Lasst die Hacker an die Autos...

...und an die computergesteuerten Haushaltsgeräte. Ein Plädoyer für die Offenlegung der Software, die in zunehmenden Maß unsere Apparatewelt steuert

Von Tilman Baumgärtel

Wenn es eine Lehre gibt aus der Abgaskrise, dann die: Was aus dem Diesel hinten rauskommt entscheidet die Software. Bei Volkswagen, möglicherweise auch bei Opel und bei anderen Herstellern waren die Motoren so programmiert, dass sie erkannten, wann Emissionstests anstanden – und meist nur dann wirklich sauber waren.

Viel zu lange haben sich Kontrolleure etwa des Kraftfahrtbundesamtes oder des TÜV auf die Hersteller verlassen – und die Unfehlbarkeit ihrer Abgasuntersuchungen. Es waren Hacker wie der Lübecker Softwarespezialist Felix Domke, die die Aufarbeitung des Abgasbetrugs entscheidend voran brachten. Erst bei VW und nun auch bei Opel. In Deutschland blieben die Manipulationen der Autohersteller lange unentdeckt, weil das Kraftfahrtbundsamt die Electronic Control Unit (ECU), die wichtige Funktionen des Autos steuert, als Black Box behandelte. So übersah sie die Programmiertricks, die dazu führten, dass VW-Fahrzeuge im Test anspruchsvollen Umweltstandards genügten, beim normalen Betrieb aber viel höhere Emissionen in die Luft pusteten.

Das Kraftfahrbundesamt begnügt sich bisher mit Messungen an Fahrzeugen im Labor, als wären die noch immer rein mechanische Gefährte wie vor mehr als drei Jahrzehnten. Doch je mehr sich Autos zu Computern auf Rädern entwickeln, desto größer wird der Bedarf, deren Code transparent zu machen. Die zunehmende Komplexität von Technik und überbordener Urheberrechtsschutz dürfen nicht dazu führen, dass Steuerungselemente von Autos und anderen elektronischen Geräten nicht gründlich geprüft werden können.

Was sonst passiert, hat der VW-Abgasskandal gezeigt. Aber auch die Software anderer Autohersteller ist nicht so sicher, wie es den Kunden gerne suggeriert wird. 2010 rief Toyota weltweit eine Jahresproduktion von Autos des Typs Prius zurück, um deren fehlerhafte ABS-Software zu aktualisieren, nachdem die Fahrzeuge unerklärliches Verhalten beim Bremsen an den Tag gelegt hatten. Im Juli 2015 musste Chrysler an 1,4 Millionen Käufer seines Jeeps einen USB-Stick verschicken. Auf dem befand sich ein Software-Patch, mit dem die Fahrer einen Programmierfehler korrigieren konnten, der es Hackern erlaubte, die Steuerung oder das Getriebe des Fahrzeugs über das Internet zu manipulieren. Zuvor hatte General Motors fünf Jahre lang einen »Bug« im Betriebssystem des GM Impala verschwiegen, der es möglich machte, via Funkverbindung die Bremsen zu betätigen oder abzustellen.

Solche – durch Zufall oder von Hackern entdeckte – Software-Probleme zeigen, dass man es nicht länger alleine den Herstellern überlassen darf, die digitale Sicherheit der Fahrzeuge zu gewährleisten. Je mehr die Autohersteller ihre Gefährte wie eine Art fahrbares Smartphone mit Dauerverbindung zum Internet verkaufen, desto anfälliger werden ihre Produkte für Hackerangriffe.

Und es sind nicht nur Autos. Medizinische Apparate wie Herzschrittmacher, Haushaltsgeräte, Thermostaten oder Babyphones werden ebenfalls zunehmend mit Programmen betrieben, die bisher nicht wirkungsvoll geprüft werden. Viele von ihnen haben – wie eine zunehmende Zahl von Automodellen – Online-Anschluss über WLAN- oder Bluetooth-Schnittstellen, der es oft erlaubt, neue Software aufzuspielen, ohne das Gerät auch nur anzufassen. Im »Internet der Dinge« ist bösartigen Hackern Tür und Tor geöffnet. Auch darum muss die Sicherheit dieser Geräte nicht durch Versprechen der Hersteller, sondern durch genaue Kontrolle gewährleistet sein.

