die Lücken zu beheben, bevor sie damit an die Öffentlichkeit gehen. Auf Nachfragen von Techcrunch reagierte Micodus nicht.

Bereits im Jahr 2019 hatte ein Hacker Tausende Kundenkonten der Apps Protrack und iTrack übernommen, mit der ebenfalls die Fahrzeugflotte per GPS getrackt werden kann. Auch hier konnte der Hacker sowohl auf den Standort der Fahrzeuge zugreifen als auch die Motoren am anderen Ende der Welt ausschalten.