Elektromobilität: Wenn das Eichrecht die Ladekarten hackt

Angenommen, ein öffentlich zugänglicher Geldautomat zeigt permanent die Gesamtsumme des ausgezahlten Bargelds an. Kennt man den Stand vor und nach einer Auszahlung, kann man später den Vorgang aufrufen und erhält sämtliche Daten, um einen Klon der verwendeten EC-Karte zu erstellen. Einen Schutz durch eine PIN gibt es dabei nicht. Was bei Geldautomaten kaum vorstellbar ist, war bei bestimmten Ladesäulen monatelang problemlos möglich: durch das Aufrufen eines Ladevorgangs an die Daten einer Ladekarte zu kommen, um sie dann kopieren zu können.

Nach Hinweisen von Golem.de in Zusammenarbeit mit Mathias Dalheimer vom Chaos Computer Club (CCC) hat der betroffene Hersteller die Sicherheitslücke inzwischen geschlossen. Doch die grundlegende Problematik mit den unsicheren Ladekarten bleibt weiter bestehen. Selbst das neue Verfahren, das auf Hashwerte setzt, ist leicht angreifbar.

Auf dem Chaos Communication Congress (34C3) in Leipzig hatte der Sicherheitsexperte Dalheimer schon vor gut zwei Jahren berichtet, wie leicht sich Ladekarten für Stromtankstellen klonen lassen. Das einzige Problem, so sein Resümee, bestehe darin, an die UID einer Ladekarte zu gelangen. Dieses Problem hat der Hersteller Compleo Charging Solutions (früher EBG Compleo) mit Hilfe des deutschen Eichrechts nun erfolgreich gelöst. Und zwar genau im umgekehrten Sinne, wie man es eigentlich erwarten sollte.

Eichrecht untergräbt Sicherheit

Mit dem sogenannten Speicher- und Anzeigemodul (SAM) von Compleo ließen sich zwischenzeitlich ohne jeden technischen Aufwand UIDs von Ladekarten auslesen. Wie war das möglich? Hintergrund ist eine Forderung des deutschen Eichrechts, wonach es Elektroautobesitzern möglich sein muss, einen abgerechneten Ladevorgang noch einmal an einer Ladesäule aufzurufen und die Daten zu überprüfen. Hierzu hat Compleo das Nachrüstmodul entwickelt: eine reine Hardwarelösung, die das Unternehmen als "stabil, zuverlässig und sicher" bewirbt und dazu erläutert: "Sie funktioniert ganz ohne zusätzliche Einschränkungen durch Software oder monatliche Kosten."

An der betreffenden Ladesäule muss man lediglich den Zählerstand zu Beginn und Ende eines Ladevorgangs eingeben. Dann wird der Ladevorgang angezeigt. Auf dem Display erschien bis vor kurzem zudem die 8- oder 14-stellige hexadezimale UID der Ladekarte, die für das vollständige Klonen einer Karte ausreicht. Seit Mitte 2019 rüstet der Ladenetzbetreiber Allego in Berlin seine Säulen mit dem Modul aus.

Ein "Hack" war daher ganz einfach: Man musste sich nur den Zählerstand vor und nach einem beliebigen Ladevorgang notieren. Der Zählerstand wird permanent im Modul angegeben. Danach ging man wieder zu der Säule und ließ sich den Vorgang anzeigen. Damit erhielt man unmittelbar die UID der fremden Ladekarte.

Es ging sogar noch einfacher: Wenn der Ladevorgang mit vollem Akku beendet ist und das Auto noch am Ladekabel hängt, werden beide Zählerstände direkt angezeigt. Das ist am frühen Morgen fast immer der Fall. Nach dem Ladevorgang ließ sich anhand der beiden Werte die UID anzeigen. Ein gewisses Risiko bestand sogar dann, wenn man mit seinem Chip den Ladevorgang startete. Dann wurde für gut 20 Sekunden ebenfalls die vollständige UID im Modul angezeigt.