In Deutschland haben Wirtschafts- und Justizministerium vor kurzem die Gründung einer „Digitalagentur“ angekündigt, die sich mit solchen Fragen beschäftigen soll. Doch selbst in den zuständigen Ministerien wird bezweifelt, dass diese Institution noch in dieser Legislaturperiode eingerichtet wird.

Wie könnte ein »TÜV für Algorithmen« aussehen? Hier sind einige Vorschläge.

1. Unternehmen sollten Software zugänglich machen

Um ihren sicheren Betrieb zu gewährleisten, sollten die Hersteller Programme, die Autos, Waschmaschinen oder Alarmanlagen betreiben, mindestens all jenen zugänglich machen, die sie kompetent beurteilen können. Es wäre sogar denkbar, die Programme als freie Software im Netz zu veröffentlichen. Das jedenfalls fordert Daniel Lange, ein Ingenieur, der die Autobranche berät. So würde gleich eine Armee von Hackern auf die Programme losgelassen, die das Entdecken von Programmierfehler als eine Art Denksport betreiben. »Bei einer hinreichend großen Zahl von Beobachtern wird fast jedes Problem schnell erkannt und die Lösung von jemandem gefunden«, zitiert Lange den Programmierer und Software-Theoretiker Eric Raymond.

Und was ist mit den Betriebsgeheimnissen? So genannte quelloffene Open-Source-Programme wie das Betriebssystem Linux werden inzwischen von fast 80 Prozent der internationalen Unternehmen verwendet. Konzerne wie IBM, Google, Facebook oder Bloomberg haben Software, die sie entwickelt haben, kostenfrei verbreitet. Selbst die NSA biete einige ihrer Sicherheitsprogramme im Netz an. Da sollte es der Autoindustrie wohl zuzumuten sein, Software öffentlich zu machen, die Verkehrssicherheit betrifft. Die allgemeine Sicherheit geht vor Privatinteressen.

Etwaige Betriebsgeheimnisse kann man sich durch Patente schützen. Wer wissen will, wie die Steuerungssoftware von VW funktioniert, kann das mit etwas technischer Expertise sowieso schon jetzt herausfinden. Diagnosegeräte, die es erlauben, die Motor-Software zu bedienen, gibt es im Internet schon für 100 Euro. Und Programmierer Domke ist es ohne Labor und ohne große Anstrengung gelungen, in die Steuerungs-Einheit seines VWs einzudringen und die Funktionsweise und die einprogrammierten Abgas-Manipulationsmöglichkeiten zu erforschen. Das dürfte die Konkurrenz aus China dann wohl auch hinbekommen.

2. Hersteller müssen von Softwarefirmen lernen. Sie sind inzwischen selbst welche

Auch die Software-Branchenriesen mussten erst lernen, die Nutzer ihrer Programme als potentielle Partner zu betrachten: Jahrzehntelang zerrte zum Beispiel Microsoft jeden vor Gericht, der den Code der Firma knackte und examinierte. Inzwischen belohnen Microsoft, Facebook oder Apple Hacker sogar dafür, dass sie Software-Fehler melden. Diese Form der kollektiven Intelligenz könnte man noch unterstützen, indem man nicht nur den Code zugänglich macht, sondern auch die umfangreiche Dokumentation, die dessen Produzenten erstellen. Firmen wie Bosch, die für VW und andere Autohersteller die Programme schreiben, führen detailliert Buch über die Entwicklung ihrer Software – unter anderem, um bei Schadensersatzforderungen gewappnet zu sein. Auch diese Dokumente sollten der Öffentlichkeit zur Verfügung gestellt werden, damit Experten den auch für Programmierer nicht immer problemlos verständlichen Quellcode leichter lesen können.

