Flugsicherheit: Forscher manipulieren Autopilot über externen Anschluss

Ein schwerwiegender Eingriff in die Avionik

Die Sicherheit der modernen Luftfahrt steht vor neuen Herausforderungen, wie ein nun bekannt gewordener Vorfall verdeutlicht. Sicherheitsforscher der University of California und des Oberlin College haben eine Methode entwickelt, die es ermöglicht, den Autopiloten einer Boeing 737 gezielt zu beeinflussen. Der Kern des Problems liegt in einem leicht zugänglichen Wartungsanschluss an der Außenseite der Flugzeugzelle. Über diesen Port, der eigentlich für Bodenpersonal und Wartungsteams vorgesehen ist, lässt sich ein kleines, kostengünstiges Gerät anschließen. Sobald dieses Modul mit dem internen Netzwerk des Flugzeugs verbunden ist, kann es elektrische Signale einspeisen, die den regulären Datenverkehr überlagern. Durch den Einsatz einer höheren Stromstärke gegenüber den Standardkomponenten gelingt es dem Gerät, legitime Befehle zu überschreiben. Dies eröffnet die theoretische Möglichkeit, Wegpunkte des Autopiloten aktiv zu verändern und das Flugzeug unbemerkt auf einen anderen Kurs zu bringen. Die Entdeckung wirft ein Schlaglicht auf die Verwundbarkeit physischer Schnittstellen in hochkomplexen Flugsystemen, die bisher primär auf ihre mechanische und elektronische Zuverlässigkeit geprüft wurden, nun aber zunehmend in den Fokus von IT-Sicherheitsanalysen rücken.

Technische Details und die Funktionsweise des Angriffs

Die technische Umsetzung dieses Angriffs ist erstaunlich simpel und kosteneffizient. Das von den Forschern entwickelte Gerät ist nicht größer als eine Münze und verfügt über WLAN-Funktionalität. Die Herstellungskosten für diesen Prototyp belaufen sich auf weniger als 100 US-Dollar. Die Manipulation erfolgt über einen externen Anschluss, der sich hinter einer Klappe an der Flugzeugaußenhaut befindet. Die Forscher halten sich aus Sicherheitsgründen bedeckt, um welchen spezifischen Anschluss es sich handelt, um Nachahmungstäter nicht zu unterstützen. Sobald das Gerät eingesteckt ist, fungiert es als Störsender im Bordnetzwerk. Neben der Manipulation des Kurses durch das Ändern von Wegpunkten können auch kritische Variablen für die Startberechnung gezielt gefälscht werden. Dazu zählen das Gesamtgewicht des Flugzeugs sowie die herrschenden Außentemperaturen. Ein besonders kritischer Punkt ist dabei, dass die manipulierten Daten auf den Bildschirmen im Cockpit angezeigt werden, während die eigentlichen Änderungen für das Flugpersonal verborgen bleiben. Dies könnte im Ernstfall zu einer Startbahnüberschreitung beim Take-off oder zu gefährlichen Kursabweichungen während des Fluges führen.

Eine lange Geschichte der Sicherheitsforschung

Die Erkenntnisse, die nun an die Öffentlichkeit gelangten, sind keineswegs brandaktuell, sondern das Ergebnis einer bereits über sechs Jahre andauernden Auseinandersetzung. Die beteiligten Wissenschaftler der University of California und des Oberlin College informierten den Flugzeughersteller Boeing bereits vor über sechs Jahren über die Sicherheitslücke. Um die Ernsthaftigkeit ihrer Entdeckung zu belegen, demonstrierten die Experten den Angriff in einem Testlabor des Herstellers. Seit diesem Zeitpunkt findet ein kontinuierlicher Austausch statt, in dessen Rahmen die Bedrohungslage analysiert und potenzielle Schutzmaßnahmen evaluiert wurden. Die lange Zeitspanne zwischen der ersten Entdeckung und der aktuellen Berichterstattung unterstreicht die Komplexität der Problematik. Es ist ein Prozess, bei dem Sicherheitsforscher und Hersteller versuchen, die Balance zwischen der Offenlegung kritischer Schwachstellen und der Entwicklung robuster Abwehrmechanismen zu finden. Die Zusammenarbeit zeigt, dass die IT-Sicherheit in der Luftfahrt ein fortlaufender Prozess ist, der weit über die initiale Konstruktion eines Flugzeugtyps hinausgeht und ständige Anpassungen erfordert.

