PenTester Mehmet Bayram über das Hacken von E-Autos und Ladesäulen
Wie kann eine einheitliche Lösung gefunden werden, durch die Elektroautos unterschiedlichster Hersteller ohne Karten und ohne Apps an jeder beliebigen Ladestation aufgeladen werden können? Welche Risiken bergen einzelne Komponente im Lade-Ökosystem? Und wie stellt man sicher, dass sowohl die Ladeinfrastruktur als auch die Fahrzeugarchitektur sicher gegenüber Cyberattacken sind?
Diesen Fragen geht das Forschungsprojekt “Elektromobilität durch interoperable und sichere Architekturen” (ELISA) nach. Gefördert vom Bundesministerium für Wirtschaft und Klimaschutz und in Zusammenarbeit mit namhaften Firmen, Forschungseinrichtungen und Universitäten, arbeiten DBU Prof. Dr. Mukayil Kilic und sein Team daran, Ladesäulen intelligenter zu gestalten.
Wir haben mit Mehmet Bayram, Dozent an der DBU und Ethical Hacker mit einem Fokus auf Automotive gesprochen. Im Interview teilt er seine Einblicke in die Cybersicherheit für Elektromobilität, sein andauerndes Interesse am PenTesting und was er selbst im Projekt noch lernen konnte.
DBU: Mehmet, du arbeitest seit Jahren als Cybersecurity Experte, überwiegend in der Automobilindustrie und mit einem Fokus auf PenTesting. Was begeistert dich bis heute an diesem Beruf und was macht die Automobilindustrie für PenTester wie dich besonders spannend?
Mehmet: Die Automobilindustrie ist im Bereich PenTesting ganz anders als z.B. die Software-Industrie. Denn dadurch, dass der Mensch im Mittelpunkt steht und nicht zu Schaden kommen soll, sind die Regularien und Technologien in der Branche sehr komplex. Darüber hinaus teilen Unternehmen i.d.R. keine Herstellerinformationen.
Als PenTester muss man Schwachstellen also auf Basis seiner eigenen Kenntnisse, unter Beachtung rechtlicher Auflagen und mit geringen Informationen zu den Steuerelementen des Autos identifizieren. Mir persönlich macht die Komplexität sehr großen Spaß – nicht nur, weil damit Menschen geschützt werden können, sondern auch, weil Fahrzeuge heutzutage fahrende Computer sind, die Impulse geben, wie unsere (hoch technologisierte) Zukunft aussehen könnte.
DBU: Neben deinem Lehrauftrag an der DBU arbeitest du aktiv am Projekt ELISA. Was genau ist deine Rolle im Projekt?
Mehmet: Im Projekt ELISA sehe ich als PenTester alle Codes in ausgewählten Fahrzeugen und Ladestationen durch. Wie schon erwähnt, ist die Automobilindustrie stark reguliert. Das betrifft z.B. auch Apps, mit denen man das Auto entsperren kann.
In meiner Rolle prüfe ich deshalb Software Codes, Verschlüsselungen – auch auf ihre Aktualität -, Cloudlösungen und Compliance-relevante Informationen.
DBU: Gab es bislang eine spannende Einsicht aus dem Projekt, die du mit uns teilen möchtest?
Mehmet: Dieses Projekt hat mich auf jeden Fall nochmals Geduld gelehrt.
Denn auch wenn man sich eingehend mit Protokollen und gesetzlichen Vorlagen befasst – und diese in der Theorie gut nachvollziehbar sind – ist die Komplexität, die im Zusammenspiel entsteht, in der Praxis nochmals eine ganz andere. Deshalb haben wir uns für einen Tischaufbau entschieden, in der wir dieses Zusammenspiel Auto – Ladesäule nachbauen.
Das eröffnet ganz andere Dimensionen und erlaubt es uns, die Herausforderungen praktisch anzugehen.
DBU: Was möchtest du persönlich durch deine Arbeit bewirken?
Mehmet: Als Ethical Hacker ist es mir wichtig, sowohl einen gesellschaftlichen Beitrag zu leisten, indem ich Anwendungen oder Technologien sicherer mache. Außerdem glaube ich daran, dass wir offen gegenüber technischem Fortschritt sein sollten – wenn er denn sinnvoll ist. Gerade im Bereich E-Mobilität eröffnet die Technologie spannende Möglichkeiten – von der Energieeffizienz über das Senken von CO2 bis hin zum autonomen Fahren, das z.B. auch große Vorteile für die Betreuung von Kindern oder älteren Menschen haben kann.
DBU: Du lehrst im DBU-Masterstudiengang Cyber- & IT-Security, der ja auch Nicht-Informatiker:innen offen steht. Hast du vielleicht Tipps und Tricks für den Einstieg in das wichtige Thema PenTesting / Ethical Hacking?
Mehmet: Für den Einstieg gibt es Videos, z.B. auf YouTube, die wirklich gute Anleitungen zeigen. Ich würde deshalb erst einmal diese kostenfreien Materialien in Kombination mit Kali Linux / Parrot und Kookarai Linux nutzen. Und dann einfach keine Angst haben. Sicher gibt es anfangs eine recht hohe Barriere. Aber mit ein bisschen Übung wird es schnell leichter. Wichtig ist es, grundlegende Konzepte und Protokolle zu kennen und Testsysteme zu nutzen, um live zu üben. Wie bei vielen Dingen braucht es auch für das Penetration Testing Neugier und Geduld.
DBU: Vielen herzlichen Dank, Mehmet, dass du uns diese spannenden Einblicke gewährt hast!