3. Unternehmen müssen jahrzehntelang nutzerfreundlich Updates anbieten

Ein durchschnittlicher Kühlschrank läuft statistisch gesehen 14 Jahre lang, eine Auto etwa 12 Jahre. Und manches Radio aus den 50er Jahren funktioniert heute noch. Doch Haushaltsgeräte, die von Computerprogrammen gesteuert werden, haben ein kürzere Lebensdauer. Denn deren Hersteller fühlen sich bisher nicht verpflichtet, langfristig dafür zu sorgen, dass ihre Produkte betriebsfähig bleiben. Ein neuer, vernetzter Kühlschrank von Samsung stellte zum Beispiel jüngst zentrale Funktionen ein, als Google eine Kalender-App modifizierte, die für die Steuerung des Geräts eine Rolle spielte. Updates kamen teilweise erst nach Monaten.

Die elektronischen Geräte von heute sind zu komplex, um sie über so lange Zeiträume zu betreiben wie ihre mechanisch-elektrischen Vorgänger. Aber so wie man erwarten kann, dass Unternehmen auch noch zehn Jahre nach dem Ende der Produktion Ersatzteile vorhalten, so sollte auch die Gerätesoftware für mindestens ein Jahrzehnt auf dem neuesten Stand gehalten werden.

4. Gewährleistung und Garantien dürften nicht über Software ausgehebelt werden

Viele Nutzer kennen das Problem der »geplanten Obsoleszenz«: Computer funktionieren nach einer Weile nicht mehr wie sie sollen – also kauft man sich einen neuen. Die Dynamik, die Unternehmen wie Microsoft ihren Usern aufzwingen (jedes neue Windows-Betriebssystem ist nach wenigen Jahren obsolet, obwohl die meisten Nutzer mit dessen Funktion vollkommen zufrieden ist), darf nicht auf andere Branchen übertragen werden. Schon jetzt sind Haushaltsgeräte für mehr als 60 Prozent des gesamten E-Schrott verantwortlich – wollen wir wirklich, dass diese Zahl noch steigt?

5. Software-Lizenzen hebeln den Wettbewerb aus

Nicht nur in der Welt der PC-Programme wurden Software-Funktionen immer wieder genutzt, um sich lästige Konkurrenz vom Leib zu halten. Auch die Hersteller von Druckern nutzen die Chips, die zunehmend in die Tinten-Patronen eingebaut sind, um Cartridges anderer Produzenten zu blockieren. Und Autohersteller haben in der Vergangenheit versucht, missliebigen Hinterhof-Werkstätten durch Informationsentzug über ihre Programme vom Markt zu drängen. Seit 2014 verpflichtet darum eine EU-Direktive Autohersteller dazu, auch freien Werkstätten »diskriminierungsfrei« jene Diagnose-Programme zur Verfügung stellen, die man heute braucht, um ein Auto überhaupt noch reparieren zu können. Die deutschen Autohersteller haben sich diesem Reglement nur widerwillig gebeugt – und machen es Werkstätten, die nicht ihre Vertragspartner sind, trotzdem möglichst schwer. Werkstätten, die zum Beispiel Software-Updates von VW erhalten möchte, müssen ein 35-Seiten-Formular ausfüllen.

Solche Praktiken zeigen, dass Unternehmen den Einsatz von Software nutzen, um den Wettbewerb zu ihren Gunsten zu verzerren. Darum ist eine unabhängige Prüfung von offengelegter Software im Interesse aller Verbraucher. Denn letztlich sind die mit ihr betriebenen Geräte unser Eigentum. Die Entscheidung darüber, wie lange und wie verlässlich sie funktionieren, sollten wir nicht Firmen überlassen, die in der Vergangenheit oft genug bewiesen haben, dass das Einhalten von Umweltnormen und Alterungsbeständigkeit nicht ihre primären Handlungsmotive sind.

Der Autor unterrichtet Medientheorie an der Hochschule Mainz.