Eine ungeschützte Schnittstelle hat bei der Volvo-Tochter VE Commercial Vehicles den kompletten Datenbestand einer Flottenplattform offengelegt. Erreichbar waren 676.000 Fahrzeuge und 748.000 Kundendatensätze, dazu ein Archiv mit 2,5 Millionen Einmalpasswörtern. Für Fuhrparkbetreiber verschiebt der Fall die Frage, wo bei vernetzten Nutzfahrzeugen die Angriffsfläche tatsächlich liegt.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Die Flottenplattform „My Eicher“ hat unter der Basisadresse ihres Nutzerdienstes statt einer Fehlermeldung ein vollständiges Verzeichnis aller internen Schnittstellen zurückgegeben. Eine Anmeldung hat keine davon verlangt. Der Sicherheitsforscher Eaton Works hat den Fund am 3. November 2025 gemeldet und am 27. Juli 2026 offengelegt.[1]
Das Wichtigste in Kürze
- Die Flottenplattform von VE Commercial Vehicles, einem Gemeinschaftsunternehmen von Volvo Group und Eicher Motors, hat interne Schnittstellen ohne Authentifizierung ausgeliefert.
- Abrufbar waren unter anderem 676.000 Fahrzeuge, 174.000 Nutzerkonten und 76.000 hochgeladene Ausweis- und Führerscheindokumente.
- Ein Endpunkt hat sämtliche 2,5 Millionen seit 2021 verschickten Einmalpasswörter gespeichert und nach Mobilnummer durchsuchbar gemacht.
- Die Hauptlücke ist seit dem 20. November 2025 geschlossen, nachgemeldete Punkte blieben unbeantwortet.
Warum die Lücke nicht im Fahrzeug saß
Verzeichnis statt Fehlermeldung. Die Plattform hat unter dem Pfad ihres Nutzerdienstes eine Liste aller nutzerbezogenen Schnittstellen ausgegeben, und keine davon hat eine Authentifizierung geprüft. Über die Endpunkte für Kunden, Nutzer, Personen und Fahrzeuge haben sich die Bestände vollständig auslesen lassen, dazu 76.000 hochgeladene Ausweise und Führerscheine.
Zweiter Faktor im Archiv. Der schwerere Fehler steckt eine Ebene tiefer. Ein Endpunkt hat sämtliche seit 2021 verschickten Einmalpasswörter vorgehalten, 2,5 Millionen Stück, abfragbar nach Mobilnummer. Wie leicht Zugangsdaten in vernetzter Technik liegen bleiben, hat zuletzt eine Überwachungskamera von Hanwha gezeigt, die einen GitHub-Token in der Firmware preisgab.
Zwei Wege ins Konto. Angreifer hätten einen Code anfordern und ihn sofort aus dem Protokoll abgreifen können. Leiser lief der zweite Weg über eine offene Schnittstelle zum Passwortwechsel, die den Kontoinhaber nicht benachrichtigt hat. Über ein übernommenes Konto ließen sich Echtzeit-Ortung, Fahrzeugdaten, Geofences und die Cockpit-Anzeige der gesamten Flotte erreichen.
Wiederholt sich hier ein bekanntes Muster?
Portal statt Bordnetz. Angriffe auf vernetzte Fahrzeuge treffen heute selten das Steuergerät. Verwundbar ist der Webdienst davor: Der Sicherheitsforscher Sam Curry hat 2024 gezeigt, dass sich über das Händlerportal von Kia allein anhand des Kennzeichens Fahrzeuge orten sowie ent- und verriegeln ließen.[2] Wie eng Nutzfahrzeuge inzwischen an solche Dienste hängen, zeigt auch, dass Bosch die Fuhrparks von Handwerkern mit der Werkstatt vernetzt.
Zwei Rechtsordnungen. An VE Commercial Vehicles hält die Volvo Group 45,6 Prozent direkt, die Mehrheit liegt bei Eicher Motors. Ein europäischer Konzernname steht damit über einer Plattform, für deren Absicherung ein Betreiber in einer anderen Rechtsordnung geradesteht, ähnlich wie in der Debatte um den sogenannten China-Killswitch.
