Sicherheitslücke bei zwei Autoherstellern: Einfaches Standardpasswort ermöglichte Zugriff auf Fahrzeuge
Moderne Autos lassen sich inzwischen bequem per Smartphone steuern. Türen entriegeln, den Motor starten oder den Standort überprüfen – bei vielen Fahrzeugen funktioniert das mittlerweile über eine App.
Was im Alltag praktisch ist, bringt allerdings auch neue Sicherheitsrisiken mit sich.
Zwei Sicherheitsforscher haben jetzt gezeigt, wie gefährlich eine unzureichend abgesicherte IT-Infrastruktur bei Autoherstellern werden kann. Sie entdeckten bei zwei bislang nicht genannten Marken schwerwiegende Schwachstellen, durch die sich Kundenkonten übernehmen und angeschlossene Fahrzeuge aus der Ferne steuern ließen.
Besonders bemerkenswert: Eine zentrale Rolle spielte dabei ein Administratorkonto, das noch immer mit dem Standardbenutzernamen und dem Standardpasswort „admin“ geschützt war.
Die betroffenen Hersteller reagierten nach der Meldung schnell und beseitigten die Schwachstellen nach Angaben der Forscher innerhalb von etwa zwei Stunden.
Zwei Autohersteller mit gravierenden Sicherheitsproblemen
Die Sicherheitsforscher Shubham Shah und Sam Curry haben ihre Erkenntnisse am 7. November 2026 veröffentlicht.
Bereits im Februar 2026 hatten sie die Systeme zweier Autohersteller untersucht, deren Namen sie aus Sicherheitsgründen nicht öffentlich nennen.
Im Mittelpunkt standen dabei nicht die Fahrzeuge selbst, sondern die Server hinter den jeweiligen Smartphone-Apps.
Diese Apps ermöglichen Fahrzeugbesitzern unter anderem, den aktuellen Fahrzeugstatus abzurufen, Türen zu verriegeln oder zu entriegeln und bei entsprechend ausgestatteten Modellen den Motor aus der Ferne zu starten.
Damit solche Funktionen arbeiten, müssen sich Nutzer zunächst über das jeweilige Kundenkonto anmelden.
Genau bei dieser Anmeldung entdeckten die Forscher gravierende Schwachstellen.
Nach eigenen Angaben konnten sie durch die Kombination mehrerer Sicherheitsprobleme gültige Sitzungen für beliebige Kundenkonten der betroffenen Systeme erzeugen.
Damit erhielten sie dieselben Zugriffsmöglichkeiten, die normalerweise nur dem rechtmäßigen Fahrzeugbesitzer zur Verfügung stehen.
Ein Standardpasswort öffnete den Zugang zum Verwaltungssystem
Besonders kritisch war die Konfiguration der verwendeten Identitätsplattform.
Beide Autohersteller setzten auf ForgeRock, eine Softwarelösung zur Verwaltung von Benutzerkonten und Anmeldeverfahren. Die Technologie gehört inzwischen zu Ping Identity.
Innerhalb dieser Plattform gibt es eine Verwaltungskomponente namens OpenIDM, die unter anderem Kundendaten und Benutzerkonten verwaltet.
Zu dieser Umgebung gehörte außerdem eine Administrationskonsole auf Basis von Apache Felix.
Solche Werkzeuge sind grundsätzlich für Entwickler und Administratoren gedacht. In einer produktiven Umgebung sollten sie entsprechend abgesichert oder vollständig deaktiviert werden.
Bei den untersuchten Systemen war die Administrationskonsole allerdings weiterhin vorhanden.
Und noch problematischer: Für den administrativen Zugriff waren weiterhin die werkseitigen Standardzugangsdaten hinterlegt.
Der Benutzername lautete admin, das Passwort ebenfalls admin.
Das ist eine dieser Sicherheitslücken, bei denen man sich zunächst fragt, wie so etwas überhaupt passieren kann.
Denn gerade bei einer Infrastruktur, die Millionenwerte verwaltet und im schlimmsten Fall den Zugriff auf Fahrzeuge ermöglicht, sollten solche grundlegenden Sicherheitsmaßnahmen selbstverständlich sein.
Allerdings war das Standardpasswort nicht die einzige Schwachstelle.
Auch die Schutzmechanismen der Server ließen sich umgehen
Die betroffene Administrationskonsole war nicht einfach frei über das Internet erreichbar.
Die Autohersteller hatten Schutzmechanismen eingerichtet, die unberechtigte Zugriffe auf bestimmte Verwaltungsbereiche verhindern sollten.
Die Forscher entdeckten jedoch, dass die vorgeschalteten Sicherheitskomponenten und die dahinterliegende Serversoftware bestimmte Webanfragen unterschiedlich interpretierten.
