Norwegen startet Cybersicherheitsprüfung nach Entdeckung einer Fernzugriffsfunktion in chinesischen Bussen

• Der norwegische ÖPNV-Betreiber Ruter entdeckte in chinesischen Yutong-Elektrobussen versteckte SIM-Karten, woraufhin die Regierung eine Cybersicherheitsprüfung einleitete
• Bei internen Tests wurde eine rumänische SIM-Karte festgestellt; theoretisch bestünde damit die Möglichkeit, dass der Lieferant Fahrzeuge aus der Ferne stoppen oder die Software manipulieren könnte
• Ruter erklärte, es gebe keine Hinweise auf Missbrauch, erwähnte jedoch, dass diese Entdeckung einen Übergang von einem Verdacht zu einer konkreten Tatsache darstelle
• Das Unternehmen entfernte die SIM-Karten und verschärfte Beschaffungsvorgaben, Firewalls und Cloud-Sicherheitsanforderungen, um die operative Kontrolle zu lokalisieren
• Von rund 1.300 Elektrobussen sind 850 Fahrzeuge von Yutong, womit der Vorfall die Sicherheitsrisiken ausländischer Technologie-Lieferketten hervorhebt

---

Norwegen leitet Cybersicherheitsprüfung ein

• Norwegen hat nach dem Fund versteckter SIM-Karten in chinesischen Yutong-Elektrobussen eine landesweite Cybersicherheitsprüfung gestartet
  • Die Busse werden vom öffentlichen Verkehrsbetrieb Ruter betrieben; die SIM-Karten wurden bei Tests in einer internen Sicherheitseinrichtung entdeckt
  • Diese SIM-Karten deuteten auf die Möglichkeit von Fernzugriff und Fahrzeugsteuerung hin
• Ruter erklärte, man habe die theoretische Möglichkeit bestätigt, dass der chinesische Lieferant Fahrzeuge stoppen oder per Software-Update eingreifen könnte
  • Konkrete Missbrauchsfälle gebe es jedoch nicht; die Entdeckung sei ein „Übergang vom Verdacht zur konkreten Tatsache“

Maßnahmen von Ruter

• Ruter hat die SIM-Karten umgehend entfernt und mit der Verschärfung der Beschaffungsverfahren und internen Sicherheitssysteme begonnen
  • Durch strengere interne Firewalls und Cloud-Sicherheitsanforderungen soll die lokale Kontrolle über den gesamten Verkehrsbetrieb sichergestellt werden
• Das Unternehmen überprüft zudem künftige Ausschreibungs- und Vertragsbedingungen, um die Sicherheit der Lieferkette zu verbessern

Reaktion der Regierung und politische Richtung

• Der norwegische Verkehrsminister Jon-Ivar Nygård erklärte in einem Interview mit dem öffentlich-rechtlichen Sender NRK,
  dass derzeit eine Risikobewertung von Lieferanten aus Staaten außerhalb der norwegischen Sicherheitsallianzen durchgeführt werde
  • Er betonte die Notwendigkeit des Schutzes kritischer Infrastrukturen
• Die Regierung überprüft den Vorfall zum Anlass nehmend die Standards für die digitale Sicherheit öffentlicher Verkehrssysteme erneut

Betriebslage der Elektrobusse und Risikobewertung

• In Norwegen sind rund 1.300 Elektrobusse im Einsatz, davon etwa 850 von Yutong
  • Allein in der Region Oslo und Akershus fahren etwa 300 Fahrzeuge
• Ruter schätzt die Wahrscheinlichkeit tatsächlicher Eingriffsversuche als gering ein,
  betonte jedoch, dass der Vorfall die zunehmenden Cybersicherheitsrisiken im Zusammenhang mit ausländischen Technologielieferanten aufzeige

Internationaler Kontext

• Vor dem Hintergrund der weltweiten Verbreitung chinesischer Elektrobusse, insbesondere der Expansion in Südostasien,
  wirft der Vorfall Fragen zur digitalen Abhängigkeit und strategischen Verwundbarkeit öffentlicher Verkehrssysteme auf
• Ruter-CEO Bernt Reitan Jenssen sagte: „Die Wahrscheinlichkeit eines Missbrauchs dieser Busse ist gering, aber das Risiko muss ernst genommen werden.“

Keine zusätzlichen Informationen im Originaltext

[GN⁺]

