Auto offen. Der Login war der Schlüssel.
Ein Türgriff am Auto. Der entscheidende Zugang lag aber auf dem Identity-Server. Ein aktueller Forscherbericht zeigt, wie weit ein schwacher Login-Unterbau reichen kann.
Der Schlüssel lag vor dem Fahrzeug
Wenn ein Auto über eine App bedient wird, gehört der Login zur Sicherheitsgrenze des Fahrzeugs. Die entscheidende Frage lautet dann: Wer kann eine gültige Sitzung für dieses Konto erzeugen? Die Antwort findet sich nicht nur in der mobilen Anwendung. Sie hängt auch an den Systemen, die Konten verwalten und Sitzungen ausstellen.
Shubham Shah und Sam Curry veröffentlichten am 7. November 2026 einen Bericht über zwei ungenannte Autobauer. Nach ihrer Darstellung fanden sie die Schwachstellenkette bereits Anfang 2026. Sie verbanden einen WAF-Bypass mit einem administrativen Zugang und Codeausführung auf produktiven ForgeRock-Systemen. Die vollständige Kette bis zum Fahrzeug prüften sie mit US-Konten und US-Fahrzeugen. Das ist ein dokumentierter Forschungstest, kein Nachweis einer kriminellen Angriffskampagne.
Eine WAF ersetzt keine gehärtete Administration
Eine vorgeschaltete Schutzschicht kann Angriffe abfangen. Die Verwaltungsfunktion dahinter braucht trotzdem eine eigene belastbare Absicherung. Sobald ein anderer Pfad an der Schutzschicht vorbeiführt, zählt wieder, welche Anmeldung und welche Berechtigung die Anwendung selbst verlangt.
Für eine Bestandsaufnahme würde ich deshalb produktive Identity-Systeme und ihre Verwaltungswege getrennt auflisten: öffentliche Anmeldewege, interne Konsole, technische Konten und ausführbare Verwaltungsfunktionen. Zu jedem Weg gehört ein Verantwortlicher. Außerdem muss überprüfbar sein, dass Standardzugänge entfernt wurden und administrative Änderungen auf den dafür vorgesehenen Wegen bleiben.
Gültige Sitzung, reale Wirkung
Die Forscher beschreiben, wie sie Kontodaten verändern und danach den normalen App-Anmeldeweg verwenden konnten. Bei verbundenen Fahrzeugen standen damit Funktionen der Besitzer-App zur Verfügung: unter anderem Standortabfrage, Verriegelung und Fernstart. Der interessante Übergang liegt zwischen einer kompromittierten Identitätsverwaltung und einem nachgelagerten Dienst, der eine gültige Sitzung akzeptiert.
Besonders relevant ist ihre Beobachtung, dass die vorhandene Sitzung des Besitzers während des autorisierten Tests weiter funktionierte. Ein parallel nutzbares Konto kann für den eigentlichen Nutzer zunächst unauffällig bleiben. Für die Abwehr sind deshalb Änderungen an Wiederherstellungsdaten, neue Sitzungen und sensible Fahrzeugbefehle gemeinsam zu betrachten. Eine einzelne erfolgreiche Anmeldung erklärt diesen Zusammenhang noch nicht.
Schnell geschlossen ist noch nicht vollständig geklärt
Laut Bericht behoben beide Autobauer die Schwachstelle ungefähr zwei Stunden nach der Meldung; betroffene Zugangsdaten wurden rotiert. Die Namen der Hersteller werden nicht veröffentlicht. Daraus lassen sich weder weitere betroffene Marken noch eine bestätigte frühere Fremdnutzung ableiten.
Meine anschließenden Prüffragen betreffen die Wirkung des Zugriffs: Welche Konten wurden verändert? Welche Sitzungen entstanden? Welche administrativen Aktionen und nachgelagerten Befehle lassen sich noch nachvollziehen? Ein erreichbarer Fix ist ein wichtiger Fortschritt. Ob alle Folgen einer möglichen Kompromittierung eingegrenzt sind, muss durch passende Befunde beantwortet werden. Nicht durch die Geschwindigkeit des Fixes allein.