Dadurch ließ sich die Zugriffsbeschränkung unter bestimmten Bedingungen umgehen.
Anschließend konnten sich die Forscher mit den unveränderten Standardzugangsdaten an der Administrationskonsole anmelden.
Über eine weitere Funktion der Verwaltungssoftware war es ihnen möglich, eigenen Programmcode auf dem betroffenen Server auszuführen.
Damit hatten sie weitreichenden Zugriff auf die Systeme, in denen die Kundenkonten verwaltet wurden.
Die Kombination aus fehlerhafter Zugriffskontrolle, einer erreichbaren Verwaltungsoberfläche und unveränderten Standardpasswörtern machte den Angriff letztlich möglich.
Es handelte sich damit nicht um eine neu entdeckte Sicherheitslücke in einem Autochip, sondern um mehrere Schwächen bei der Absicherung der Server.
Fahrzeugtüren entriegeln und Motor starten
Nachdem die Forscher Zugriff auf die Verwaltungssysteme erhalten hatten, konnten sie auch die Anmeldedaten einzelner Kundenkonten verändern.
Im nächsten Schritt meldeten sie sich über die regulären Fahrzeug-Apps an.
Dadurch erhielten sie gültige Zugriffstoken, mit denen normalerweise der rechtmäßige Besitzer mit seinem Auto kommuniziert.
Diese Token ermöglichten den Zugriff auf verschiedene Fahrzeugfunktionen.
Je nach Modell und gebuchten Diensten waren unter anderem folgende Aktionen möglich:
Fahrzeugstandort und Statusinformationen abrufen
Türen aus der Ferne verriegeln oder entriegeln
Motorstart und Motorstopp auslösen
Hupe und Warnblinkanlage betätigen
Informationen wie Kilometerstand und Batteriestatus abrufen
Die Forscher demonstrierten den Angriff an einem Fahrzeug, dessen Besitzer ausdrücklich zugestimmt hatte.
Dabei entriegelten sie die Türen und starteten den Motor aus der Ferne. Anschließend stoppten sie den Motor wieder und verriegelten das Fahrzeug.
Damit war nachgewiesen, dass der Angriff nicht nur theoretisch funktionierte.
Die Sicherheitslücke ermöglichte tatsächlich die Fernsteuerung unterstützter Fahrzeugfunktionen über die offiziellen Systeme der Hersteller.
Wichtig ist allerdings eine Einschränkung: Das Starten des Motors bedeutet nicht automatisch, dass ein Fahrzeug auch ohne Schlüssel beziehungsweise ohne weitere Sicherheitsvoraussetzungen gefahren werden kann.
Eine solche Möglichkeit wurde durch den beschriebenen Test nicht nachgewiesen.
Fahrzeugbesitzer hätten den Zugriff möglicherweise nicht bemerkt
Besonders unangenehm ist ein weiteres Detail der Untersuchung.
Die Forscher stellten fest, dass sich ein Kundenkonto übernehmen ließ, ohne dass der rechtmäßige Besitzer automatisch aus seiner bestehenden App-Sitzung abgemeldet wurde.
Dadurch hätte ein unberechtigter Zugriff möglicherweise längere Zeit unbemerkt bleiben können.
Außerdem war es möglich, Benachrichtigungen des betroffenen Kontos auf eine andere Telefonnummer umzuleiten.
Der rechtmäßige Besitzer hätte deshalb unter Umständen keine entsprechenden Hinweise auf seinem Smartphone erhalten.
Nach Abschluss der Tests stellten die Sicherheitsforscher die ursprünglichen Kontodaten wieder her.
Sie betonen außerdem, dass sie die vollständige Angriffskette ausschließlich mit eigenen Fahrzeugen beziehungsweise mit ausdrücklicher Zustimmung der betroffenen Besitzer getestet haben.
Es gibt bislang keine bestätigten Hinweise darauf, dass Kriminelle die beschriebenen Schwachstellen bereits vor ihrer Entdeckung ausgenutzt haben.
Vollständig ausschließen lässt sich das anhand der veröffentlichten Informationen allerdings ebenfalls nicht.
Weitere Sicherheitsprobleme in Australien entdeckt
Neben den untersuchten Systemen in den USA wurde noch eine weitere Schwachstelle veröffentlicht.
Shubham Shah untersuchte auch die Infrastruktur eines der betroffenen Hersteller in Australien.
Dort war der technische Angriffsweg anders.
In einer Anwendung befanden sich administrative Zugangsdaten, die ursprünglich für eine Testumgebung vorgesehen waren.
Solche Informationen sollten selbstverständlich nicht in öffentlich ausgelieferter Software enthalten sein.
