Cybersecurity Risiko Wallbox

[Thilo T.]

Hallo zusammen,
wir haben vor ein paar Wochen unsere Wallbox (Compleo eBox) durch unseren örtlichen Stromversorger installiert bekommen.
Ich habe die Wallbox ins heimische Wlan eingebunden und lt. App (eCharge) war alles soweit in Ordnung und es standen auch keine Updates an.
Dann meldete sich ein Stadtwerke Mitarbeiter, da er meine Wallbox nicht sehen könne. Klar: wir haben noch kein BEV und ich habe die Sicherungen ausgeschaltet. Nachdem die Wallbox wieder Strom hatte, konnte er sie auch wieder „sehen“.
Aber dann kam eine zweite E-Mail mit der Bitte um ein port forwarding.
Nach Rücksprache mit dem Mitarbeiter stellte sich dann heraus, dass man eine dauerhafte Portweiterleitung einrichten solle, damit irgendwelche Updates auf der Wallbox installiert werden können, damit z.B. neuere Fahrzeugmodelle korrekt oder überhaupt geladen werden können.
Eine Zwei-Faktor-Authentifizierung gibt es nicht. Die Updates können wohl auch nicht über die App installiert werden. Compleo hat sich nicht dazu geäußert (Anfrage vor 2 Wochen gestellt).
Ich habe das dankend abgelehnt und gesagt, das wir das gerne zu einem definierten Zeitpunkt machen können, an dem ich für einen bestimmten Zeitraum den Port öffne.
Ich finde es unglaublich, das anscheinend das Gros der Compleo Nutzer dauerhaft ein Loch in ihrer FW lassen sollen und es mangels besseren Wissens auch tun. Vor allem vor dem Hintergrund, dass hier im Umkreis gerade viele öffentliche Dinge nicht durchgeführt werden können, weil die Südwestfalen IT gehackt wurde und immer noch nicht wieder online ist.

Wie sieht das bei euren Wallboxen aus? Kommen alle Updates per HTTP(S) direkt auf eure Wallboxen oder musstet ihr auch einen Port durch routen…?

Grüße,
Thilo

[michelsberg]

Unsere ist ziemlich dumm, also keine Updates.

Nur als Tipp, falls noch nicht geschehen: Auch die Wallbox selbst kann "böse" (oder kompromittiert) sein, darum würde ich sie lieber nicht ins Heimnetz, sondern ein Gastnetz hängen. Kann man im Router ja meist schnell erstellen.

[rainbow45]

gehört Dir die Box? Dann lass niemanden anderes drauf. Gehört die Box dem Versorger? Dann entscheidest Du nicht über Firmware oder sonstiges auf der Box. Hast Du einen Vertrag, in dem steht, dass Du Zugang über Dein WLAN bereitstellen musst? Du hast ein Problem.
Ich hätte das in meinem Netz nicht geduldet, folglich gehört mir meine Box.
Damit besteht Dein oben beschriebenes Problem nur auf Grund Deiner Wahl.
War es besonders günstig? Wenn etwas deutlich zu billig verkauft wird, bist DU die Ware!

[rainbow45]

Unsere ist ziemlich dumm, also keine Updates.

Nur als Tipp, falls noch nicht geschehen: Auch die Wallbox selbst kann "böse" (oder kompromittiert) sein, darum würde ich sie lieber nicht ins Heimnetz, sondern ein Gastnetz hängen. Kann man im Router ja meist schnell erstellen.

das halte ich doch für sehr theoretisch...die vorhandene Rechenleistung ist doch ziemlich beschränkt...auszuschließen ist es jedoch nicht ganz.
Ich würde die Box jedoch nicht in ein Gastnetz hängen, das ist massiver Komfortverlust - das steuernde Gerät(Handy mit APP) müsste dann ich im selben Gastnetz sein.
Evtl. besserer Vorschlag: Box im Heimnetz aber den Internetzugang von dieser IP beschränken. Die Updates holt die APP auf dem Handy und schickt sie zur Wallbox (zumindest bei meiner). Eine Steuerung der Box von unterwegs ist dann aber nicht so einfach möglich - dafür braust Du dann ein VPN. Ist aber auch kein Hexenwerk...aber soviel Angst hab ich nicht. Mein GO-E Charger ist auch mit der HerstellerCloud verbunden und darüber auch von unterwegs zu steuern. Die Box selbst ist aber nicht aus dem Internet erreichbar.

[Thilo T.]

gehört Dir die Box?

Ja

Dann lass niemanden anderes drauf.

Dann wird die Box in Zukunft Probleme mit der Kommunikation mit neueren Fahrzeugen bekommen und diese ggfls. nicht mehr korrekt laden. Das betrifft btw. auch nicht updatefähige Wallboxen.

Hast Du einen Vertrag, in dem steht, dass Du Zugang über Dein WLAN bereitstellen musst?

