Open Source: Android-Trojaner soll in Software von MG-Autos stecken

Transparenz bei Software-Lizenzen im Fokus

Die Nutzung von Open-Source-Komponenten in der Automobilindustrie unterliegt strengen Lizenzvorgaben. Wenn Hersteller diese Software in ihre Systeme integrieren, sind sie rechtlich dazu verpflichtet, entsprechende Urheberrechtsvermerke, Lizenztexte und in vielen Fällen auch den Quellcode offenzulegen. Der Würzburger Anwalt Chan-jo Jun hat den chinesischen Automobilhersteller MG, eine Marke des Saic-Konzerns, aufgrund mangelnder Transparenz verklagt. Das Ziel des Verfahrens vor dem Landgericht München I ist die Herausgabe der vollständigen Lizenzlisten und des Systemcodes für die Fahrzeuge des Herstellers.

Der Fund in der Software Bill of Materials

Im Zuge des laufenden Rechtsstreits kam MG einigen Forderungen nach und veröffentlichte Dokumentationen, darunter eine sogenannte Software Bill of Materials (SBOM). Diese Liste soll aufzeigen, welche kommerziellen und freien Software-Bestandteile in den Produkten verbaut sind. Bei der Analyse dieser Unterlagen für das Modell MG4 stießen der Anwalt Jun und der Informatiker Andreas Kotulla auf einen Eintrag, der für Aufsehen sorgte: „1.400 Teardroid-phprat-95a4b56“.

Bei Teardroid handelt es sich nach Angaben von Broadcom um einen Android-Bot, der mit Funktionen für den Fernzugriff und den Datendiebstahl ausgestattet ist. Der PHP-Entwickler Sebastian Bergmann erläutert, dass dieses Werkzeug dazu dient, Spyware für mobile Endgeräte zu erstellen. Damit lassen sich sensible Informationen wie Kontakte, SMS, Anruflisten und Standortdaten auslesen sowie Shell-Kommandos ausführen. Die gesammelten Daten werden anschließend an ein Kontrollpanel übermittelt.

Ursachenforschung: Technischer Fehler oder Sicherheitsrisiko?

Die Entdeckung des Eintrags wirft die Frage auf, ob der Hersteller tatsächlich Schadsoftware in seine Fahrzeuge integriert hat. Experten wie Sebastian Bergmann halten dies jedoch für unwahrscheinlich. Er geht davon aus, dass der Eintrag das Ergebnis eines automatisierten Scan-Prozesses ist. Die Namenskonvention – bestehend aus einem Repository-Namen und einem abgekürzten Commit-Hash – deute darauf hin, dass ein Code-Scanner fälschlicherweise einen Snapshot eines öffentlichen Repositories mit einer in der Fahrzeugsoftware genutzten Hilfsfunktion oder Bibliothek abgeglichen hat.

Auch Chan-jo Jun hält diese Erklärung für technisch plausibel. Er betont, dass es wenig Sinn ergeben würde, die eigene Fahrzeugsoftware vorsätzlich mit einem solchen Trojaner zu infizieren. Dennoch verdeutliche dieser Vorfall, dass die Erstellung einer korrekten SBOM eine komplexe Aufgabe ist, bei der Hersteller oft Defizite in ihrer Software-Governance offenbaren.

Hintergrund und offene Fragen zur Datensicherheit

Ungeachtet der Vermutung eines Scan-Fehlers bleibt die Sorge vor Spionage durch vernetzte Fahrzeuge bestehen. Jun schließt nicht aus, dass chinesische Fahrzeuge für Überwachungszwecke genutzt werden könnten, und verwies gegenüber der Süddeutschen Zeitung auf die theoretische Möglichkeit, dass Telefonate oder andere Daten abgegriffen werden könnten. Derartige Befürchtungen sind Teil einer breiteren Debatte über die Sicherheit und Souveränität von Software in modernen Fahrzeugen.

Der Hersteller MG hat sich zu den inhaltlichen Aspekten des Falls aufgrund des laufenden Rechtsstreits nicht geäußert. In einer Stellungnahme wurde lediglich versichert, dass das Unternehmen das Thema sehr ernst nehme. Die weiteren Schritte hängen nun vom Fortgang des juristischen Verfahrens und der weiteren Aufarbeitung der Software-Dokumentation ab. Für Verbraucher und Sicherheitsbehörden bleibt die Transparenz der in Fahrzeugen verbauten Software ein zentrales Thema, um die Integrität der Systeme langfristig zu gewährleisten.