Interview mit Datenforensiker Immo Bornhagen

c’t: Wer sind Ihre typischen Auftraggeber?

Immo Bornhagen: Im Wesentlichen sind das Staatsanwaltschaften und Gerichte. Gelegentlich auch Gutachter oder Kfz-Sachverständige, die mit der Rekonstruktion von Unfällen beauftragt sind.

c’t: Was genau sind die Werkzeuge, die Sie zur Analyse der Fahrzeuge einsetzen?

Bornhagen: Das kommt darauf an. Wenn wir etwa Multimediainformationen auslesen, verwenden wir Hard- und Software der Firma Berla aus den USA. Für die Unfallforschung kommt vorwiegend das CDR-Kit von Bosch (Crash Data Retrieval) zum Einsatz. Beides sind keine „geheimen“ Tools. Sie werden öffentlich vertrieben, allerdings muss man Berla und Bosch nachweisen, dass man im Bereich Car-Forensik tätig ist.

c’t: Ist es in Einzelfällen nötig, Steuergeräte auszubauen, um Daten zu extrahieren?

Bornhagen: Was den Crash-Speicher anbelangt, genügen die offiziellen Schnittstellen. Bei den Daten aus dem MMI (Multimedia-Interface, d. Red.) muss man die Headunit des Fahrzeugs meist ausbauen.

c’t: Also ist es relativ einfach, die Fahrzeuge auszulesen?

Bornhagen: Nein, so einfach ist das nicht. Stellen Sie sich vor, Sie werden zu einem Fahrzeug gerufen. Sie informieren sich im Vorfeld genau über das Auto: Welche Geräte sind eingebaut, welches MMI steckt im Fahrzeug. Sie kommen hin, bauen das MMI aus und stellen fest: Das ist ein völlig anderes Modell. So haben wir es neulich bei einem Mini Cooper erlebt: Vor Ort stellte sich heraus, dass ein minderwertiges Multimedia-Interface verbaut war. Damit passen die zuvor gewählten Schnittstellen nicht und es gibt keine Möglichkeit, das Gerät auszulesen, ohne es komplett zu zerlegen.

Mit ein paar Tricks lassen sich einige dieser Limitierungen umgehen. Dabei stellt sich für uns immer die Frage, ob das rechtlich zulässig wäre beziehungsweise, ob die so gewonnenen Erkenntnisse etwa in einem Gerichtsverfahren überhaupt verwertbar wären.

c’t: Gibt es Fahrzeugtypen, -hersteller, -baujahre oder -klassen, die sich einfacher auslesen lassen als andere?

Bornhagen: Das geht letztlich quer durch die Bank. Man muss sicher auch beachten, dass Berla als Hersteller des Analyse-Tools im Grunde Reverse-Engineering betreiben muss. Die Programmierer rollen das Feld von hinten auf und versuchen über die bekannten Zugangswege die Informationen zu bekommen und die Analysesoftware stetig anzupassen. Von sich aus geben die Hersteller der diversen Steuergeräte und MMIs nichts preis.

Auch das Fahrzeugalter lässt keine direkten Rückschlüsse zu. Wenn Sie aber an Daten herankommen, dann sind es meist viele. Jüngere Fahrzeuge haben Festplatten mit Kapazitäten bis 1 TByte.

Ohne das MMI nutzt Ihnen die Festplatte allerdings wenig, weil die Daten verschlüsselt sind. Andersherum gilt: Haben Sie Zugriff aufs MMI, kommen Sie früher oder später auch an die Daten heran. Generell wird das Thema Verschlüsselung für uns immer schlimmer – aus Sicht der Verbraucher im Sinne des Datenschutzes also immer besser.

c’t: Welche Bus-Systeme nutzen Sie, wenn Sie Daten extrahieren?

Bornhagen: Standardzugang ist noch immer die OBD-Schnittstelle, hinter dem heutzutage meist noch ein CAN-Bus liegt. Unfalldaten lesen wir teilweise direkt am Steuergerät aus. Das CDR-Kit von Bosch kann man direkt mit dem Event Data Recorder (EDR) verdrahten, damit man an die dort gespeicherten Unfalldaten kommt. Bei den MMIs ist es von Hersteller zu Hersteller unterschiedlich. Manchmal genügt ein USB-Anschluss, manchmal muss man einen seriellen Anschluss nutzen.

c’t: Wie sicher sind solche Daten vor Manipulation? Was, wenn jemand die Daten zuvor bewusst abgelegt hat?

Bornhagen: Eine gute Frage. Ich sage mal so: Auch der versierte Laie ist nicht ohne Weiteres in der Lage, von außen gezielt Daten im Fahrzeug abzulegen. Mit den von uns genutzten Tools ist ein Datenimport in die Fahrzeugelektronik nicht möglich.

Theoretisch könnte man Daten vielleicht von einem System aufs andere übertragen. Dieses müsste dann aber schon absolut baugleich in allen Details sein. Im Fahrzeug laufen Sensorinformationen aus den unterschiedlichsten Bereichen zusammen. Die daraus entstehende Datenstruktur lässt sich nicht ohne Weiteres nachbilden.

c’t: Stellen Sie sich vor, Sie haben ein Fahrzeug Baujahr 2030 in Ihrer Werkstatt stehen. Werden Sie noch etwas auslesen können?

Bornhagen: Warum nicht? Irgendeine Schnittstelle muss es auch im Jahr 2030 geben. Was wollten die Hersteller sonst mit den ganzen gesammelten Daten anfangen, wenn man sie nicht auslesen könnte?

c’t: In die Herstellercloud übertragen?

Bornhagen: Ja, vielleicht. Tesla macht das ja anscheinend schon heute so. Da wandern wohl selbst Fahrdaten in die Cloud. Wenn alle Fahrzeuge in diesem Maße vernetzt sind, wird sich regulatorisch noch einiges bewegen müssen, um zu klären, wer am Ende was darf. Das gilt sowohl für das Speichern wie auch für den Zugriff auf die Daten.

c’t: Wenn wir uns bei c’t die von Smartphone-Apps gesammelten Nutzerdaten anschauen, sind wir oft erstaunt, was da alles erhoben wird. Geht es Ihnen bei den Autos ähnlich?

Bornhagen: Fast schon eine philosophische Frage. Die Daten fallen zunächst einmal an, werden von zahllosen Sensoren und Fühlern im Fahrzeug erhoben. Mit den Daten fängt das Fahrzeug dann auch irgendetwas an, um eine bestimmte Funktion umzusetzen. Die Frage ist, wie lange die Daten aufgehoben werden müssen und inwieweit der Hersteller Zugriff darauf hat. Mehr Datensparsamkeit wäre angebracht.

Zu unserem Tagesgeschäft gehört auch die Post-Mortem-Analyse von Computern – über die Datensammelleidenschaft der Menschen schüttele ich schon lange nicht mehr den Kopf. Bei den Autos ist das ähnlich. Für Wissenschaftler oder Forscher ist solch ein möglichst großer Daten-Pool sicherlich interessant, um irgendwelche Rückschlüsse zu ziehen. Für 08/15-Anwender wie Sie und ich ist das mit Sicherheit viel zu viel, weil wir damit nichts anfangen können. (sha@ct.de)