Durch weitere Schwächen in der Serverkonfiguration konnten die Forscher auch dort auf sensible Verwaltungsfunktionen zugreifen.
Nach Angaben der Forscher waren durch die verschiedenen Schwachstellen Fahrzeugfunktionen in den USA, Kanada und Australien betroffen.
Die vollständige Angriffskette aus der gemeinsamen Untersuchung wurde allerdings nur mit amerikanischen Kundenkonten und Fahrzeugen praktisch getestet.
Für den australischen Fall wurde kein genauer Zeitpunkt veröffentlicht, zu dem die entsprechenden Probleme behoben wurden.
Autohersteller reagierten innerhalb von zwei Stunden
Immerhin gibt es bei dieser Geschichte auch eine positive Nachricht.
Nach der Meldung der Sicherheitslücken reagierten die beiden betroffenen Hersteller offenbar ausgesprochen schnell.
Laut Sam Curry und Shubham Shah wurden die Schwachstellen innerhalb von ungefähr zwei Stunden behoben.
Außerdem wurden die betroffenen Zugangsdaten ausgetauscht.
Das ist eine erfreulich schnelle Reaktion, insbesondere angesichts der möglichen Auswirkungen.
Die Forscher entschieden sich außerdem dafür, die Namen der beiden Hersteller nicht öffentlich zu machen.
Damit wollten sie nach eigenen Angaben verhindern, dass die Unternehmen während der Sicherheitsaufarbeitung zusätzlich unter Druck geraten.
Ob die Hersteller ihre gesamten Systeme anschließend noch umfassender überprüft haben, geht aus den veröffentlichten Informationen nicht im Detail hervor.
Warum ein Standardpasswort zum Sicherheitsrisiko wird
Der eigentliche Fehler erscheint zunächst ziemlich banal.
Viele Softwarelösungen werden mit vorgegebenen Zugangsdaten ausgeliefert, damit Administratoren sie bei der ersten Einrichtung konfigurieren können.
Solche Standardzugänge sind in Testumgebungen oder bei der erstmaligen Installation nicht ungewöhnlich.
Problematisch wird es allerdings, wenn diese Zugangsdaten später unverändert in produktiven Systemen verwendet werden.
Denn Standardpasswörter sind häufig öffentlich dokumentiert und damit auch Angreifern bekannt.
Im vorliegenden Fall kam erschwerend hinzu, dass eine administrative Entwicklungs- und Wartungsoberfläche erreichbar blieb, die in dieser Form nicht für den produktiven Einsatz vorgesehen war.
Die Hersteller hatten zwar zusätzliche Zugriffsbeschränkungen eingerichtet, diese konnten jedoch umgangen werden.
Das zeigt ein grundlegendes Problem der IT-Sicherheit: Eine einzelne Schutzmaßnahme reicht nicht aus, wenn andere Teile des Systems unsicher konfiguriert sind.
Ein vermeintlich geschütztes Administratorkonto ist eben nicht wirklich sicher, wenn es weiterhin mit einem allgemein bekannten Passwort arbeitet.
Aus meiner Sicht ist genau das die wichtigste Erkenntnis aus diesem Fall.
Die Sicherheitslücke steckte nicht im Auto selbst
Bei Meldungen über gehackte Fahrzeuge denkt man schnell an manipulierte Steuergeräte, Funkverbindungen oder direkte Angriffe auf die Fahrzeugelektronik.
Hier war die Situation allerdings anders.
Die Forscher mussten weder das Fahrzeug öffnen noch physisch auf dessen Technik zugreifen.
Stattdessen nutzten sie Sicherheitsprobleme in den Online-Diensten der Hersteller aus.
Die eigentlichen Befehle wurden anschließend über die regulären Fahrzeugfunktionen übertragen.
Aus Sicht des Systems wirkten sie wie autorisierte Anfragen eines angemeldeten Nutzers.
Damit wird deutlich, wie wichtig die Sicherheit der digitalen Infrastruktur hinter modernen Fahrzeugen geworden ist.
Denn selbst ein technisch gut abgesichertes Auto kann gefährdet sein, wenn die zugehörigen Cloud-Dienste unzureichend geschützt sind.
Die Verantwortung für die Sicherheit endet deshalb längst nicht mehr am Fahrzeug selbst.
Sie umfasst auch Apps, Kundenkonten, Server, Schnittstellen und die gesamte Infrastruktur dahinter.
Kein Einzelfall in der Automobilbranche
Die beiden Sicherheitsforscher beschäftigen sich schon länger mit Schwachstellen vernetzter Fahrzeuge.
In früheren Untersuchungen fanden sie unter anderem Probleme bei Online-Diensten von Honda, Kia und Subaru.
