Elektroautos: Ungeschützte Ladesäule verrät Hunderte UIDs

Die Steuerung einer Ladesäule für E-Autos in Bayern war ungeschützt im Netz. Sie verriet UIDs, mit denen sich Ladekarten klonen und auf Kosten ihrer Besitzer Autos laden lassen.

Artikel von Moritz Tremmel veröffentlicht am 10. März 2023, 9:00 Uhr

Die Steuerung von Ladesäulen sollte nicht ungeschützt im Internet sein. (Bild: A. Krebs/Pixabay)

Der Sicherheitsforscher Silvan Reiser staunte nicht schlecht, als er eine gänzlich ungeschützte Steuerung einer Ladesäule für Elektroautos im Internet entdeckte. Dort konnten nicht nur verschiedenste Einstellungen von jedem Internetnutzer verändert, sondern auch mehrere Hundert UIDs der an der Ladesäule verwendeten Ladekarten eingesehen werden.

Mit diesen Nummern lassen sich die Ladekarten klonen und so auf Kosten ihres Eigentümers E-Autos laden. Zudem handelt es sich bei den UIDs um personenbezogene Daten, mit denen beispielsweise ein Bewegungsprofil erstellt werden könnte. Auch ein recht triviales Passwort, das für die Anbindung an das Ladenetz verwendet wird, fand Reiser im Backend vor.

Zunächst galt es herauszufinden, wo die Ladestation überhaupt steht. Schwer war das aber nicht: In der Weboberfläche der Ladesäule war auch die Electric Vehicle Supply Equipment ID (EVSE-ID) vermerkt. Mit dieser eindeutigen ID konnte Reiser schnell herausfinden, dass es sich um eine Doppelladesäule in der bayerischen Kreisstadt Bad Reichenhall handelt.

Sie wird von den Stadtwerken Bad Reichenhall in Verbindung mit dem Roaming-Partner Ladenetz.de der Smartlab mbH betrieben. Smartlab sorgt dafür, dass mit den Ladekarten verschiedener Anbieter geladen werden kann. Reiser meldete die Sicherheitslücke an beide Betreiber, erhielt aber nur von den Stadtwerken Bad Reichenhall eine Antwort. Sie bedankten sich und nahmen die Ladesäule umgehend aus dem Netz. Auf die Nachfrage, was nun mit den betroffenen UIDs passiere, erhielt er jedoch keine Antwort mehr.

Hundertmal kostenlos laden, bitte

Dabei ist diese Frage der Knackpunkt: Immerhin konnten auch andere die ungeschützte Ladesäule entdecken, die UIDs auslesen und mit geklonten Karten laden. Wie einfach das geht, hat Reiser selbst mit seiner Ladekarte getestet.

Mit seinem Flipper Zero, einem Gerät, das etliche Funktionen von Hacking-Devices vereint und von Sicherheitsforschern vielfältig genutzt werden kann, las er seine Ladekarte aus und klonte sie auf das Gerät. Dabei simulierte er verschiedene Ladekartentypen und konnte an etlichen Ladesäulen mit dem Gerät sein E-Auto laden.

Neben der Frage nach dem Umgang mit den UIDs bleibt auch offen, wie viele überhaupt betroffen sind und seit wann das Datenleck besteht. Einsehen konnte der Sicherheitsforscher nämlich nur die Logs – also, wann mit welcher UID geladen wurde – seit dem letzten Neustart der Ladesäule.

Fehlkonfiguration führt zu Datenleck

Auf Nachfrage von Golem.de erklärt Smartlab, dass die Sicherheitslücke wohl auf eine Fehlkonfiguration durch einen Subunternehmer des Ladesäulenherstellers zurückzuführen sei. Dabei sei ab dem 1. Juli 2022 die Verbindung zum Backend über das falsche Netzwerk hergestellt worden, was zu der Sicherheitslücke geführt habe. "Für den Fall, dass die Sicherheitslücke von Tag 0 ausgenutzt wurde und alle Logs abgerufen werden konnten, sind bis zu 372 [individuelle] UIDs betroffen", erklärt Smartlab.

Zum Umgang mit den UIDs teilte uns Smartlab mit: "Die potenziell betroffenen UIDs werden auf auffälliges Ladeverhalten innerhalb unseres Netzwerkes überprüft." Darüber hinaus stehe man im Austausch mit den E-Mobilitäts-Providern (EMP).

Alle weiteren Schritte wie das Informieren der Endkunden über den Vorfall sowie eine Sperre der betroffenen Karten liege jedoch im Ermessen der Kartenausgeber, betont Smartlab. Die UIDs seien ohnehin "technische Informationen", mit denen allein aus der Ladesäule keine Kundenzuordnung vorgenommen werden könne.

"Eine Meldung an den Landesdatenschutzbeauftragten hat nicht stattgefunden, da es sich bei den einsehbaren Daten wie oben bereits erläutert nicht um personenbezogene Daten handelt", erklärt Smartlab. Das sehen auf Nachfrage von Golem.de jedoch mehrere Datenschutzbehörden anders.