Hacker-News-Kommentare

• Ich arbeite im Bereich Eisenbahnsicherheit. Vor einigen Jahren versuchten zwei große nicht-chinesische Bahntechnikunternehmen zu fusionieren, um mit chinesischen Staatskonzernen konkurrieren zu können und das Risiko von Cyberangriffen auf westliche Bahnnetze zu verringern.
  Ein EU-Beamter verhinderte das jedoch aus kartellrechtlichen Gründen. Danach gab es mehrere weitere Anpassungsversuche, aber am Ende wurde die Fusion nie genehmigt.
  Infolgedessen gewinnt Chinas CRCC weiterhin Aufträge im Ausland. Es besteht der Verdacht, dass man mit bewusst verlustträchtigen Billigangeboten auf Diebstahl geistigen Eigentums abzielt. In so einer Lage ist die Kontrolle über Bahnnetze auch militärisch von großer strategischer Bedeutung.
  In diesem Artikel geht es um Busse, aber die Parallelen zur Eisenbahn sind offensichtlich

  • Vor einem Jahr reichte ein polnischer Bahnausrüster Klage wegen eines Falls von Jailbreaking von Lokomotivsoftware ein. Der Vorwurf war, dass Dritte dadurch inoffiziell Wartung ermöglichen konnten.
    Überwachungstechnik in Produkten ist nicht zwangsläufig für den Krieg gedacht, aber deshalb noch lange nichts Gutes
  • Selbst wenn die Fusion in Europa zustande gekommen wäre, wäre das Unternehmen immer noch zehnmal kleiner als chinesische Konzerne gewesen und hätte innerhalb Europas faktisch ein Monopol gebildet. Ich denke also nicht, dass die Entscheidung gegen die Fusion völlig falsch war
  • Der Westen ist solchen Beamten gegenüber viel zu nachsichtig. China betreibt ganz offen staatlich unterstützte Unternehmen und missachtet dabei WTO-Regeln, und Leute, die solche Entscheidungen treffen, schwächen die westliche Reaktion darauf
  • Grundsätzlich frage ich mich, warum es überhaupt „private Eisenbahnunternehmen“ geben sollte
  • In Kriegen ist Logistik entscheidend, daher kann man die strategische Bedeutung der Kontrolle über Eisenbahnnetze nicht unterschätzen. Dasselbe gilt auch für Drohnen oder Autos

• Ich frage mich, ob das chinesische Unternehmen die rumänische SIM-Karte in den Bus eingebaut hat oder ob das vom Importeur nachgerüstet wurde.
  Ebenso ist unklar, ob die Verbindung dem Flottenmanagement dient oder ob es sich wirklich um geheime Kommunikation handelt.
  Außerdem verstehe ich nicht, warum man überhaupt Busse ohne Fernüberwachung kaufen wollen würde. Gerade im öffentlichen Verkehr ist das eher eine nützliche Funktion

  • Die betreffende Fahrzeugmanagement-Funktion war dokumentiert und ließ sich leicht deaktivieren
  • Das riecht einfach nach westlicher Anti-China-Propaganda. Es wirkt, als sei von oben die Anweisung gekommen, den Druck auf China zu erhöhen.
    Es sieht nach einer Art Social Engineering aus, um bei Kommunalverwaltungen eine Atmosphäre der Angst zu schaffen und sie von chinesischen Produkten abzubringen
  • Wenn China wirklich etwas hätte verbergen wollen, hätte es eher eine unmarkierte eSIM verwendet.
    Wahrscheinlich hat man einfach einen rumänischen SIM-Tarif gewählt, weil er im gesamten EWR gut funktioniert.
    Das ist ein übertriebener Fall von FUD (Fear, Uncertainty and Doubt), aber trotzdem hätte man vorsichtiger sein sollen, wenn die Hälfte der Fahrzeuge aus China stammt

• Schade, dass Norwegen Busse aus China gekauft hat, obwohl direkt nebenan mit Scania und Volvo Bushersteller sitzen.
  Heutzutage scheint Kostensenkung alles zu bestimmen. Bei nationaler Infrastruktur sind jedoch Sicherheit und Kontrolle wichtiger

  • Noch trauriger ist, dass sogar Schweden eigene Marken durch BYD-Busse ersetzt hat
  • Es hat mich überrascht zu hören, dass Volvo in Schweden noch Busse baut. Allerdings liegen bereits 78 % der Anteile in chinesischer Hand, also ist es faktisch ein chinesisches Unternehmen
  • China ist bei der Elektrobus-Technologie Scania/Volvo wohl um etwa zehn Jahre voraus. Es ist gut möglich, dass europäische Anbieter damals schlicht keine passenden Modelle hatten
  • Das norwegische Unternehmen Tide will im nächsten Sommer elektrische Scania-Busse einführen
    Zugehörige Pressemitteilung
  • Tatsächlich stecken auch in schwedischen Bussen SIM-Karten. Der Unterschied ist nur, wer diese Hintertür nutzen kann.
    Natürlich ist es heute nahezu ausgeschlossen, dass Schweden Norwegen angreift, aber historisch gesehen ist das eine interessante Ironie