Die Akteure und ihre unterschiedlichen Einschätzungen

An diesem Prozess sind maßgeblich die Sicherheitsforscher der University of California und des Oberlin College sowie das Unternehmen Boeing beteiligt. Während die Forscher die potenzielle Gefahr durch den externen Port betonen, bewertet Boeing die Situation deutlich zurückhaltender. In einer offiziellen Stellungnahme gegenüber dem Magazin Wired erklärte der Flugzeugbauer, dass die bestehenden Sicherheitsarchitekturen und die grundlegenden Systemdesigns das Risiko und die praktische Machbarkeit solcher Angriffe in der realen Betriebsumgebung erheblich einschränken würden. Die Forscher selbst räumen ein, dass ein aufmerksamer Pilot in der Lage sein sollte, die manuelle Kontrolle über das Flugzeug zu übernehmen, selbst wenn die vom Gerät verursachten Abweichungen im Cockpit für Verwirrung sorgen könnten. Die Kommunikation zwischen den Parteien ist geprägt von dem Bemühen, die Sicherheit zu gewährleisten, ohne dabei Panik zu schüren. Den Berichten zufolge ist die Zusammenarbeit seit Jahren darauf ausgerichtet, die Schwachstelle zu schließen, wobei Boeing die tatsächliche Gefährdung im Flugbetrieb als weniger kritisch einstuft als die Forscher, die das Einfallstor im Labor erfolgreich demonstrierten.

Einordnung der IT-Sicherheit in der Luftfahrt

Einzuordnen ist das so: Die Luftfahrtbranche sieht sich mit einer zunehmenden Digitalisierung konfrontiert, die neue Angriffsflächen bietet. Der Vorfall mit dem manipulierbaren Autopiloten ist kein Einzelfall. Bereits im Jahr 2024 wurde eine Schwachstelle in der App-Suite Flysmart+ der Airbus-Tochter Navblue bekannt, die ebenfalls Leistungsberechnungen für Flugzeugstarts manipulieren konnte. Diese Ereignisse verdeutlichen, dass nicht nur die Flugzeugsteuerung selbst, sondern auch die unterstützende Software und die physische Infrastruktur am Boden und am Flugzeug ein hohes Sicherheitsniveau erfordern. Die Forscher schlagen als einfachste Sofortmaßnahme vor, den betroffenen Port entweder vollständig zu entfernen oder ihn mit Epoxidharz dauerhaft zu versiegeln. Dies zeigt, dass die Lösungen oft pragmatisch sein müssen, um die Integrität der Systeme zu schützen. Die Debatte um die Sicherheit von Wartungsschnittstellen ist ein wesentlicher Bestandteil der modernen Luftfahrtsicherheit, da die Vernetzung der Systeme zunimmt und damit auch die Möglichkeiten für externe Eingriffe, sofern diese nicht explizit durch Sicherheitsmechanismen unterbunden werden.

Offene Fragen und die Zukunft der Flugzeugsicherheit

Der Quelltext lässt einige wesentliche Fragen unbeantwortet, die für eine vollständige Bewertung der Lage wichtig wären. So bleibt unklar, ob es bereits nachgewiesene Fälle gab, in denen diese Methode außerhalb von Testlaboren angewendet wurde. Auch die Frage, wie viele Flugzeugmodelle von dieser spezifischen Schwachstelle betroffen sind, wird nicht explizit geklärt, außer dass Boeing 737-Modelle als Beispiel dienen. Zudem bleibt offen, welche spezifischen technischen Hürden Boeing bereits implementiert hat, um die von den Forschern beschriebene Signalüberlagerung zu verhindern oder zu erkennen. Die genaue Identität des Wartungsanschlusses bleibt ebenfalls ein Geheimnis, was zwar aus Sicherheitsgründen nachvollziehbar ist, aber eine externe Einschätzung der Verbreitung dieses Ports unmöglich macht. Wie es weitergeht, ist ebenfalls nur in Ansätzen erkennbar: Die Zusammenarbeit zwischen den Forschern und Boeing zur Analyse der Bedrohungslage und zur Entwicklung von Abwehrmaßnahmen wird fortgesetzt. Es bleibt abzuwarten, ob die von den Experten vorgeschlagene Versiegelung der Ports als Standardmaßnahme für die gesamte Flotte übernommen wird oder ob Boeing andere, softwareseitige Lösungen bevorzugt, die den Wartungsbetrieb nicht einschränken.