Ein Gastbeitrag von Alexander Bourgett
Private Ladestationen sind ein leichtes Ziel für Cyberangriffe. Denn die meisten Wallboxen sind mit dem Internet verbunden, doch bei der IT-Sicherheit wird gespart. Eine neue europäische Richtlinie verlangt nun, dass drahtlose Haushaltsgeräte – darunter auch Wallboxen – besser vor Cyber-Angriffen geschützt werden. Eine Herausforderung für die meisten Wallboxen-Hersteller.
Die EU hat in der europäischen Funkanlagenrichtlinie (RED) neue rechtliche Anforderungen an die Cybersicherheit aufgenommen. Das ist auch eine Grundlage für einen besseren Schutz von Wallboxen. Die neuen Maßnahmen der RED decken folgende Ziele ab:
- die Widerstandsfähigkeit der Netze erhöhen. Drahtlose Geräte und Produkte müssen Funktionen enthalten, die eine Beeinträchtigung der Kommunikationsnetze vermeiden und verhindern, dass die Geräte zur Störung der Funktionalität von Websites oder anderen Diensten verwendet werden.
- Besserer Schutz der Privatsphäre der Verbraucher: Drahtlose Geräte und Produkte müssen über Funktionen verfügen, die den Schutz personenbezogener Daten gewährleisten.
- Verringerung des Risikos von Geldbetrug: Drahtlose Geräte und Produkte müssen Funktionen enthalten, die das Betrugsrisiko bei elektronischen Zahlungen minimieren. So müssen sie beispielsweise eine bessere Authentifizierungskontrolle des Nutzers gewährleisten, um betrügerische Zahlungen zu verhindern.
Die Ende 2022 veröffentlichte Erweiterungsrichtlinie muss ab August 2025 umgesetzt werden. Die Direktive ist zwar zum Stand heute noch nicht vollständig fertiggestellt. Unternehmen sollten jetzt trotzdem dringend aktiv werden und das Thema IT-Sicherheit ernst nehmen. Denn klar ist: In den kommenden Jahren werden grundlegende Sicherheitsvorkehrungen, wie sie in Unternehmensnetzwerken oder beim Online-Banking längst üblich sind, auch in der Consumer Electronic-Welt verlangt – und damit auch für Wallboxen.
Und das ist längst überfällig: Denn Ladegeräte für E-Autos werden für Cyberkriminelle immer attraktiver. Der Computerwurm Mirai etwa sucht gezielt nach Sicherheitslücken in vernetzen Haushaltsgeräten, um mit Botnetzen Webseiten stillzulegen, Passwörter zu stehlen und Unternehmen zu erpressen. Je größer die Zahl an Wallboxen, desto interessanter werden sie für solche Angreifer.
Unmittelbar zur Zielscheibe von Erpressungen werden Wallboxen-Hersteller dann, wenn Hacker drohen, Userdaten zu stehlen oder Bezahlsysteme zu manipulieren. Für den Fall, dass Angreifer den Ladevorgang sabotieren, lassen sich sogar ganze Strommetze lahmlegen. Kompromittierte Wallboxen sind also eine reale Gefahr für Anbieter, Verbraucher und für kritische Infrastrukturen gleichermaßen. Die meisten Geräte sind trotzdem schlechter geschützt als ein Haushalts-Laptop.
Ein Hauptsicherheitsproblem von herkömmlichen Wallboxen sind veraltete Software-Versionen. Eine sichere Software zu bauen und diese langfristig abzusichern ist jedoch teuer. Für den IoT-Massenmarkt – zu denen auch Wallboxen zählen – werden diese Investitionen häufig nicht getätigt. IoT-Geräte werden zudem mit einem möglichst schlankem Betriebssystem konzipiert, das nur die Kernaufgaben erfüllt. Auf Sicherheitsfunktionen, wie Authentifizierung und Kryptographie, wird bewusst verzichtet – eine regelrechte Einladung für Hacker.
Neue Anforderungen an die Cybersicherheit
Um die RED zu erfüllen, braucht es daher erweiterte Sicherheitsvorkehrungen. Mit diesen Maßnahmen können die wichtigsten Angriffsszenarien aus der Ferne vermieden werden:
- Open source-Komponenten. Diese sind heutzutage weiterverbreitet als proprietäre Systeme. Schwachstellen werden in der großen Nutzer-Community schneller erkannt und gepatcht.
- Hardwarebasierte Security. Geheime Schlüssel sollten in einer Wallbox nicht im Hauptspeicher abgelegt werden, sondern in einem abgetrennten Security-Speicher. Weiterer Vorteil einer hardwarebasierten Security: Sie ist weniger leicht manipulierbar und bildet noch weitere physische Schutzmaßnahmen ab.
- Hardwarebasierte Zufallszahlengenerierung. Sie ist deutlich sicherer, da anders als bei der mathematischen Generierung echte Zufallszahlen entstehen.
- Secure booting. Beim Booten der Wallbox sollte das Betriebssystem überprüft werden. Das schafft deutlich mehr Sicherheit. Auch hier lässt sich auf erprobte Erfahrungen aus der open source-Community zurückgreifen.
- Signierte Programmdaten und schreibgeschützter Datenspeicher. Selbst wenn Hacker in das System gelangen, können sie den Datenspeicher nicht manipulieren, ohne dass danach der Systemstart verhindert wird.
- Eindeutige Identität. Jede Wallbox sollte ein Zertifikat einprogrammiert bekommen.
- Schnittstellensicherheit. Die Kommunikation zwischen der Wallbox und externen Funktionen sollte mit Zertifikaten geschützt sein. Das Backend eines Automotive-OEMs kommuniziert dann nur mit der Wallbox, wenn es sie erkennt. Hat ein Hacker sie gekapert, verweigert es die Verbindung.
- Kommunikation absichern. Wenn Zertifikate die Kommunikation mit dem Web verschlüsseln, wird ein Auswerten oder Manipulieren verhindert.
- Updates. Um Vernetzungsschnittstellen zu schützen sollten Schwachstellen laufend gepatcht werden. Die Architektur muss dazu auf lange Zeit nach end-of-production updatefähig bleiben. Und Sicherheitslücken müssen gesucht und Updates entwickelt werden.
Den meisten Wallboxen-Herstellern fehlen für die Umsetzung dieser Maßnahmen Manpower, Know-how und Erfahrung. Daher lohnt es sich, über ein Outsourcing der IT-Security an Spezialisten nachzudenken. Eine Whitelabel-Lösung enthält alle notwendigen Absicherungen und ist auch langfristig gesichert.
Fazit: Mit der neuen RED wird IT-Sicherheit für Wallboxen endlich allgemeingültig. Vorbei sind die Zeiten, in denen jeder in wenigen Schritten Geräte zusammengeschraubt und auf den Markt bringen konnte. Den Bau sicherer Wallbox-Plattformen übernehmen zukünftig Experten, die über das Know-how, die Manpower und Erfahrung verfügen. Und die wissen, wie Sicherheit dauerhaft und kosteneffizient möglich ist.
Über den Autor: Alexander Bourgett ist VP Strategic Development and Research bei eSystems MTG GmbH
