Abo
  • Services:

Elektromobilität: So leicht lassen sich Ladestationen und Ladekarten hacken

Das Thema IT-Sicherheit spielt bei der Infrastruktur von Ladestationen bislang eine sehr geringe Rolle. Wie leicht sich Karten klonen und Ladesäulen hacken lassen, zeigte ein Sicherheitsexperte auf dem diesjährigen Chaos Communication Congress.

Artikel veröffentlicht am ,
Eine geklonte Ladekarte kann Ladevorgänge auslösen.
Eine geklonte Ladekarte kann Ladevorgänge auslösen. (Bild: Friedhelm Greis/Golem.de)

Das Laden von Elektroautos hat bekanntlich seine Tücken. Zu den bekannten Problemen mit den unterschiedlichen Systemen von Ladesäulen und Kartenanbietern kommt nun noch ein weiteres hinzu: Die Kartenchips und Übertragungsprotokolle seien teilweise völlig ungeschützt, sagte Mathias Dalheimer am Mittwoch auf dem 34. Chaos Communication Congress (34C3) in Leipzig. Mit Hilfe einer geklonten RFID-Karte und einer erratenen oder gehackten Nutzer-ID könne auf Kosten anderer Nutzer Strom getankt werden. Auch die Ladestationen selbst ließen sich mit Hilfe von USB-Sticks hacken.

Inhalt:
  1. Elektromobilität: So leicht lassen sich Ladestationen und Ladekarten hacken
  2. Hersteller stellen sich taub

Dalheimer stieß auf die Sicherheitsprobleme bei der Analayse des sogenannten Open Charge Point Protocol (OCPP), das die Kommunikation zwischen Ladesäule und Ladenetzbetreiber regelt. So sehe die Version 1.5 des Protokolls lediglich vor, dass zum Start eines Ladevorgangs die 20-stellige Karten-ID unverschlüsselt übertragen werden muss. Eine weitere Authentifizierung sei nicht vorgesehen.

IDs lassen sich sogar erraten

Laut Dalheimer, hauptberuflich Mitarbeiter des Fraunhofer-Instituts für Techno- und Wirtschaftsmathematik (ITWM) in Kaiserslautern, war es jedoch kein Problem, die im Klartext auf Karten und Tokens des Anbieters New Motion gespeicherte ID auszulesen und beispielsweise auf einen Kartensimulator wie Chamäleon Mini zu übertragen. Mit dieser simulierten Karte vom Typ NXP Mifare Classic war es demnach problemlos möglich, einen Ladevorgang zu starten, der später korrekt vom Anbieter abgerechnet wurde. Dazu müsse laut Dalheimer nicht einmal die ohnehin defekte Verschlüsselung der Mifare Classic geknackt werden.

Das bedeutet: Betrüger müssten lediglich an die ID eines anderen Kartenbesitzers gelangen, um auf dessen Kosten Strom an einer Ladesäule tanken zu können. Nach Ansicht Dalheimers lässt sich eine solche ID möglicherweise erraten. Dazu könnten schon 100 Versuche ausreichend sein, wie er in seiner Anleitung beschreibt. Mit einem gewissen Aufwand könnte sie jedoch auch aus einer Ladestation kopiert werden.

Unverschlüsselter Datenverkehr

Stellenmarkt
  1. Bremer Rechenzentrum GmbH, Bremen
  2. AFS Aviation Fuel Services GmbH, Hamburg

Dazu schraubte Dalheimer zwei Ladestationen des deutschen Anbieters Hager und des österreichischen Anbieters Keba auseinander. Auf den Platinen der Steuerungselektronik befinden sich jeweils USB-Buchsen, die für Servicezwecke beispielsweise ein Software-Update ermöglichen. Auf diese Weise ließen sich auch Bash-Skripte installieren, mit denen Kartennummern ausgelesen werden könnten. So ließe sich eine Ladestation in zwei Minuten auslesen. Beim Modell von Hager müssten dazu nur zwei Schrauben gelöst werden.