Meldeweg. Nach zwei Erinnerungen des Forschers war die Hauptlücke am 20. November 2025 geschlossen. Nachgemeldete Punkte hat der Betreiber über den Kundensupport nicht mehr aufgegriffen, eine öffentliche Stellungnahme liegt bislang nicht vor.
Warum das Passwort-Archiv schwerer wiegt als der Datenabfluss
Ein Einmalcode schützt nur, solange allein der Empfänger ihn kennt. Sobald ein Server jeden je verschickten Code dauerhaft aufbewahrt und nach Telefonnummer herausgibt, ersetzt eine einzige Abfrage den zweiten Faktor. Aus einer Schutzschicht wird damit ein Nachschlagewerk für die Kontoübernahme.
Ein Archiv aller je verschickten Einmalcodes macht die Zwei-Faktor-Anmeldung nicht schwächer, sondern wertlos. Mit jeder Telematik-Lizenz kauft ein Fuhrpark die Serversicherheit des Anbieters mit ein, geprüft wird aber meist nur die Funktionsliste.
— Michael Dobler, Herausgeber Dr. Web
Was Fuhrparkbetreiber in Deutschland jetzt klären sollten
Regulatorisch längst erfasst. Die UN-Regelung Nr. 155 verlangt in Anhang 5, Teil C ausdrücklich Schutzmaßnahmen für IT-Backends außerhalb des Fahrzeugs.[3] Seit dem 7. Juli 2024 gilt die Vorgabe für alle in der EU neu produzierten Fahrzeuge, die Typgenehmigung erteilt in Deutschland das Kraftfahrt-Bundesamt.
Haftung beim Betreiber. Speditionen und Logistiker fallen zusätzlich unter NIS2, das die Verantwortung für Lieferanten-IT bis in die Geschäftsführung zieht. Wie schnell daraus ein persönliches Risiko wird, zeigt der Blick auf die Produktionshalle als Haftungsfalle; kleinere Betriebe profitieren immerhin davon, dass Brüssel 28.700 Mittelständler von der Hauptlast befreit.
Vier Punkte für die nächste Vertragsrunde. Diese Nachweise gehören ins Lastenheft, bevor der Telematik-Vertrag verlängert wird:
- Zertifiziertes Cybersecurity-Management-System und Bedrohungsanalyse nach Anhang 5 vom Anbieter vorlegen lassen.
- Vertraglich ausschließen, dass Einmalcodes über den Zustellzeitpunkt hinaus gespeichert werden.
- Protokollierung und Alarmierung für jeden Schnittstellen-Zugriff auf Ortungs- und Fahrzeugdaten zusagen lassen.
- Klären, wer haftet, sobald die Plattform außerhalb der EU betrieben oder entwickelt wird.
Nachfragen lohnt. Ein moderner Fuhrpark hängt an einem Webdienst, dessen Absicherung selten im Lastenheft steht, während die Funktionsliste sorgfältig geprüft wird. Dass auch Betreiber-Infrastruktur eigene Schwächen hat, hat zuletzt der BSI-Bericht zu öffentlichen Ladesäulen gezeigt. Die Grundlagen dazu bündelt unser Überblick zu Cybersecurity für den Mittelstand.
Quellen
[1] Eaton Works: „Exploiting Volvo/Eicher’s fleet platform to gain control over all users/vehicles“
[2] Sam Curry: „Hacking Kia: Remotely Controlling Cars With Just a License Plate“
[3] Amtsblatt der Europäischen Union: UN-Regelung Nr. 155 zu Cybersicherheit und Cybersicherheits-Managementsystemen
Mehr Newshunger?
- Hanwha-Überwachungskamera verrät einen GitHub-Admin-Token in der Firmware
- 16,4 Millionen Linux-Systeme: RefluXFS verschafft jedem lokalen Nutzer Root-Rechte
- NIS2: Die Produktionshalle wird zur Haftungsfalle
- BSI-Bericht: IT-Sicherheit öffentlicher Ladesäulen hat ernste Lücken
- China-Killswitch: Was die Gesetze wirklich fordern
- Cybersecurity-Grundlagen: Was KMU 2026 können müssen
