Forscher der University of California in San Diego haben herausgefunden, dass das KARR-Sicherheitssystem, das in über zwei Millionen Fahrzeugen installiert ist, eine kritische Schwachstelle aufweist, die es unbefugten Benutzern ermöglicht, Türen aus der Ferne zu entriegeln oder die Zündung auszuschalten. Der Hersteller hat nach einer 18-monatigen Entwicklungsverzögerung ein Firmware-Update veröffentlicht, um den Fehler zu beheben.
Das Ausmaß des Sicherheitsfehlers
Sicherheitsforscher der University of California in San Diego haben einen erheblichen Fehler im KARR-Sicherheitssystem entdeckt, einer nachgerüsteten Autoalarmanlage, die häufig von Autohändlern installiert wird. Das Team schätzt, dass derzeit mehr als 2 Millionen Fahrzeuge auf der Straße mit diesen Geräten ausgestattet sind, von denen viele ohne ausdrücklichen Wunsch oder Wissen des Fahrzeugbesitzers eingebaut wurden. Da diese Systeme häufig mit empfindlichen elektronischen Komponenten des Autos verbunden sind, bietet die Sicherheitslücke Angreifern die Möglichkeit, eine Vielzahl von Eingriffen vorzunehmen. Hacker in Bluetooth-Reichweite können Lichter und Hupen auslösen, Fahrzeugtüren entriegeln oder sogar den Motorstart verhindern und so das Fahrzeug effektiv lahmlegen. Die Forscher betonten, dass diese Situation besonders gefährlich ist, da viele Autobesitzer nicht einmal wissen, dass das Gerät installiert ist, und daher nicht in der Lage sind, proaktive Maßnahmen zur Sicherung ihres Eigentums zu ergreifen.
Technische Ursachenanalyse
Der Kern der Sicherheitslücke liegt in einem gemeinsamen Authentifizierungsschlüssel, der in allen KARR-Alarmgeräten verwendet wird. Forscher entdeckten diesen universellen Schlüssel, der im Code der offiziellen KARR-Smartphone-Anwendung eingebettet ist. Durch Reverse Engineering der App konnte das UCSD-Team eine eigene Software erstellen, die gültige Funkbefehle nachahmen kann. Da die Geräte kontinuierlich Bluetooth-Signale senden und abhören – selbst wenn das Alarmsystem vom Benutzer angeblich deaktiviert wird – kann sich ein Hacker problemlos mit dem System koppeln. Nach der Authentifizierung kann der Angreifer Befehle erteilen, um die Funktionen des Fahrzeugs zu manipulieren. Darüber hinaus bleiben die Geräte nach dem Abschalten eines Fahrzeugs etwa zehn Minuten lang aktiv und bieten Gelegenheitsdieben die Möglichkeit, Signale abzufangen oder die Sicherheitssysteme des Fahrzeugs auszulösen, um den Zutritt zu erleichtern.
Zeitleiste für Offenlegung und Patching
Der Weg zur Abhilfe war langwierig und umstritten. Die UCSD-Forscher haben die kritische Schwachstelle erstmals im Januar 2025 gegenüber der Acrisure Protection Group, der Muttergesellschaft des KARR-Systems, offengelegt. Trotz der Schwere des Fehlers dauerte es etwa 18 Monate, bis das Unternehmen ein Firmware-Update veröffentlichte. Die Acrisure Protection Group hat den Fix am Montag vor dem Berichtstermin im Juli 2026 offiziell eingeführt, kurz bevor die Forscher ihre Ergebnisse auf den Sicherheitskonferenzen Defcon und Usenix präsentieren sollten. Das Unternehmen behauptet, dass die Sicherheitslücke unter realen Bedingungen ein geringes Risiko darstellt, eine Behauptung, die von Forschern bestritten wird. Demonstrationen zeigten, dass eine einfache App es einem unbefugten Benutzer ermöglichen könnte, ein Auto an einer Ampel aufzuschließen oder gleichzeitig eine Fahrzeugflotte zu sabotieren, was das Potenzial für erhebliche Störungen im realen Leben bewies.
Auswirkungen auf die Branche und Verbraucherbewusstsein
Dieser Vorfall verdeutlicht die wachsende Spannung zwischen vom Händler installiertem Zubehör für den Ersatzteilmarkt und der Cybersicherheit von Fahrzeugen. Experten, darunter Stefan Savage von UCSD, haben dies als eine besonders gefährliche Bedrohung beschrieben, da die Schwachstelle völlig außerhalb der Kontrolle des Hauptherstellers liegt, sich jedoch auf die Sicherheit der zugrunde liegenden Architektur des Fahrzeugs auswirkt. Verbraucher werden aufgefordert, ihre Fahrzeuge auf KARR-Hardware zu überprüfen, die an Fensteraufklebern oder einem blinkenden Knopf unter dem Armaturenbrett zu erkennen ist. Während Acrisure behauptet, dass es Kunden über seine App, Website und Händlerkommunikationskanäle benachrichtigt, hat das Unternehmen keine klare Strategie vorgelegt, um Zweitbesitzer dieser Fahrzeuge zu erreichen, die möglicherweise überhaupt nichts von der Sicherheitshardware wissen. Dieser Mangel an Transparenz unterstreicht die Schwierigkeit, den Sicherheitslebenszyklus für fragmentierte Aftermarket-Komponenten zu verwalten, die in moderne, computergesteuerte Fahrzeuge integriert sind.
⚖ The Balanced View
Supporting view
Die Acrisure Protection Group gab an, dass die Sicherheitslücke äußerst komplex sei und ein geringes Risiko für Benutzer darstelle, und wies darauf hin, dass sie mit der Entwicklung eines Firmware-Updates zum Schutz der Kunden reagiert hätten.
Concerns & criticism
UCSD-Forscher und Sicherheitsexperten betonen, dass die 18-monatige Verzögerung beim Patchen in Kombination mit dem universellen Authentifizierungsschlüssel eine ernsthafte, uneingeschränkte Bedrohung für Millionen ahnungsloser Fahrer darstellt.
→What's next
Betroffene Fahrzeugbesitzer sollten die KARR Security-App herunterladen, um den Firmware-Update-Vorgang manuell zu starten. Es wird erwartet, dass Sicherheitsforscher bei ihren bevorstehenden Präsentationen auf den Defcon- und Usenix-Konferenzen ausführlichere technische Details bekannt geben.