• Früher gab es den polnischen Zug-Backdoor-Fall, und ich frage mich, was daraus geworden ist

  • Der Fall ist noch bei Gericht anhängig. Zugehöriger Artikel
  • Es ist heuchlerisch, Täuschung von Verbrauchern durch heimische Unternehmen zu tolerieren, aber nur ausländischen Einfluss problematisch zu finden
  • Am Ende ging es ohnehin darum, angstmachende Nachrichten zu verbreiten

• Ich bin überrascht, dass Norwegen diese Marke gewählt hat. Wenn man damit fährt, fühlt es sich an, als säße man in einem Heizkessel

  • Aber wenn die durchschnittliche Sommertemperatur in Norwegen bei etwa 18 Grad liegt, ist diese Wärme vielleicht gar kein großes Problem

• Wenn ein Schlüssel für Remote-Updates geleakt wird, könnte man Hunderttausende Fahrzeuge unbrauchbar machen.
  Solche Systeme vorzuhalten ist wirklich beängstigend

  • Noch beängstigender als ein simples Brick ist eine überhitzende Batterie. Man stelle sich vor, die Fahrzeuge einer ganzen Stadt würden gleichzeitig in Brand geraten

• Wenn ein Staat wirklich Spionage-Steuerungsfunktionen hätte verstecken wollen, hätte er niemals eine so leicht auffindbare Kommunikationsmethode wie eine eSIM verwendet.
  Das ist einfach Teil der IoT-Ferndiagnosefunktionen, die Hersteller seit Jahren vorantreiben.
  Der Westen wiederum stellt das übertrieben als neue Bedrohung dar und presst es in ein Framing für den Handelskrieg.
  Wie beim Fall der DJI-Drohnen werden Funktionen aufgrund von Regulierung eingebaut und später genau dafür problematisiert.
  Zugehöriger Link

• Wäre eine eSIM viel schwerer zu entdecken oder zu entfernen gewesen?
  Zur Einordnung: Auch in Schweden wurden zuletzt BYD-Elektrobusse eingeführt

  • Der Artikel erklärt die konkrete Entdeckungsmethode nicht, aber offenbar wurden der SIM-Slot oder die Karte direkt gefunden.
    Wenn man einen Test in einer Faraday-Kammer gemacht hätte, wäre es egal gewesen, ob eSIM oder nicht.
    Am Ende hätte es wohl keinen großen Unterschied gemacht, ob eSIM oder klassische SIM

• Meiner Meinung nach ist das eine aufgebauschte Nicht-Geschichte.
  Eine Fernzugriffsfunktion wäre bei Produkten aus anderen Ländern einfach als Software-Update-Funktion bezeichnet worden.
  China würde die Busse deaktivieren? Das ist eine viel zu unrealistische und sinnlose Handlung.
  Tatsächlich haben die meisten elektronischen Geräte automatische Update-Funktionen, und theoretisch könnten auch US-Unternehmen sie aus der Ferne steuern.
  Insofern liegt das eigentliche Risiko eher woanders

• Wenn Busse solche Funktionen haben, fragt man sich, was wohl in MacBooks oder Smartphones verborgen ist.
  Kann man Apple wirklich trauen?

  • Ich mache mir mehr Sorgen um billige PC-Peripherie, Router und Smart-Home-Geräte.
    Sogar Solarwechselrichter sind online angebunden und könnten im Kriegsfall aus der Ferne missbraucht werden
  • Als verwandte Beispiele gibt es die Supermicro-Spionagechip-Kontroverse und den
    Gigabyte-Firmware-Backdoor-Fall
  • Apple kann davon kaum nichts wissen. Das Unternehmen gehört weltweit zu den am stärksten überwachten Konzernen, und unzählige Leute sind besessen davon, dort Fehler zu finden
  • Außerdem sollte man den Cloud Act der USA nicht vergessen
  • Eine Beteiligung von TSMC ist denkbar, aber Apples Hardware-Sicherheit ist sehr stark.
    Alle Daten außerhalb des SoC sind verschlüsselt.
    Das eigentliche Risiko sind nicht Apple oder Google, sondern in China hergestellte Peripheriegeräte