Zudem ließen sich die Kartennummern ermitteln, indem der Datenverkehr zwischen Ladesäule und Backend mitgeschnitten wird. "Bei den mir bekannten Ladestationen (allesamt von großen Herstellern und preislich nicht im unteren Segment angesiedelt) ist die Verschlüsselung des HTTP-Datenverkehrs optional und lässt sich leicht umgehen. Ab Werk kommunizieren die Ladestationen allesamt unverschlüsselt", heißt es in der entsprechenden Anleitung.

Hersteller stellen sich taub 
  1. 1
  2. 2
  3.  


Anzeige
Hardware-Angebote
  1. ab 349€
  2. für 147,99€ statt 259,94€
  3. und Vive Pro vorbestellbar
  4. 449€

bernd71 30. Dez 2017

Teslas Stecker "stärker" als Chademo? Sowohl Chademo und CSS sind für deutlich höhere...

FreiGeistler 29. Dez 2017

RFID funktioniert ja so, dass der Chip die Energie zum senden aus der Antenne bezieht...

derdiedas 28. Dez 2017

Das eine hat mit dem anderem nichts zu tun. IoT ich kann schnell unentdeckt viele...

nicoledos 28. Dez 2017

Bei solchen Veranstaltungen werden nie die großen Neuigkeiten präsentiert. Da sind schon...

VigarLunaris 28. Dez 2017

VORSATZ: Die Besitzer der Säulen waren jeweils INFORMIERT! Ich habe bereits bei 3...


Folgen Sie uns
       


Intel NUC8 - Test

Winzig und kraftvoll: der NUC8 alias Hades Canyon.

Intel NUC8 - Test Video aufrufen
Datenverkauf bei Kommunen: Öffentliche Daten nicht verhökern, sondern sinnvoll nutzen
Datenverkauf bei Kommunen
Öffentliche Daten nicht verhökern, sondern sinnvoll nutzen

Der Städte- und Gemeindebund hat vorgeschlagen, Kommunen sollten ihre Daten verkaufen. Wie man es auch dreht und wendet: Es bleibt eine schlechte Idee.
Ein IMHO von Michael Peters und Walter Palmetshofer

  1. Gerichtsurteil Kein Recht auf anonyme IFG-Anfrage in Rheinland-Pfalz
  2. CDLA Linux Foundation veröffentlicht Open-Data-Lizenzen
  3. Deutscher Wetterdienst Wetterdaten sind jetzt Open Data

P20 Pro im Kameratest: Huaweis Dreifach-Kamera schlägt die Konkurrenz
P20 Pro im Kameratest
Huaweis Dreifach-Kamera schlägt die Konkurrenz

Mit dem P20 Pro will Huawei sich an die Spitze der Smartphone-Kameras katapultieren. Im Vergleich mit der aktuellen Konkurrenz zeigt sich, dass das P20 Pro tatsächlich über eine sehr gute Kamera verfügt: Die KI-Funktionen können unerfahrenen Nutzern zudem das Fotografieren erleichtern.
Ein Test von Tobias Költzsch

  1. Android Huawei präsentiert drei neue Smartphones ab 120 Euro
  2. Wie Samsung Huawei soll noch für dieses Jahr faltbares Smartphone planen
  3. Porsche Design Mate RS Huawei bringt 512-GByte-Smartphone für 2.100 Euro

God of War im Test: Der Super Nanny
God of War im Test
Der Super Nanny

Ein Kriegsgott als Erziehungsberechtigter: Das neue God of War macht nahezu alles anders als seine Vorgänger. Neben Action bietet das nur für die Playstation 4 erhältliche Spiel eine wunderbar erzählte Handlung um Kratos und seinen Sohn Atreus.
Von Peter Steinlechner

  1. God of War Papa Kratos kämpft ab April 2018

    •  /