Der Passwortschutz greift beim Xiaomi M365 nur, wenn man ihn per App anspricht.
E-Scooter sind das neueste Streitobjekt auf unseren Straßen und Fahrradwegen. Die einen halten sie für eine gelungene Bereicherung der Verkehrslandschaft, die anderen fürchten Unfälle und zugeparkte Innenstädte. Gleich vier Anbieter haben sich mittlerweile auf Wiens Straßen verteilt, weitere könnten bald folgen. So hat sich für April der oberösterreichische Anbieter Arolla angekündigt und auch die skandinavische Firma Voi überlegt laut Futurezone einen Start.
Die gemietete E-Mobilität ist allerdings auf Dauer nicht billig. Wer die "letzte Meile" häufig auf diese Weise zurücklegen möchte, ist mit einem eigenen Scooter besser bedient. In einem der beliebtesten Modelle, dem Xiaomi M365, haben Sicherheitsforscher von Zimperium nun eine gefährliche Lücke entdeckt. Sie ermöglicht die Fernsteuerung des Rollers, fasst Wired zusammen.
App steuert Motor fern
Als Proof-of-Concept hat man eine App gebastelt, die sich mit einem Scooter verbinden und den Motor abdrehen kann, wie man in einem Video demonstriert. Möglich wäre es auch, ihn nur zu drosseln oder auch auf das elektronische Gaspedal zu drücken.
Die Schwachstelle besteht darin, dass der Passwortschutz für Bluetooth-Kommandos nur für die App des Scooters greift. Schickt man ihm einfach so Kommandos via Bluetooth, führt er sie einfach aus. Im schlimmsten Falle ließen sich Fahrer damit – etwa an Verkehrsampeln – in brenzlige Situationen manövrieren.
Zulieferer von Bluetooth-Modul muss reagieren
Ende Jänner wurde Xiaomi über den Fehler in Kenntnis gesetzt. Ein Vertreter der Firma erklärte darauf hin, dass es intern bereits bekannt sei und man Lösungen suche. Allerdings hängt man dabei von einem Drittanbieter ab, nämlich jener Firma, die das Bluetoothmodul für die Scooter zuliefert. Es könnten auch andere Scooter und Geräte betroffen sein, die den gleichen Chip verwenden.
Ein Firmwareupdate mit Patch gegen die Fernkontrolle hat der M365 bislang noch nicht erhalten. Der Roller wird nicht nur als Gerät zur Privatnutzung verkauft. Auch der Leihanbieter Bird setzt bei seiner Wiener Flotte auf das Modell. (gpi, 14.02.2019)