Nein, natürlich nicht.

Ich hätte das in meinem Netz nicht geduldet, ...

Stimme ich zu. Deshalb habe ich es auch nicht geduldet .

War es besonders günstig?

Tut zwar nichts zur Sache, aber nein. Es ist eine ganz normale Wallbox, die unsere Stadtwerke gewerblichen Kunden anbieten und die ist weit entfernt von günstig.

Ich wollte hier nur mal darauf aufmerksam machen, dass es Wallboxen gibt, die durch ein benötigtes port forwarding ein potentielles Sicherheitsrisiko darstellen. Dies wird in unserem Fall sogar von den Stadtwerken völlig vorurteilsfrei von den Kunden gefordert und natürlich soll das dauerhaft eingerichtet werden. Sonst müssten mit jedem Kunden Termine für Updateinstallationen gemacht werden.
Ich gehe mal davon aus, dass hier im Stadtgebiet von den gut 800 Wallboxen >90% den Port dauerhaft offen gemacht haben.

In meinem Fall stellt das kein Problem mehr dar, da die Stadtwerke mit mir einen Termin absprechen und innerhalb eines abgesprochenen Zeitfensters, benötigte Updates installieren.

[MaXx.Grr]

Auch die Wallbox selbst kann "böse" (oder kompromittiert) sein, darum würde ich sie lieber nicht ins Heimnetz, sondern ein Gastnetz hängen.

das halte ich doch für sehr theoretisch...die vorhandene Rechenleistung ist doch ziemlich beschränkt...auszuschließen ist es jedoch nicht ganz.

Da die Hacker auf der Wallbox wohl eher keine 3D-Spielchen starten wollen, ist die Rechenleistung für so ein Angriffs-Szenario irrelevant - einzig und allein ob die laufende Firmware irgendwelche Lücken hat oder ob man via Fern-Update die Firmware gegen eine bösartige mit Löchern austauschen kann.

Eine Wallbox ist immer ein ein IoT und somit bei veralteter Firmware ein Risiko. Daß sie die Firmware regelmäßig aktualisieren möchten ist also prinzipiell schon mal gar nicht so schlecht. Vermutlich hast Du mit Deinen Stadtwerken auch einen Wartungsvertrag für die Wallbox. Im Router einen Port zu öffnen bzw. eine Weiterleitung einzurichten ist das Angriffsszenarion #1 - insofern ganz richtig daß Du das verweigert hast.

Meine Wallbox von cFos hat auf der Weboberfläche einen Button, mit dem man den Firmware-Stand überprüfen und ggf. ein -Update anstoßen kann. So ein Workflow sollte eigentlich das Mittel der Wahl für Firmware-Updates sein. Allerdings ist dann der Nutzer selbst in der Verantwortung / Pflicht. Ein komplett automatisches Update brächte hier Abhilfe - kann aber auch wieder andere Probleme auftun, wenn nach dem automatischen Update das eigene Fahrzeug nimmer lädt...

Grüazi, MaXx

[Fritzchen-66]

Es ist klar ein Problem des Designs der Software.
Ein Update muss über dem Kommunikationskanal initiiert werden.

Im Falle eines Einbruchs über einen offenen Port möchte ich nicht Derjenige sein, der ihn geöffnet hat.

Das ganze kommt wahrscheinlich daher, dass die Boxen ursprünglich für ein per SIM abgeschottetes privates Netz designed wurden.

[Elektrolurch]

Meine go-e ist immer offline und zwischen den Ladungen auch stromlos. Für evtl. erforderliche Updates hänge ich sie kurz ins Gastnetz, danach wird die Internetverbindung sofort wieder gekappt.

[hydrou]

Dann wird die Box in Zukunft Probleme mit der Kommunikation mit neueren Fahrzeugen bekommen und diese ggfls. nicht mehr korrekt laden. Das betrifft btw. auch nicht updatefähige Wallboxen.

Kannst du das bitte erklären, was du damit meinst? Welche Änderungen stehen denn an und führen dazu, dass neue Fahrzeuge nicht mehr laden können sollen? Geht es um V2H oder V2G? Falls ja, kann das die Wallbox überhaupt?

[trebtrab]

Dann wird die Box in Zukunft Probleme mit der Kommunikation mit neueren Fahrzeugen bekommen und diese ggfls. nicht mehr korrekt laden. Das betrifft btw. auch nicht updatefähige Wallboxen.

Das würde mich auch intressieren. Ich halte diese Aussage nämlich für schlichtweg falsch.
Beim Laden über Typ 2 gibt es die IEC 62196 (https://www.goingelectric.de/wiki/Typ2- ... codierung/).
Die Wahrscheinlichkeit, das das AC-Laden nach diesem Standard bei neueren Modellen nicht mehr möglich sein sollte halte ich für EXTREM unwahrscheinlich.