Massives Datenleck bei Volkswagen: Bewegungsprofile von 800.000 Fahrzeugen ungeschützt im Netz

Steht der Volkswagen-Konzern vor einem Datenschutzskandal?

Wie der Chaos Computer Club (CCC) investigativ aufdeckte, wurden Bewegungsdaten von rund 800.000 Fahrzeugen der Marken VW, Audi, Skoda und Seat über einen längeren Zeitraum systematisch erfasst und unzureichend geschützt gespeichert.

Die sensiblen Daten, die auch Informationen über Fahrzeughalter enthielten, waren über Monate hinweg unverschlüsselt in einer Cloud abgelegt und somit potenziell für Unbefugte zugänglich. In einer mehrere Terabyte umfassenden Datenmenge fanden sich exakte Standortdaten (GPS), Informationen zum Ladezustand der Batterien sowie zu Wartungsintervallen.

Bei rund 460.000 Fahrzeugen war zudem eine Verknüpfung dieser Daten mit den Kontaktdaten der Halter, einschließlich E-Mail-Adressen und Telefonnummern möglivch. Dies erlaubt weitreichende Rückschlüsse auf das private und berufliche Umfeld vieler Menschen. Die Tragweite des Vorfalls wird durch die Vielfalt der betroffenen Personen und Institutionen deutlich. Neben Privatpersonen waren auch Fuhrparkverwaltungen, Vorstände und Aufsichtsratsmitglieder von DAX-Konzernen sowie diverse Polizeibehörden in Europa betroffen. Beispielsweise wurden Bewegungsdaten von 35 elektrischen Streifenwagen der Hamburger Polizei erfasst und gespeichert. Sogar sensible Daten zu nachrichtendienstlichen und militärischen Aktivitäten wurden erfasst, darunter Datensätze aus dem Parkhaus des Bundesnachrichtendienstes (BND) und vom Militärflugplatz der United States Air Force in Ramstein. Die VW-Tochter Cariad, verantwortlich für das Sammeln der Daten, räumte auf Anfrage eine Fehlkonfiguration im System ein. Das Sammeln von Daten ist auch notwendig, um die Software ständig zu verbessern, z.B. werden Daten für den Travel Assist gesammelt, auch Schwarmdaten genannt, um ihn weiter zu verbessern. 

Laut Online-Bericht im Spiegel [LINK] und dem CCC gelangten Sicherheitsexperten sowie ein Hinweisgeber an die Zugangsdaten für einen Cloud-Speicher bei Amazon. Mit frei verfügbaren Werkzeugen und systematischem Raten von Pfaden konnten die sensiblen Bewegungsdaten abgerufen werden. Dieser Vorfall wirft ein schlechtes Licht auf den Datenschutz und -sicherheit bei Volkswagen, nebst dem grundsätzlichen Vorgehen beim Sammeln von Fahrzeuginformationen. Viele Nutzer waren sich nicht darüber im Klaren, dass ihr Auto kontinuierlich detaillierte Aufenthaltsorte übermittelt und diese beim Hersteller zusammenlaufen. Der Fall verweist auf ein generelles Problem moderner Fahrzeuge: Sie erheben eine Fülle an Daten über Motor, Zustand, Standort und Fahrweise.

Für Verbraucher bleibt oft undurchsichtig, wer genau Zugriff auf diese Informationen hat und wie sie geschützt sind. Datenschützer kritisieren schon länger, dass Autobauer zu viel sammeln, Daten nur unzureichend anonymisieren und nicht mit dem gebotenen Schutzniveau behandeln.

Für Volkswagen könnte dieser Vorfall weitreichende Konsequenzen haben. Neben einem erheblichen Vertrauensverlust drohen auch hohe Strafzahlungen. Volkswagen betont, dass die Sicherheitslücke inzwischen geschlossen wurde und sensible Informationen wie Passwörter oder Zahlungsdaten nicht betroffen waren.