Auch eine größere Untersuchung aus dem Jahr 2023 zeigte, dass zahlreiche Automarken Sicherheitslücken in ihren digitalen Fahrzeugsystemen aufwiesen.
Dabei ging es häufig um unzureichend geschützte Schnittstellen oder Fehler bei der Überprüfung von Benutzerberechtigungen.
Diese Schwachstellen zeigen, dass die zunehmende Vernetzung von Fahrzeugen nicht nur Vorteile bietet.
Mit jeder zusätzlichen App-Funktion entstehen auch neue Anforderungen an die Sicherheit.
Das bedeutet natürlich nicht, dass vernetzte Fahrzeuge grundsätzlich unsicher sind.
Allerdings müssen Hersteller ihre digitalen Dienste mit derselben Sorgfalt absichern wie andere sicherheitsrelevante Fahrzeugkomponenten.
Müssen sich Autobesitzer jetzt Sorgen machen?
Für Besitzer moderner Fahrzeuge klingt die Vorstellung, dass jemand aus der Ferne die Türen öffnen könnte, natürlich beunruhigend.
Im konkreten Fall gibt es allerdings keinen Grund, pauschal von einer aktuellen Gefahr für sämtliche vernetzten Fahrzeuge auszugehen.
Die beschriebenen Schwachstellen wurden nach Angaben der Forscher bei den beiden betroffenen US-Systemen bereits im Februar 2026 beseitigt.
Außerdem wurden die Namen der Hersteller nicht veröffentlicht.
Autobesitzer können deshalb aus den Berichten nicht ohne Weiteres ableiten, ob ihre eigene Marke betroffen war.
Grundsätzlich lohnt es sich trotzdem, einige Sicherheitsmaßnahmen zu beachten.
Dazu gehören ein sicheres, einzigartiges Passwort für das Fahrzeugkonto, die Nutzung einer Zwei-Faktor-Authentifizierung, sofern verfügbar, und regelmäßige App-Updates.
Auch ungewöhnliche Anmeldebenachrichtigungen oder unerwartete Änderungen an den Kontodaten sollte man ernst nehmen.
Allerdings muss man hier klar sagen: Gegen eine vollständige Kompromittierung der Hersteller-Server können sich Kunden allein mit einem starken Passwort nicht zuverlässig schützen.
In solchen Fällen liegt die Verantwortung in erster Linie beim Anbieter der jeweiligen Plattform.
Fazit: Moderne Autos sind nur so sicher wie ihre Online-Dienste
Die Untersuchung zeigt eindrucksvoll, welche Auswirkungen selbst grundlegende Fehler in der Serverkonfiguration haben können.
Ein unverändertes Standardpasswort, eine unzureichend geschützte Administrationskonsole und Schwächen bei der Zugriffskontrolle reichten aus, um weitreichenden Zugriff auf Kundenkonten zweier Autohersteller zu ermöglichen.
Besonders kritisch ist, dass darüber nicht nur persönliche Informationen abrufbar waren, sondern auch Funktionen vernetzter Fahrzeuge gesteuert werden konnten.
Positiv ist immerhin die schnelle Reaktion der betroffenen Hersteller nach der verantwortungsvollen Meldung durch die Sicherheitsforscher.
Trotzdem bleibt bei mir die Frage, wie solche grundlegenden Sicherheitsfehler überhaupt in produktiven Systemen bestehen bleiben konnten.
Wenn sich ein moderner Pkw per Smartphone öffnen und starten lässt, muss die dahinterliegende Infrastruktur mindestens genauso zuverlässig abgesichert sein wie das Fahrzeug selbst.
Denn die eigentliche Schwachstelle sitzt heute nicht zwangsläufig im Auto.
Manchmal befindet sie sich auf einem Server, auf dem jemand schlicht vergessen hat, das Standardpasswort zu ändern.
Und genau das sollte bei Systemen mit solchen Zugriffsmöglichkeiten eigentlich nicht passieren.
Quellen
The Hacker News – Swati Khandelwal, 9. November 2026
Default 'admin' Server Password Helps Researchers Hack Two Automakers, Unlock and Start Cars
https://thehackernews.com/2026/11/default-adminadmin-server-password.html
Sam Curry und Shubham Shah – 7. November 2026
Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle Access
https://samcurry.net/forgerock
Shubham Shah – 7. November 2026
Unlocking any car from X brand in most of the world
https://shubs.io/unlocking-any-car-from-x-brand-in-most-of-the-world/
Ping Identity – Dokumentation zur Absicherung von PingIDM
Remove or protect development tools before production deployment
https://docs.pingidentity.com/pingidm/7.2/security-guide/security-remove-dev-tools.html
